「御社のセキュリティ対策、星いくつですか」。数年後、取引先からこう聞かれる日が来るかもしれません。経済産業省が進めている「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」が、2026年度下期、つまり今年10月から運用開始の予定です。企業のセキュリティ対策の度合いを★の数で見える化する仕組みで、大企業が発注先に「★3以上」を求める流れが広がると見られています。今は任意の制度ですが、持っていないことが取引上の不利になる——そういう段階に入りつつあります。
SCS評価制度とは何か
SCS評価制度は、企業のサイバーセキュリティ対策の実施状況を★1〜★5の5段階で評価し、客観的な指標として見える化する制度です。経済産業省が主導し、2025年12月26日に制度の構築方針（案）が公表され、意見公募を経て、2026年度下期の運用開始を目指して準備が進んでいます。
狙いはシンプルです。取引先のセキュリティが信用できるかどうかを、共通のものさしで示せるようにすること。今は多くの企業が取引先に個別のチェックシートを送って対策状況を確認していますが、回答する側も確認する側も負担が大きいのが実情です。それを★という共通言語に置き換えよう、というのがこの制度の発想です。
★1から★5まで、どう違うのか
5段階といっても、新制度として新たに作られるのは★3以上です。★1・★2は、すでにIPAが運営している中小企業向けの「SECURITY ACTION」がそのまま組み込まれる形になっています。
費用をかけずに自分で宣言できる入口です。★1は「情報セキュリティ5か条」に取り組むことを宣言するレベル。★2は「5分でできる情報セキュリティ自社診断」で現状を把握し、情報セキュリティ基本方針を定めて外部に公開するレベルです。多くの中小企業・個人事業主にとって、まずここが出発点になります。
サプライチェーンに連なる企業が最低限実装すべき対策のラインです。一般的なサイバー攻撃に対処できることが水準とされています。大企業が取引先に求めるとしたら、まずこの★3が基準になると見られています。「★3を取れているか」が、今後の受注の前提条件になっていく可能性があります。
★4は、侵入を防ぐだけでなく、被害の拡大防止やリスク低減まで踏み込んだ対策が求められる水準です。ISMSをすでに取得している企業は、★4の要件の多くをカバーできているとされています。★5はさらに上位で、サプライチェーンの中で重要な役割を担う企業を想定した最上位ランクです。
重要なのは、この制度が「新しい認証をゼロから取り直せ」というものではない点です。ISMSやPマーク、SECURITY ACTIONなど、これまで積み重ねてきた取り組みを共通の枠組みで整理して活かす設計になっています。
なぜ今、この制度が必要とされているのか
背景にあるのは、サプライチェーン攻撃の深刻化です。攻撃者は、セキュリティの固い大企業を正面から狙うのではなく、その取引先である中小企業を踏み台にして侵入します。守りが相対的に手薄な一社が突破口になり、そこから本丸へ攻め込まれる。この構図が、近年の情報漏えいやシステム停止の典型になっています。
だからこそ、発注する側の大企業は「取引先のセキュリティが大丈夫か」を確認せざるを得ません。これまでは個別のチェックシートでやり取りしていたものが、★という共通指標に置き換わっていく。つまり中小企業・個人事業主にとっては、セキュリティ対策が「やっておくと安心なもの」から「取引の条件」へと性質が変わるということです。
大企業と取引している中小企業・フリーランスは、まさにこの「狙われやすい一社」になり得ます。規模が小さいから対象外、ということはありません。むしろ守りが手薄だからこそ狙われる。制度への対応は、取引のためだけでなく、自分の事業を守るためのものでもあります。
中小企業・個人事業主が今から準備できること
いきなり★3を目指す必要はありません。制度開始前の今の段階でやるべきは、まず自社の現状を整理して、説明できる状態にしておくことです。
IPAの「情報セキュリティ5か条」に取り組み、★1を宣言する。次に「5分でできる自社診断」で現状を把握し、情報セキュリティ基本方針を作って公開し、★2を宣言する。費用はかかりません。これが★3に進むための土台になります。
ISMSやPマークを取得済みなら、★4の要件の多くをすでにカバーできている可能性があります。この制度は既存の取り組みを活かす設計なので、まず自社が今どこまでやれているかを整理しておくと、制度開始後の動き出しがスムーズになります。
★3で求められる対策と、自社の現状との差を洗い出しておくと、何にいくら投資すればいいかが見えます。★3の対策費用は、デジタル化・AI導入関連の補助金で一部をまかなえる可能性もあります。今のうちに見積もりを立てておくと、取引先から求められた時に慌てずに済みます。
システム面の準備をサポートします
「何から手をつければいいかわからない」という段階からご相談いただけます。SECURITY ACTIONの宣言準備、社内のデータ管理・バックアップ体制の見直し、★3に向けたシステム面の整備まで、中小企業・個人事業主の規模に合わせて対応します。島根県から全国対応です。
まとめ
セキュリティ対策・システム面の準備についてのご相談はお気軽にどうぞ。
セキュリティ対策・システム整備のご相談はこちら
無料相談する →