SCS評価制度の評価用ガイドをIPAが公開｜取引先から★3を求められる中小企業にとっての意味
IPA（情報処理推進機構）は2026年10月28日、取引先を含めたセキュリティ対策の水準を「★」で示す新しい制度「SCS評価制度」について、★3・★4の取得に向けた自己評価・第三者評価のガイド3種と、要求事項の解説書を公開しました。12月下旬には評価機関などの指定・公表も予定されており、制度の開始に向けた準備が一段進んだ形です。
⏱ 忙しい人向け 3行まとめ
- 事実：IPAが10月28日、「★3・★4 自己評価等ガイド」「★4 第三者評価ガイド」「★4 技術検証ガイド」「★3・★4 要求事項・評価基準 解説書」を公開。2026年12月下旬に評価機関・技術検証事業者・研修事業者を指定・公表する予定
- 意味：大手企業や元請けと取引のある中小企業は、取引先から「★3を取ってほしい」と言われる可能性がある。何を求められるかが、文書で読める段階になった
- アクション：取引先からの要請の有無を確かめる／要求事項の解説書に目を通す／勧誘されても慌てて契約しない
SCS評価制度のガイド公開の発表内容
SCS評価制度のガイド公開は、★3・★4を取るための手続きと対策の考え方を、立場ごとに文書でまとめたものです。IPAのプレスリリースとSCS評価制度のページで確認できた内容は次のとおりです（出典：IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の評価用ガイド等を公開」、2026年10月30日確認）。
| 文書 | 主な読み手 | 中身 |
|---|---|---|
| ★3・★4 自己評価等ガイド | ★3・★4の登録を希望する組織、★3確認責任者など | 取得単位と適用範囲の決め方、自己評価の進め方、★3確認責任者などが行う確認の手続き |
| ★4 第三者評価ガイド | 評価機関 | 評価機関が行う★4の第三者評価の手続き |
| ★4 技術検証ガイド | 評価機関、技術検証事業者、登録を希望する組織 | ★4の技術検証の手続きと、登録を希望する組織が対応するときの留意事項 |
| ★3・★4 要求事項・評価基準 解説書 | 登録を希望する組織、SCSセキュリティ専門家 | 要求事項・評価基準を満たすための考え方と留意点 |
あわせて、IPAのSCS評価制度のページでは「よくある質問」などが、これまでの問い合わせを踏まえて更新されました。今後の予定として、IPAは「★3・★4 登録申請の手引」の公開、制度のロゴマークの制定、そして2026年12月下旬の評価機関・技術検証事業者・研修事業者の指定・公表を挙げています。
制度の目的について、IPAは「委託元から見ると委託先の対策が見えにくい」「委託先は取引先ごとに違うチェックリストを求められて負担が大きい」という課題を挙げています。2社間の取引で、委託元が委託先に適切な段階（★）を示し、対策の実施状況を確かめる使い方を想定しており、リソースが限られる中小企業ほど活用の効果が大きいとしています。経済産業省の制度ページでは、運用開始は2026年度末頃の予定とされています。
SCS評価制度のガイド公開は中小企業にどう関係するか
SCS評価制度のガイド公開で、取引先に求められそうな対策の中身を、自社で前もって読めるようになりました。ここからは、IPAと経済産業省の公表内容をもとにしたAI導入参謀の解釈です。
1つめは、「★3を取ってほしい」という要請が来る前に準備できる点です。これまでは制度の枠組みや規程が中心で、「自社で何をどこまでやればよいか」は読み取りにくい状態でした。今回の解説書で、要求事項の考え方や、どの範囲を対象にするか（取得単位・適用範囲）の決め方が示されたため、要請が来てから慌てるのではなく、手元の対策と照らし合わせる作業を先に始められます。
2つめは、取引先ごとにばらばらだったチェックリストが、将来的に共通の物差しにまとまる可能性です。複数の元請けからそれぞれ違うセキュリティの質問票を受け取っている会社にとっては、負担が軽くなる方向の変化とみられます。ただし、どの取引先がいつから★を求めるかは各社の判断で、制度が始まってすぐに一斉に求められるとは限りません。
3つめは、不適切な勧誘への注意です。経済産業省は、SCS評価制度に関する不適切な勧誘に注意するよう呼びかけています。評価機関の指定・公表は12月下旬の予定なので、それより前に「認定が取れる」「今契約しないと取引を失う」といった営業を受けた場合は、その場で決めずに、IPAや経済産業省の公表情報と照らし合わせるのが安全です。
★3の前に、足元の対策を固めておく
SECURITY ACTION（一つ星・二つ星）の宣言や、IPAの「中小企業の情報セキュリティ対策ガイドライン」に沿った基本の対策が済んでいない場合は、そちらから進めるほうが現実的です。★3の要求事項を読むときも、基本の対策ができていると照らし合わせがしやすくなります。
SCS評価制度のガイド公開を受けて今やるべきこと
今やることは、取引先の動きを確かめ、公開された解説書で自社との差を大まかにつかんでおくことです。
- 主要な取引先（特に大手企業・元請け）から、SCS評価制度や★の取得について案内や要請が来ていないかを、営業・購買の担当に確かめる
- IPAのSCS評価制度のページから「★3・★4 要求事項・評価基準 解説書」を開き、自社でできている対策・できていない対策を書き出す
- 取得単位・適用範囲（会社全体か、特定の事業や拠点か）をどう考えるかを、自己評価等ガイドで確認しておく
- 「認定代行」などの勧誘を受けたら即決せず、12月下旬に予定される評価機関の公表や、IPA・経済産業省の情報と照らし合わせる
★3の取得を外部の支援を受けながら進めたい場合、IPAは「サイバーセキュリティお助け隊サービス（新類型）」の実証事業も進めています（お助け隊サービスの新類型の速報）。何から手をつけるか迷う場合は、中小企業のセキュリティ対策ガイド｜まずやる5つと費用で最初にやる対策を整理しています。監視や駆けつけを外部に任せる費用は、セキュリティ対策の補助金で軽くできる場合があります。補助金の対象・上限・締切は公募回で変わるため、最新は事務局の公式サイトで確認してください。
出典
- IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の評価用ガイド等を公開」（2026年10月28日）
- IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
- IPA「SCS評価制度 要求事項・評価基準」
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
- 経済産業省「SCS評価制度に係る不適切な勧誘に御注意ください」
※本記事は2026年10月30日時点の公開情報にもとづきます。制度の開始時期・手続き・料金は今後の公表で変わる可能性があります。最新はIPA・経済産業省の公式ページで確認してください。