SCS Evaluation System

セキュリティ対策は「各社バラバラ」から「共通のものさし」へ。SCS評価制度は、企業のセキュリティ対策を★（星）で可視化する、新しい国の評価制度です。

セキュリティ対策は「各社バラバラ」から「共通のものさし」へ。SCS評価制度は、企業のセキュリティ対策を★（星）で可視化する、新しい国の評価制度です。

2026年度の運用開始を目指して、経済産業省が準備を進めるSCS評価制度。制度とは何か、★はどう決まるのか、そして今から何を準備すべきか——押さえておくべきポイントを、ここで整理します。

SCS評価制度とは、企業のセキュリティ対策の実施状況を、共通の基準で客観的に評価・可視化する制度です。

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）とは、経済産業省が準備を進めている、企業のセキュリティ対策の実施状況を共通の基準で客観的に評価・可視化するための制度です。これまで各社がバラバラに行い、個別に説明してきたセキュリティ対策を、★（星）という統一されたものさしで示す——それがSCS評価制度の狙いです。
2026年3月には、経済産業省および内閣官房国家サイバー統括室から、制度の構築方針が公表されました。2026年度の運用開始を目指して、現在も制度の詳細設計と準備が進められています。

セキュリティ対策のレベルに応じて★1から★5までの段階で評価される仕組みです。上位レベルは下位レベルの要求事項を包含する設計となっており、2026年3月には実務上の中心となる★3・★4の要求事項および評価基準が公表されました。

SCS評価制度は、特定の業種や企業規模に限定された制度ではありません。取引先から自社のセキュリティ対策水準の提示を求められることをきっかけに、対応を検討する企業が増えていくと考えられます。

※制度の内容やスケジュールは今後更新される可能性があるため、最新情報は経済産業省・IPAの公式情報をご確認ください。

「ISMSやPマークを取得していれば、SCS評価制度への対応は不要では？」という疑問はよく聞かれます。結論から言えば、これらの認証を取得していても、SCS評価制度への対応は別途必要になると考えられます。評価する対象が異なるためです。
ISMS（ISO 27001）は情報セキュリティを組織的に管理する「仕組み（マネジメントシステム）」が整っているかを評価する認証で、Pマークは個人情報の適切な取り扱いに特化した認証です。いずれも「体制・仕組み」に主眼を置いています。
これに対してSCS評価制度は、セキュリティ対策が実際にどこまで実施されているか、その「実施状況」を共通の基準で評価する点に特徴があります。「仕組みがあるか」ではなく「対策ができているか」を、★（星）という統一されたものさしで段階的に示すのがSCS評価制度です。

SCS評価制度への対応は、一朝一夕に完了するものではありません。特に★3で求められる対策は、自社の現状把握から始まり、不足している対策の実装、運用体制の整備まで、段階的に進める必要があります。制度の運用開始を待ってから着手するのではなく、今のうちから準備を始めておくことが、スムーズな対応につながります。