取引先からセキュリティ対策の状況を聞かれることが増えた、というご相談をいただきます。この確認を国の仕組みとして整えたものが、経済産業省とIPAが進めている「サプライチェーン強化に向けたセキュリティ対策評価制度」です。長い名前なので、SCS評価制度と呼ばれています。うちにも来るのか、いつまでに何をすればよいのか。制度の中身と、いま手を付けておくとよいことを整理します。

取引先から星の段階を求められます

この制度は、企業のセキュリティ対策の状況を星の数で示すものです（IPAの資料では★3・★4のように記号で書かれています）。星が多いほど、求められる対策の範囲が広くなります。

制度構築方針では、発注者が受注者に必要な星の段階を提示して、実施状況を両者で確認する使われ方が想定されています。2社間の取引契約の要件として使う、という位置づけです。

取得そのものは任意です。ただし取引の条件になれば、実質的には選べません。ここがこの制度のいちばん大事なところだと思います。

名前のとおり、この制度が対象にしているのはサプライチェーン全体です。制度構築方針には、大企業が取引先の中堅企業に対策を求め、その中堅企業が自社の取引先である中小企業にも同じ対策を求める流れが、具体例として書かれています。

つまり、大企業と直接の取引がなくても、二次・三次の取引先であれば求められます。

一方で、制度の狙いには「基準統一による企業の負担軽減」も挙げられています。取引先ごとに様式の違うチェックリストへ個別に答える手間は、減る方向です。

開始は2027年3月です

この制度を調べると、「2026年10月開始」「2026年度下期から運用」と書いた記事が数多く出てきます。これは誤りです。予定は次のとおりです。

時期 何が起きるか
2026年10月頃 要求事項の解説書と取得ガイドが公表される
2026年12月末頃 評価機関が公表される
2027年1月以降 セキュリティ専門家が公表される
2027年3月頃 星3・星4の運用開始

つまり、制度に登録された専門家は、2027年1月まで一人もいません。いま「SCS対応」をうたう案内があっても、制度上の専門家として登録された人ではありません。

経済産業省は2026年4月27日に注意喚起を出しています。

「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」といった営業活動による、製品・サービスの勧誘が報告されています

経済産業省・内閣官房国家サイバー統括室「SCS評価制度に関する注意喚起」（2026年4月27日）

同じ注意喚起の中で、本制度は任意であること、特定のセキュリティ対策製品の導入が必須とされているものではないことも明記されています。

星1と星2はSECURITY ACTIONです

ここが分かりにくいところなので、先に整理します。星は1から5まであります。このうち、星1と星2は、IPAがすでに実施している「SECURITY ACTION」の一つ星・二つ星を指します。新しく作られるのは、星3から星5です。

つまり、SECURITY ACTIONの二つ星を宣言している会社は、この体系ではすでに星2の位置にいます。グレジャーも自社で二つ星を宣言しているので、次に来るのが星3という並びになります。

SECURITY ACTIONは費用がかからず、自己宣言で完了します。IPAの公表では、自己宣言の件数は2025年4月に40万件を突破しました。IPAが公開している宣言事業者の一覧（2026年3月までの申込分）を数えると、岡山県は6,800件あまりで、そのうち二つ星は1割ほどでした。9割が一つ星です。

理由ははっきりしています。デジタル化・AI導入補助金（旧IT導入補助金）は一つ星で要件を満たします。IPAの調査でも「宣言のきっかけは補助金申請が大半」とされていて、きっかけが補助金なのは自然なことだと思います。

ただ、一つ星は宣言だけで終わるので、社内に文書が残りません。二つ星まで進めると、自社診断の結果と基本方針が手元に残ります。取引先から対策状況を聞かれたときに見せられるのは、この文書のほうです。星3が求めるのも、その延長にある記録です。

情報セキュリティ中小企業の情報セキュリティ、何から始めるとよいか

星3で求められるのは26項目です

新しくできる3つのうち、中小企業がまず関わるのは星3です。要求事項は26項目あり、7つの分野に分かれています。

ガバナンスの整備、取引先管理、リスクの特定、攻撃等の防御、攻撃等の検知、インシデントへの対応、インシデントからの復旧。この7つです。星4になると43項目に増えます。

星3 星4
評価のしかた 専門家の確認を付けた自己評価 第三者による評価と技術検証
実地審査 なし（書類の確認だけ） あり
有効期間 1年 3年

星5は要求事項も開始時期も検討中です。申請にかかる費用も、まだ公開されていません。

星3に審査員は来ません。書類の確認だけです。そのかわり自己評価が土台なので、書類づくりを外に出して終わりにはできません。26項目はすべて満たしている必要があります。

いま26項目を見ておくと差がつきます

では今から何をするか。制度のための特別な準備は要りません。星3が求めているのは、どの会社にもいずれ必要になる基本の対策と、その記録だからです。

ただ、ひとつだけ先にやっておく価値があります。星3・星4の要求事項・評価基準は、解説書を待たなくても、すでにIPAのサイトで読めます。26項目を上から見て、できていない項目に印を付ける。これだけで、10月に解説書が出たときにすぐ動けます。

正直なところも書いておきます。この作業は社長ひとりでは終わりません。誰が何をしているかを知っている人が要ります。まず社内で担当を1人決めるところからだと思います。手を動かす人がいないまま制度の話だけ進めても、たいてい止まります。

制度を自社で取るときに何が手間なのかは、経済産業省のDX認定を取ったときに書きました。

経営DX認定を自社で取って、更新の時期を迎えて分かったこと

最初から専門家を探す必要はありません

星3の確認は、はじめから社外に頼まなければいけないものではありません。制度上も、社内に要件を満たす方がいればその方が確認する形が想定されています。まず自社でどこまで書けるかを見てから、足りないところを外に頼む。この順番で構いません。

お手伝いできるのは、その手前です。26項目のどれができていて、どれが空いているのか。誰が担当するのか。そこまでをご一緒に見ます。グレジャーでは岡山を中心に、現状の確認から基本方針づくり、社内への周知までを承っています。取引先から確認が来て困っている、という段階でも構いませんので、まずは現状をお聞かせください。