2026年9月11日

SCS評価制度とは？企業に求められるセキュリティ対策と今からできる準備

近年、サイバー攻撃のリスクが高まる中、企業単体だけでなく、取引先や委託先などを含めたサプライチェーン全体でセキュリティ対策を強化することが求められています。
こうした背景から、経済産業省と内閣官房国家サイバー統括室は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の構築を進めています。
SCS評価制度では、企業のセキュリティ対策状況を共通の基準で評価・可視化し、取引先とのセキュリティ対策の確認などに活用することが想定されています。制度は2026年度末頃の開始を目指して取り組みが進められています。
今のうちから、自社のネットワークやセキュリティ環境を見直しておくことが重要です。

SCS評価制度とは？

SCS評価制度は、企業のサイバーセキュリティ対策状況を評価・可視化し、サプライチェーン全体のセキュリティ対策水準を高めることを目的とした制度です。
サプライチェーンでは、発注元企業だけでなく、その取引先や委託先などがサイバー攻撃の侵入口となる可能性があります。そのため、企業同士が共通の基準をもとにセキュリティ対策の状況を確認できる仕組みづくりが進められています

★の段階でセキュリティ対策を可視化

SCS評価制度では、企業のセキュリティ対策状況を★3～★5の段階で評価します。★の数によって、想定される脅威や求められるセキュリティ対策の水準が異なります。
2社間の取引契約などにおいて、発注側企業が受注側企業に対して、必要なセキュリティ対策の段階（★）を提示し、その対策の実施を促したり、実施状況を確認したりすることが想定されています。

なお、SCS評価制度は★の取得を法律などで一律に義務付けるものではありません。
★3・★4の取得は任意であり、どの段階を求めるかは、取引先との契約などにおいて決められることが想定されています。
※SCS評価制度の詳細は今後変更される可能性があります。最新の制度内容については経済産業省の公式情報をご確認ください。

今後、取引先からセキュリティ対策を求められる可能性も

SCS評価制度は、大企業だけを対象としたものではありません。
サプライチェーンを構成する中小企業も含め、企業間の取引においてセキュリティ対策の状況を確認するために活用されることが想定されています。
例えば、発注側企業から、「どのようなセキュリティ対策を実施していますか？」、「現在のセキュリティ対策状況を教えてください」といった確認を受ける場面が考えられます。
その際、自社でどのような対策を行っているのか把握できていなければ、状況を説明することも難しくなります。
そのため、制度への対応を考えるうえでも、まずは自社の現在のセキュリティ環境を把握しておくことが重要です。

まずは自社のセキュリティ環境を確認してみましょう

セキュリティ対策というと、UTMやウイルス対策ソフトなどの導入を思い浮かべるかもしれません。
しかし、実際にはネットワーク環境やWi-Fi、VPN、サーバー・NAS、PC・端末など、社内のIT環境全体を確認する必要があります。

UTM

UTMを導入していても、導入から長期間経過していたり、更新時期や保守状況を把握できていなかったりする場合は、現在の環境に適した状態になっているか確認が必要です。

ネットワーク・Wi-Fi

社内のネットワーク構成やWi-Fi環境を把握できていますか？通信速度や接続の安定性だけでなく、どの機器がどのネットワークに接続されているのかなど、現在の構成を把握しておくことも重要です。

サーバー・NAS

サーバーやNASの保守期限、バックアップの取得状況なども確認しておきたいポイントです。
万が一、データが破損・消失した場合に、必要なデータを復旧できる状態になっているかも重要です。

PC・端末管理

PCや業務端末についても、OSやセキュリティソフトが適切に更新されているか確認しておきましょう。

セキュリティ対策は、導入して終わりではありません

UTMやセキュリティソフトなどを導入するだけで、すべてのセキュリティリスクをなくせるわけではありません。
ネットワーク構成や端末管理、アクセス環境、バックアップなど、さまざまな要素を継続的に確認し、必要に応じて環境を見直していくことが大切です。
また、SCS評価制度は特定のセキュリティ製品の導入を求めるものではありません。
大切なのは、自社の環境にどのようなリスクがあり、どのような対策を行っているのかを把握しておくことです。