「取引先から、情報セキュリティの対策状況を答えるよう求められた」「大手の取引先が、委託先のセキュリティを確認する方針を出した」。こうした話を聞く機会が、中小企業でも増えています。背景の一つにあるのが、経済産業省が構築を進めている「サプライチェーン強化に向けたセキュリティ対策評価制度」、通称SCS評価制度です。
この記事の要点
- SCS評価制度は、取引先の企業のセキュリティ対策の状況を、共通の基準で評価して見えるようにする制度です。委託する側が、委託先に必要な段階（★）を示して対策を促すことを想定しています。
- 段階は★3と★4に分かれ、★5は今後検討されます。経済産業省は★3・★4の制度開始を2026年度末頃に目指すとしています（2026年11月時点）。
- 企業同士の優劣を競う格付けではありません。対象は企業のIT基盤で、クラウドで運用するものも含まれます。
- 中小企業は、IPAのガイドライン（第4.0版）と自社診断で現状を確かめ、ホームページやサーバーの管理も含めて説明できる状態にしておくことが準備の第一歩です。
この記事は、取引先からセキュリティの対策を求められる立場の中小企業の経営者や総務・情報システムの担当者向けに、SCS評価制度の概要と、今から準備できることを整理します。制度は構築の途中で、詳細は今後変わる可能性があります。最新の情報は経済産業省のSCS評価制度のページで確認してください。
SCS評価制度とは何か
SCS評価制度は、サプライチェーンを構成する企業の情報セキュリティ対策の状況を、共通の基準で評価し、見えるようにする仕組みです。これまで、取引先の対策を確かめる方法は、委託する会社ごとにばらばらの質問票やチェックシートでした。委託される側の中小企業は、取引先ごとに違う質問に答える負担があり、委託する側も回答の内容を比べにくいという課題がありました。
制度では、委託する側が取引の契約などで、委託先に適切な段階（★）を示して対策を促し、実施の状況を確かめることが想定されています。経済産業省は、企業同士の優劣を競わせる格付けの制度ではないとしています。
| 項目 |
内容（2026年11月時点の公表資料による） |
| 目的 |
サプライチェーン全体のセキュリティの水準を底上げする。委託元と委託先の双方の負担を抑える |
| 段階 |
★3（基礎となる要求事項）と★4（より広い範囲や対策を含む要求事項）。★5は今後検討 |
| 対象 |
企業等のIT基盤（クラウド環境で運用するものを含む）。制御システムや、委託元に納める製品は直接の対象外 |
| 開始の見通し |
★3・★4は2026年度末頃の制度開始（申請受付の開始）を目指す。状況により変更の可能性あり |
| 公表資料 |
制度構築方針（2026年3月27日）、★3・★4の要求事項・評価基準（Ver1.1、2026年10月28日） |
なぜ中小企業にも関係するのか
IPAが公表した情報セキュリティ10大脅威2026の組織編では、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」でした。攻撃者は、守りの固い大企業を直接狙うより、取引先や委託先の弱いところから入り込むことがあります。そのため、大企業は取引先の対策を確かめる必要に迫られています。
SCS評価制度が始まると、取引の条件として「★3以上」などを求められる場面が出てくる可能性があります。制度の開始前でも、取引先が独自のチェックシートで対策を確認する動きは続いています。求められてから慌てて準備するより、今のうちに自社の状況を把握しておく方が、負担は小さく済みます。また、対策の状況を説明できること自体が、新しい取引先を開拓するときの信頼の材料にもなります。
Service
運用保守・集客改善のご相談はフェニックスデザインへナレッジベースを運営するフェニックスデザインが、今のサイトの数字を見るところから対応します。URLを入れるだけの無料簡易診断から。
★3と★4の違い
公表されている方針では、★3は基礎となる要求事項と評価基準、★4はより広い範囲や対策を含む要求事項と評価基準に基づくとされています。★4については、専門家の確認を経た自己評価や、第三者の評価機関による評価が想定されています。具体的な要求事項は、経済産業省のページで公開されている「★3・★4要求事項・評価基準」で確認できます。
どの段階を目指すかは、取引先から求められる水準と、自社が扱う情報の重さで決まります。まずは★3の要求事項を読み、自社でできていること、できていないことを洗い出すところから始めるのが現実的です。要求事項は専門的な言葉も多いため、読み進めるときは、IPAのガイドラインの自社診断の項目と照らし合わせると理解しやすくなります。分からない項目は、ホームページやシステムの委託先に質問して確かめます。
今から準備できること
制度の詳細が固まる前でも、準備できることは多くあります。IPAの中小企業の情報セキュリティ対策ガイドラインは、2026年3月公開の第4.0版で、SCS評価制度の基本的な考え方に沿った内容になりました。情報セキュリティ5か条に「バックアップを取ろう!」が加わって6か条になり、「5分でできる!情報セキュリティ自社診断」には、ウェブサイトの安全な運用に関する項目なども加わっています。
- 自社診断で現状を知る: ガイドラインの付録の自社診断に答え、できていない項目を一覧にします。
- 基本方針を決める: 情報セキュリティの基本方針を定め、社内に共有します。IPAのSECURITY ACTIONの二つ星は、自社診断と基本方針の策定・公開が要件です。
- IT資産の一覧を作る: パソコン、サーバー、クラウドのサービス、ホームページ、ドメイン、メールなど、管理しているものと管理者を一覧にします。
- 委託先の管理を見直す: 自社がホームページの制作や保守、システムの運用を外部に委託している場合、その委託先の対策も確かめます。
- 事故時の連絡体制を決める: 異常に気づいたときの連絡先、判断する人、取引先への報告の方法を決めます。
SECURITY ACTIONの宣言の手順はSECURITY ACTIONとはで詳しく説明しています。
ホームページとサーバーの管理も対象になりうる
SCS評価制度の対象は企業のIT基盤で、クラウドで運用するものも含まれます。会社のホームページやサーバー、ドメイン、メールの管理も、IT基盤の一部として説明を求められる可能性があります。特に、次のような状態は、取引先から見ると不安の材料になります。
- ホームページの管理画面のIDとパスワードを、退職者や制作会社と共有したままになっている。
- WordPressなどのCMSやプラグインが、長い間更新されていない。
- サーバーやドメインの契約が、誰の名義でどこにあるのか分からない。
- バックアップがあるか、復元できるかを確かめたことがない。
- 改ざんや停止に気づく仕組みがない。
ホームページの対策の優先順位はWordPressのセキュリティ対策チェックリスト、サーバーやドメインを含む全体像は会社のサーバー・ドメイン・セキュリティの基礎でまとめています。
取引先からチェックシートを求められたときの答え方
制度の開始前でも、取引先から独自のチェックシートへの回答を求められることがあります。答えるときは、次の点に気をつけます。
| 気をつけること |
理由と対応 |
| できていないことを「できている」と答えない |
事故が起きたときに信頼を大きく損ないます。「対応予定（時期）」と正直に書きます |
| 根拠になる記録を残す |
更新の履歴、バックアップの確認の記録、アカウントの棚卸しの記録などを保管します |
| 委託先の対策も確かめておく |
ホームページやシステムを外部に委託している場合、委託先の回答が必要になります |
| 回答の担当を決める |
取引先ごとに別の人が答えると、内容がばらつきます。窓口を一つにします |
ホームページの制作や保守を委託している会社は、委託先に対策の状況を説明してもらえるよう、契約や依頼の段階で要件を決めておくと安心です。決め方はWebサイト制作の発注で決めるセキュリティ要件で解説しています。
準備の進め方の例（6か月）
専任の担当者がいない中小企業でも、次のように段階を分ければ、本業と並行して準備を進められます。期間は目安です。
| 時期 |
やること |
成果物 |
| 1か月目 |
担当者を決め、IPAの自社診断に答える。★3の要求事項を読む |
自社診断の結果、できていない項目の一覧 |
| 2か月目 |
パソコン、クラウド、ホームページ、ドメイン、メールなどIT資産の一覧を作る |
IT資産と管理者の一覧 |
| 3か月目 |
基本方針を決めて公開し、社内の決まり（パスワード、持ち出し、バックアップ）を整える |
基本方針、社内の決まり |
| 4か月目 |
委託先（ホームページの保守、システムの運用など）の対策を確かめる |
委託先の確認の記録 |
| 5か月目 |
事故時の連絡体制を決め、訓練として一度手順を確かめる |
連絡体制の表 |
| 6か月目 |
自社診断をもう一度行い、改善できた点と残った課題を整理する |
見直しの記録 |
社内で決めておく役割
セキュリティの準備は、情報システムの担当者だけの仕事ではありません。経営者が方針を示し、各部署が自分の扱う情報を把握することで、初めて説明できる状態になります。
- 経営者: 基本方針を決め、対策に必要な費用と時間を確保する。取引先への説明の最終責任を持つ。
- 担当者: 自社診断、IT資産の一覧、委託先の確認、記録の管理を進める。
- 各部署: 扱っている顧客情報や取引先の情報、使っているクラウドのサービスを担当者に伝える。
- ホームページの担当者: 管理画面のアカウント、更新の状況、制作会社や保守の会社との契約の内容を把握する。
担当者が退職したときに準備が止まらないよう、記録は個人のパソコンではなく、共有の場所に保管します。記録には、いつ誰が何を確認したかを書いておきます。
よくあるご質問
SCS評価制度は義務ですか？
制度そのものは、すべての企業に参加を義務づけるものとしては示されていません。ただし、取引先が取引の条件として★の取得を求める場合は、事実上必要になることがあります。
いつまでに準備すればよいですか？
★3・★4の制度開始は2026年度末頃が目指されています（2026年11月時点）。開始の時期や詳細は変わる可能性があるため、経済産業省の発表を確認しながら、自社診断と基本方針の策定など、今できることから進めてください。
ISMSの認証を持っていれば十分ですか？
ISMSは情報セキュリティの管理の仕組みに関する認証で、SCS評価制度とは目的と基準が異なります。対応関係は今後の制度の詳細で示される可能性があるため、要求事項を確認してください。
小さな会社でも★を取れますか？
★3は基礎となる段階とされています。IPAのガイドラインに沿った基本的な対策を進めていれば、目指しやすい段階と考えられます。費用や手続きの詳細は、制度の開始に向けて公表される情報を確認してください。
取引先から回答の期限を短く設定されました。どうすればよいですか？
すぐに答えられる項目から回答し、確認に時間がかかる項目は「確認中（回答予定日）」として、期限内に一度提出する方法があります。分からないまま「対応済み」と答えるより、正直に状況を伝える方が、取引先との信頼を保てます。
ホームページの対策だけ外部に頼むことはできますか？
できます。ホームページやサーバーの更新、監視、バックアップの確認を保守として委託し、その内容を取引先に説明できる記録を残す方法があります。
ホームページとサーバーの対策を任せる場合
フェニックスデザインでは、ホームページとサーバーの更新、監視、バックアップの確認、アカウントの棚卸しなど、取引先に説明できる形での保守を行っています。対応範囲はWEBサイトのセキュリティ対策のページでご覧いただけます。
まとめ
- SCS評価制度は、取引先のセキュリティ対策の状況を共通の基準で示す制度で、★3・★4の開始は2026年度末頃が目指されています。
- 格付けではなく、委託元が委託先に必要な段階を示して対策を促す仕組みです。
- IPAのガイドライン第4.0版と自社診断で現状を確かめ、基本方針、IT資産の一覧、委託先の管理、事故時の連絡体制から準備します。
- ホームページやサーバー、ドメインの管理も、説明を求められる可能性があります。
- チェックシートには正直に答え、根拠になる記録を残します。
- 6か月ほどの計画を立て、経営者、担当者、各部署の役割を決めて進めます。