「取引先から、セキュリティ対策のアンケートが届いた」。最近、こうした声を聞くことが増えました。
その背景にあるのが、経済産業省とIPA（情報処理推進機構）が進める「SCS評価制度」です。うちのような小さな会社にも関係があるのか。いま分かっていることを整理します。
そもそも、どんな制度？
正式な名前は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。会社のセキュリティ対策の段階を、★の数で示すしくみです。
サプライチェーンとは、部品や材料、サービスが、取引先から発注元へとつながる流れのことです。
これまでは、発注元ごとにばらばらのチェックシートに答える必要がありました。この制度で、★の数という共通のものさしができます。
★3・★4の登録受付は、2027年3月に始まる予定です。
なぜ、小さな会社にも関係するの？
守りの固い大企業を直接ねらうのではなく、対策が手薄な取引先や委託先から入りこむ攻撃が増えているためです。
IPAの「情報セキュリティ10大脅威 2026」（組織編）では、サプライチェーンや委託先をねらった攻撃が2位に入りました。1位はランサムウェア（データを暗号化して身代金を求めるウイルス）による被害です。
制度が始まると、発注元が取引先に「この取引では★3の対策を」と示す場面が想定されています。
ただし、法律ですべての会社に義務づけられるものではありません。求められる★は、発注元の方針や取引の内容によって変わります。大手と直接・間接に取引がある会社は、早めに準備しておくと安心です。
★3と★4は、何が違うの？
★3は、すべての取引先が「最低限」そなえる対策とされています。★4は、取引先が「標準的に」目指す対策です。
- ★3：自社で答える「自己評価」に、専門家の確認がつきます。要求事項は26件。有効期間は1年で、毎年登録し直します。
- ★4：第三者が書類や現地を審査します。要求事項は43件。有効期間は3年で、期間中も毎年、自己評価を出します。
★3を取らずに、★4から申請することもできます。
登録料（税込）は、★3が1年10,000円（2028年4月1日以降は20,000円）、★4が3年60,000円と発表されています。このほか、社外の専門家に頼む費用や、足りない対策の費用がかかることがあります。
★3では、何を求められるの？
★3の要求事項は、7つの分野に分かれています。
- ガバナンスの整備（方針・責任者・ルール・教育）
- 取引先の管理
- リスクの特定（守る機器やデータの一覧）
- 攻撃等の防御
- 攻撃等の検知
- インシデント（事故）への対応
- インシデントからの復旧
多くは、社内の決まりを文書にして、そのとおりに運用することです。
一方で「防御」「検知」「復旧」には、機器やソフトがないと満たしにくい項目もあります。たとえば、インターネットの入口で不正な通信を止めること、すべてのパソコンにウイルス対策を入れて更新すること、バックアップから業務を戻せるようにすることなどです。
正式な文言は、IPAが公表している「★3・★4 要求事項・評価基準」と、その解説書で確かめられます。
まず、やること
- 取引先から、セキュリティについての質問や依頼が来ていないか、社内で確かめる
- パソコン・サーバー・ネットワーク機器を書き出し、サポートが終わったOS（Windows 10など）が残っていないか見る
- セキュリティの責任者を一人決め、感染に気づいたときの連絡先を紙1枚にまとめる
日本デスコでは、SCS評価制度に向けた機器の点検や、パソコン・ネットワークの見直しのご相談を受けています。