2026年4月13日 / 最終更新日時 : 2026年4月13日 kurokuma セキュリティ情報

サプライチェーン強化に向けたセキュリティ対策評価制度の詳細が公表されました

2026年3月、経済産業省と内閣官房は「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の構築方針を正式に公表しました。

制度の開始は2026年度末ごろが予定されています。一見、まだ先の話のように思えるかもしれません。しかし、この制度への対応には時間がかかるものが多く、今すぐ準備を始めることが必要です。

そして重要なのは、この制度は特定の業界だけの話ではないという点です。モノやサービスをつくる企業、それを支える取引先、さらにその先の企業まで、規模の大小を問わず、あらゆる企業が関係してきます。

近年、企業を狙ったサイバー攻撃の手口が変わってきています。セキュリティ対策が手厚い大企業を直接狙うのではなく、その取引先や外注先など、つながりのある企業を踏み台にして攻撃するケースが急増しています。

こうした攻撃は「サプライチェーン攻撃」と呼ばれ、国内でも製造業・医療・インフラなどで深刻な被害が相次いでいます。

これまでは、取引先のセキュリティ対策がどの程度できているか、外から判断する共通のモノサシがありませんでした。発注する側の企業は「取引先が本当に大丈夫か分からない」、受注する側の企業は「複数の取引先からバラバラな要求が来て対応しきれない」という問題が生じていました。

SCS評価制度は、この問題を解決するために生まれた制度です。共通の基準でセキュリティ対策の状況を評価・見える化することで、発注側・受注側ともに負担を減らしながら、日本全体のセキュリティ水準を高めることを目指しています。

この制度では、企業のセキュリティ対策の達成度合いを★（星）の段階で示します。現時点では★3と★4が設けられており、★4のほうがより広い範囲の対策が求められます（★5については今後検討）。

★3は「基本的なセキュリティ対策が整っているか」を確認するレベルで、専門家の確認を受けながら自社で評価を行うことができます。★4はさらに踏み込んだ対策が求められ、第三者機関による評価が伴います。

取引において、発注する企業が「★3以上を取得してください」と取引先に求める、というかたちで活用されることが想定されています。つまり、取引を継続するうえで、★の取得が事実上の条件になる可能性があります。

なお、この制度は企業同士のランク付けや格付けを目的としたものではなく、あくまで対策状況の「見える化」を目的としています。

制度の正式な申請受付は2026年度末ごろを予定していますが、準備に時間がかかる項目が多いという点に注意が必要です。

セキュリティ対策は、ツールを導入すればすぐに完了するものではありません。社内のルールや手順を整備したり、担当者を決めたり、実際に運用しながら定着させたりと、腰を据えて取り組む必要があります。

制度が始まってから「では今から」では間に合わない可能性が高く、取引先から★取得を求められた際に対応できず、商機を逃すリスクもあります。

今年中に★3・★4の取得に向けた準備を進めておくことが、強く望まれます。

「中小企業にはハードルが高い」「何から手をつければいいか分からない」と感じる方も多いでしょう。そのような場合は、セキュリティの専門家に相談することを強くおすすめします。

セキュリティ対策は、知識のない状態で自社だけで進めようとすると、対応が漏れたり、優先順位を誤ったりするリスクがあります。専門家に現状を診てもらうことで、自社に何が足りないのか、何から始めるべきかを効率よく把握することができます。

なお、国家資格である「情報処理安全確保支援士（登録セキスペ）」のうち、中小企業向けのセキュリティ支援が可能な専門家のリストがIPAから公開されています。★3の取得にあたっては、こうした専門家に確認・助言を依頼することが公式に認められており、相談窓口として活用することができます。

「どこから手をつければいいか分からない」という方は、まず以下の3点から始めることをおすすめします。

① 自社の現状を把握する

現在どのようなセキュリティ対策が実施されているか、何ができていないかを棚卸しします。IPAの改訂ガイドラインが参考になります。

② ★3の要求項目を確認する

経済産業省が公表している要求事項・評価基準の資料を確認し、自社に不足している対策を把握します。

③ 専門家に相談する

現状の把握や対策の優先順位づけは、セキュリティの専門家に相談することで大幅に効率よく進めることができます。自社だけで抱え込まず、早めに専門家の力を借りることを検討してください。

SCS評価制度は、セキュリティ対策の状況を取引先に証明するための共通のモノサシです。この制度への対応は、単なるコンプライアンス（規則への対応）ではなく、取引先や顧客からの信頼を高めるための投資でもあります。

「うちは小さいから関係ない」では済まされない時代が来ています。今こそ、自社のセキュリティ対策を見直す好機として、第一歩を踏み出しましょう。