SCS評価制度とは？★3・★4の取り方・取得手順と準備のポイントを解説 

取引先からセキュリティ対策について確認を求められたとき、「どこまで対策すればよいのか」「自社の取り組みをどう説明すればよいのか」と迷うことはありませんか。 

 こうした課題に対応するために整備されているのが「SCS評価制度」です。企業のセキュリティ対策状況を共通の基準で評価し、取引先との確認や説明に使えるようにすることを目指しています。 

この記事では、SCS評価制度の概要と運営体制、★3・★4の違い、開始時期、取得の手順、チェックリスト、費用までを解説します。Microsoft 365を利用する企業が確認しておきたい、バックアップやアクセス権管理のポイントも紹介します。 

本記事は2026年10月22日時点の公表情報に基づきます。★3・★4は2027年3月頃に申請受付が始まる予定です。解説書や登録申請の手引などは順次公開される予定のため、最新情報はIPAの公式ページで確認してください。 

SCS評価制度とは？ 

SCS評価制度とは、サプライチェーンを構成する企業等のセキュリティ対策状況を、★の段階で可視化する制度です。正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。経済産業省と内閣官房国家サイバー統括室の監督のもと、IPA（独立行政法人情報処理推進機構）が運営します。

使い方としては、2社間の取引契約などで、発注する企業が取引先に適切な★を示し、対策を促すとともに実施状況を確認することが想定されています。なお、この制度は対策状況を可視化するためのもので、企業同士の対策レベルを競わせる格付け制度ではありません。

正式名称	サプライチェーン強化に向けたセキュリティ対策評価制度
監督・運営	経済産業省・内閣官房国家サイバー統括室が監督し、IPAが運営
対象	業種・企業規模を問わず、サプライチェーンを構成する企業等
評価の対象	クラウド環境を含む自社のIT基盤
取得の位置づけ	任意
当面の取得対象	★3・★4（★5の詳細は検討中）

製造現場の制御システム（OT）や、取引先に提供する製品そのものは、制度の直接の評価対象ではありません。これらは他の制度やガイドラインに基づいて対策を行うことが想定されています。

経済産業省・IPAの役割と運営体制 

SCS評価制度には、国、IPA、評価機関、専門家など複数の主体が関わります。主な役割は次のとおりです。

主体	主な役割
経済産業省・内閣官房国家サイバー統括室	制度の監督
IPA（事務局）	制度の運営管理、★3・★4の登録、普及促進など
運営審議委員会	運営方針や制度文書の策定などの審議
指定委員会	評価機関・技術検証事業者・研修事業者の指定と監督
評価機関	★4の第三者評価
技術検証事業者	★4の技術検証
SCSセキュリティ専門家	★3の自己評価結果の確認・助言、★4の評価責任者

SCSセキュリティ専門家になるには、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、ISO27001主任審査員のいずれかの資格を持ち、所定の研修を受けたうえで、事務局に登録する必要があります。

SCS評価制度は必要？ 

IPAの「情報セキュリティ10大脅威 2026」（組織編）では、「サプライチェーンや委託先を狙った攻撃」が2位に入っています。 委託先への攻撃は、業務の停止や機密情報の漏えい、さらには発注元への不正侵入につながるおそれがあります。

これまでは発注元ごとに独自のチェックシートで確認していたため、発注する企業と受注する企業の双方に次のような課題がありました。

• 発注する企業： 取引先の対策状況が見えにくく、チェックリストなどの要求事項が適切かどうかを担保するのも難しい 

• 受注する企業： 多くの取引先からそれぞれ異なる要求を受け、過度な負担になっている 

SCS評価制度は、共通の基準を使うことで双方の負担を減らしながら、サプライチェーン全体のセキュリティ水準を底上げすることを目的としています。

SCS評価制度の★3・★4の違いとは？ 

★3と★4の主な違いは、求められる対策の範囲と評価方法です。★3は専門家の確認を受けたうえでの自己評価、★4は実地審査・技術検証を含む第三者評価で確認します。

比較項目	★3	★4
対策の位置づけ	一般的なサイバー脅威に対処できる基礎的な対策	初期侵入の防御に加え、被害拡大の防止や取引先の保護も含む対策
要求事項数	26件	43件
評価方法	専門家確認付きの自己評価（書類確認）	第三者評価（文書確認、実地審査、技術検証）
有効期間	1年間	3年間
維持・更新	毎年、専門家の確認を受けた自己評価の更新版を提出	毎年の自己評価に加え、3年ごとに第三者評価を受けて更新

要求事項は「何に取り組むか」を、評価基準は「要求事項を満たしているかを判断する具体的な基準」を示すものです。要求事項・評価基準は軽微な修正が予定されているため、最新版をIPAの公式ページで確認してください。

★1・★2や★5との関係 

★1・★2には、IPAが運営する自己宣言制度「SECURITY ACTION」が当たります。今回具体化されている★3・★4とは、確認・評価の仕組みが異なります。 ★5は、未知の攻撃も含めた高度なサイバー攻撃への対応を想定した段階です。要求事項や評価の仕組みは、今後具体化される予定です。

ISMS・Pマークとの違い 

ISMS認証やPマークを取得していても、SCS評価制度の取得に置き換わるわけではありません。 

制度	主な評価の観点
ISMS	情報資産全般を守るための管理体制（リスクを評価し、対策を管理・改善する仕組み）
Pマーク	個人情報の適切な取り扱い
SCS評価制度	サプライチェーン上の立ち位置に応じて、外部からのサイバー攻撃に備える具体的な対策が実装されているか

経済産業省の資料では、SCS評価制度とISMSは相互に補い合う関係とされています。既存のISMSの規程や運用を生かしながら、SCS評価制度で求められる対策との差を確認しましょう。

SCS評価制度はいつから取得できる？ 

SCS評価制度の★3・★4は、2027年3月頃から申請受付が始まる予定です。 経済産業省は、開始時期を「2026年度末頃」としています。

時期	主な公表・開始の予定
2026年3月27日	制度構築方針の公表（済）
2026年8月	基本規程等の公開（済）
2026年9月18日	★3・★4の料金設定の公表（済）
2026年10月下旬	要求事項・評価基準の解説書、登録申請の手引など
2026年12月下旬	評価機関の公表
2027年3月頃	★3・★4の申請受付開始

予定は今後変わる可能性があります。取得計画を立てるときは、IPAの公式ページで最新情報を確認しましょう。 

解説書が公開される前でも、利用しているシステムやクラウドサービス、社内規程、バックアップの運用状況などは整理できます。現状を把握しておくと、必要な対策や予算を検討しやすくなります。 

SCSの取り方は？取得に向けた6つのステップ 

SCS評価制度の取得準備は、「目標と範囲の確認」「現状の点検」「不足への対応」「記録の整備」「確認・評価」「登録・更新」の順に進めると整理しやすくなります。 

1．目指す★と評価対象の範囲を確認する 

まず、取引先が求める水準や、自社が扱う情報・システムの重要性を踏まえて、★3と★4のどちらを目指すかを検討します。主な確認ポイントは次のとおりです。 

• 取引先から求められている対策水準や対応時期 
• 自社の業務が止まったときに取引先へ及ぶ影響 
• 取引先の機密情報を扱う範囲 
• 自社と取引先のシステム・ネットワークの接続関係 

あわせて、どの組織やIT基盤を評価の対象にするかを整理します。申請主体は原則として法人または個人事業主です。事業部単位やグループ単位で申請することも想定されていますが、その場合は適用範囲が妥当かどうかについて、専門家または評価機関の確認を受けます。

2．要求事項・評価基準と自社の現状を照らし合わせる 

IPAが公開している要求事項・評価基準を使い、自社の対応状況を確認します。各項目を「対応済み」「改善が必要」「未確認」などに分け、そう判断した根拠も記録しておきましょう。 

例えば、バックアップ製品を導入していても、取得対象や保管期間が決まっていなければ、運用の見直しが必要です。アクセス権の管理ルールがあっても、実際の設定がルールどおりかどうかは別に確認します。 

3．不足している対策と担当者を決める 

現状との差が分かったら、対応内容、担当者、期限、必要な予算を整理します。対策は次の3つに分けると進めやすくなります。 

• 設定を見直す対策： 認証、アクセス権、端末やネットワークの設定など 
• 運用を整える対策： 権限の棚卸し、バックアップの確認、退職時の対応など 
• 組織として整える対策： 方針・責任者の明確化、従業員教育、取引先との取り決めなど 

情報システム部門だけでなく、経営層、人事、調達などの協力が必要な項目もあります。早めに担当を決めて、部門間の対応漏れを防ぎましょう。 

4．対策の実施内容を説明できる記録を整える 

設定やルールを整備したら、実施したことを示す記録も残します。 

対策	整理しておく記録の例
セキュリティ方針・体制の整備	承認済みの方針、役割分担、連絡先一覧
システム・情報資産の管理	利用システム、管理者、保管場所を整理した台帳
ID・アクセス権の管理	申請・承認の履歴、権限一覧、棚卸しや変更の記録
取引先との情報共有	共有先、対象情報、利用期間、終了時の確認記録
バックアップ・復旧	バックアップ方針、実行結果、復元手順書、復元確認の記録
従業員教育	教育内容、実施日、受講状況

要求事項ごとに関連する規程や記録をひもづけておくと、確認や更新のときにも役立ちます。 

5．★3は専門家の確認、★4は第三者評価を受ける 

★3の場合 

1. 自社で自己評価を記入します。 
2. SCSセキュリティ専門家が内容を確認し、必要に応じて修正を含む助言を行います。内容に了承できれば、専門家が署名します。 
3. 経営層による自己適合宣誓を含めて、評価結果を事務局に提出します。 

担当者がチェックシートを記入するだけで終わる手続きではありません。

★4の場合 

1. 自社で自己評価を記入します。 
2. 文書確認に加えて、実地審査と技術検証を受けます。 
3. 評価報告書を受け取り、事務局に登録を申請します。

6．登録を申請し、取得後も対策を維持する 

申請内容に問題がなければ、IPAの台帳に登録され、公開されます。 取得後も、権限の棚卸しや教育、バックアップの確認などを続ける必要があります。更新のときまで続けられる運用を、最初から設計しておきましょう。

SCS評価制度のチェックリスト（7領域） 

SCS評価制度の要求事項は、次の7つの領域で構成されています。 以下は、準備の初期段階で自社の現在地をつかむための確認ポイントの例です。

領域	確認ポイントの例
ガバナンスの整備	セキュリティ方針と責任者が決まり、経営層が承認しているか／役割分担と連絡体制が明文化されているか
取引先管理	機密情報を共有する取引先を把握しているか／契約終了時に情報とアクセス権を回収する手順があるか
リスクの特定	利用しているシステム・クラウドサービス・端末を台帳で管理しているか／重要な情報の保管場所を把握しているか
攻撃等の防御	多要素認証などの認証対策を行っているか／アクセス権を申請・承認に基づいて付与しているか／OSやソフトウェアを最新に保っているか
攻撃等の検知	不審なログインや操作に気付ける仕組みがあるか／ログを確認できる状態で保管しているか
インシデントへの対応	インシデント発生時の報告・連絡手順があるか／取引先を含む関係者への共有手順が決まっているか
インシデントからの復旧	バックアップの対象・頻度・保管期間が決まっているか／復元手順書があり、実際に復元を確認しているか

この表は準備の手がかりとなる目安で、要求事項・評価基準そのものではありません。最終的な判定には、必ずIPAが公開する要求事項・評価基準を使ってください。 

Microsoft 365を利用する企業が準備したい3つのポイント 

Microsoft 365を利用していても、データの管理やアクセス権の設定まで自動的に適切な状態になるわけではありません。Microsoftの共同責任モデルでも、データやユーザーアカウント、アクセス管理などは利用企業の責任とされています。 

1．バックアップの取得から復元までを確認する 

SCS評価制度では、★3の段階からバックアップの対象・頻度・保管期間を定め、復元手順書を整備することが求められます。★4では、手順書どおりに、目標復旧時間内で復元できることの確認も必要です。 

Microsoft 365にも、ごみ箱やバージョン履歴などの復元機能があります。そのうえで、自社が必要とする保管期間や復元範囲、復旧時間を満たせるかを確認することが大切です。 

• SharePoint、OneDrive、Exchangeなど、必要なデータが取得対象に含まれているか 
• 退職者のデータも、必要な期間にわたって保護できるか 
• 障害や誤削除が起きたとき、どの時点のデータに戻せるか 
• 復元を実行する担当者と手順が決まっているか 
• 実際に復元して、所要時間や結果を確認できているか 

2．ID・アクセス権の申請、変更、棚卸しをつなげる 

アクセス権管理では、「誰が、どの情報に、なぜアクセスできるのか」を説明できる状態が必要です。例えば、次のような状態になっていないかを確認しましょう。 

• 異動前の部署で使っていたアクセス権が残っている 
• 退職者や利用を終えたゲストの権限が残っている 
• TeamsのチームやSharePointサイトの所有者が分からなくなっている 
• 権限を付与した理由や承認者を確認できない 

★3ではアクセス権の申請・承認や台帳管理などのルール整備が、★4では年1回以上のアクセス権の棚卸しが評価基準に含まれています。申請・承認、付与、定期確認、不要な権限の削除までを、一連の運用として整えましょう。 

3．外部共有を取引先との関係にひもづけて管理する 

外部共有では、「どの取引先に、何を、いつまで共有しているか」を把握しておく必要があります。 

★4では、機密情報を共有する取引先との契約が終わったときに、情報とアクセス権を回収・破棄したことを確認する手順も求められます。取引先を管理する部門とMicrosoft 365の管理者が情報を共有し、契約終了の連絡が権限の見直しにつながる仕組みを整えましょう。 

SCS評価制度の取得費用と準備期間は？ 

IPAは2026年9月18日に、★3・★4の登録料を公表しました。

段階	2028年3月31日までの申請	2028年4月1日以降の申請
★3	10,000円（1年分）	20,000円（1年分）
★4	60,000円（3年分）	60,000円（3年分）

※税込み。どちらの料金になるかは申請日で決まります。

登録料のほかに、★3で社外の専門家に確認を依頼する費用や、★4の第三者評価・技術検証の費用がかかります。これらの金額は制度では決まっておらず、それぞれの事業者との契約で決まります。 なお、★3は社内に要件を満たす専門家がいれば、社外に依頼せずに進めることもできます。

予算を検討するときは、次の費用と工数も整理しましょう。 

• 専門家による確認や、第三者評価・技術検証の費用 
• 不足する対策を補う製品・サービスの費用 
• 社内規程、手順書、台帳の整備にかかる工数 
• 取得後の点検や更新を続けるための費用と工数（★3は毎年更新） 

準備期間は、今の対策状況や評価対象の範囲によって変わります。まず未対応の項目を洗い出し、それぞれの担当者と完了予定日を決めると、自社に必要な期間を見積もりやすくなります。 

SCS評価制度の最新情報・セミナー 

AvePointでは、Microsoft 365のデータ保護や権限管理の観点から、SCS評価制度への備えを解説するセミナーや個別相談を行っています。 

SCS評価制度についてよくある質問 

SCS評価制度に向けて、Microsoft 365のデータと権限管理を見直しましょう 

SCS評価制度への準備では、今の対策を可視化し、不足している設定・ルール・運用を順に整えることが大切です。 

Microsoft 365を利用する企業では、特に次の3点を確認しましょう。 

• 必要なデータを復元できるか 
• アクセス権を適切に管理できているか 
• 取引先との共有を、契約終了時まで管理できているか 

なお、SCS評価制度の評価基準を満たすために、特定の製品の導入は必須とされていません。 まず自社の現状と要求事項を照らし合わせ、不足する部分を補う手段の一つとして、製品の活用を検討しましょう。

見直したい領域	AvePointによる支援
バックアップ・復旧	Cloud Backup for Microsoft 365で、Microsoft 365のデータのバックアップと復元を支援します
申請・承認、棚卸し、利用終了時の管理	Cloud Governanceで、チームやサイトの作成から運用・整理までの管理を自動化します
アクセス権・外部共有のリスク把握	Policies & Insightsで、共有リンクやアクセス権のリスクを可視化し、検知と修正を支援します

これらの製品は、SCS評価制度への対応に必要な取り組みの一部を支援するものです。社内規程や教育、取引先管理などと組み合わせて、自社に必要な対策を続けられる環境を整えていきましょう。