サプライチェーンセキュリティ評価制度とは？ISO27001との関係と対応ステップを解説

取引先からのサイバー攻撃リスクに不安を感じている企業の担当者の方や「取引先のセキュリティ水準をどう確認すればよいか」「自社は何の対策をすれば取引継続できるのか」と悩んでいる情報システム部門・経営層の方は多いのではないでしょうか。

経済産業省と内閣官房国家サイバー統括室が制度構築を進める「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」は、★3・★4について2026年度下期（2027年3月頃）の運用開始が予定されています。
制度が始まれば、発注企業が取引条件として特定の「★」取得を求めるケースが現実になる可能性があるため、事前の準備が非常に重要になります。

そこで、この記事ではサプライチェーンセキュリティ評価制度の全体像はもちろん、★3・★4・★5それぞれの違いと自社が目指すべき水準、開始スケジュール、費用感までを詳しく解説します。

サプライチェーンセキュリティ評価制度（SCS評価制度）とは？

サプライチェーンセキュリティ評価制度（SCS評価制度）とは、サプライチェーンを構成する各企業のセキュリティ対策状況を、統一された基準で評価・可視化する仕組みです。

経済産業省および内閣官房国家サイバー統括室が主導して策定を進めており、2026年度下期（2027年3月頃）の制度開始を目指しています。

ここではまず、サプライチェーンセキュリティ評価制度の目的や位置づけといった基本的な知識について解説します。

制度の目的：セキュリティ対策の「可視化」

これまで、企業のセキュリティ対策状況は各社の自己申告や個別のチェックシートに頼る部分が多く、「本当に十分な対策がなされているか」を外部から客観的に確認することが難しい状態でした。

そこでSCS評価制度では、この課題を解決するために、セキュリティ対策の実施状況を★3・★4・★5の3段階で可視化します。
★3は専門家の確認を受けた自己評価、★4は評価機関による第三者評価によって、対策状況を確認・可視化します。発注企業は取引先の対策水準を星の数という共通の指標で把握でき、受注企業は共通の評価基準に基づいて自社のセキュリティ対策状況を可視化し、取引先に示せるようになります。

つまり、本制度を一言で表すと、「セキュリティ対策を見える化するために共通言語をつくる」ことです。本制度は、サプライチェーンを構成する企業等が任意で利用する評価制度です。発注者が取引先に求めるセキュリティ対策水準を示し、取引先の対策状況を共通の基準で確認する用途が想定されています。

公的制度としての位置づけ

サプライチェーンセキュリティ評価制度は、民間が自主的に運営する認証制度とは異なり、国が主導する公的制度です。

そのため、将来的に取引条件として求められる可能性が高く、法令・ガイドラインとの整合も図られています。具体的には、以下の既存制度と相互補完的に位置づけられています。

なお、本制度はセキュリティ対策の優劣を競わせる「格付け制度」ではありません。
あくまで各企業がサプライチェーンにおける自社の立ち位置に応じて適切な対策水準を選択し、それを可視化するための指針として活用されることが想定されています。

サプライチェーンセキュリティ評価制度が策定された背景

サプライチェーンセキュリティ評価制度が策定された背景には、サプライチェーンを狙ったサイバー攻撃の増加と発注側・受注側それぞれが抱えていた構造的な課題があります。

近年、セキュリティ対策が手薄な取引先を「踏み台」にして大企業や重要インフラを狙う「サプライチェーン攻撃」が急増しています。
IPAの「情報セキュリティ10大脅威2026」でも、社会的影響の大きい脅威の第2位にランクインしました。被害は1社にとどまらず取引先・グループ企業へ連鎖的に拡大するため、業界全体で一定水準以上の対策を揃える統一基準が求められていました。

もう一つの背景が、発注側・受注側双方の悩みです。発注側は取引先ごとに個別のチェックシートで確認するしかなく客観性や管理コストに課題を抱え、受注側は取引先ごとに異なる要件への対応で工数とコストが膨らんでいました。

この2つの課題を、一つの共通基準で解決することを目指して策定されたのが、サプライチェーンセキュリティ評価制度です。

サプライチェーンセキュリティ評価制度の対象「★3～★5」とは？

SCS評価制度では、企業のセキュリティ対策水準を★3・★4・★5の3段階で評価します。
★1・★2はSCS評価制度の前段に位置づけられる既存制度「SECURITY ACTION」の区分を指しており、SCS評価制度そのものは★3からスタートします。

※上位の段階はそれ以下の段階で求められる事項を包括しますが、「★3を取得していなければ★4を取得できない」という前提条件の関係にはなりません。

ここでは、サプライチェーンセキュリティ評価制度の各段階について解説します。

★1・★2：既存制度における自己宣言

★1と★2は、IPAが運営する「SECURITY ACTION（セキュリティアクション）」という自己宣言型の制度です。

費用をかけずに実施できる点が特徴で、中小企業のセキュリティ対策の入口として位置づけられています。

★1（一つ星）：「情報セキュリティ5か条」に取り組むことを自己宣言
★2（二つ星）：「5分でできる！情報セキュリティ自社診断」を実施し、情報セキュリティ基本方針を定めて外部に公開したうえで、取り組みを自己宣言

サプライチェーンセキュリティ評価制度は、SECURITY ACTIONを土台として、より重要度の高いサプライチェーン企業に★3以上の水準を求める構成となっています。

★3：最低限レベルの情報セキュリティ体制

★3は、サプライチェーンを構成するすべての企業が最低限実装すべきセキュリティ水準として位置づけられています。
想定される脅威は、「広く認知された脆弱性を悪用する一般的なサイバー攻撃（ランサムウェアなど）」です。

対策の内容は、基礎的なシステム防御策と体制整備を中心としており、具体的には以下のような要求事項が含まれます。

• 自社IT基盤・資産の現状把握と台帳整備
• 不正アクセスに対する基礎的な防御（ファイアウォールの設定など）
• 端末・サーバーの基礎的な保護（パッチ適用、マルウェア対策等）
• インシデント発生に備えた対応手順の整備
• セキュリティに関する社内ルールの策定・周知
• 従業員への年1回以上のセキュリティ教育の実施

評価は「専門家確認付き自己評価」で行います。
企業が自ら評価を行い、セキュリティ専門家による確認・助言を経て評価結果を確定させる方式です。有効期間は1年で、年次での自己評価による更新が必要です。

なお、★3の要求事項は計26項目に及び、すべてのユーザーIDに関する要求やすべてのファイアウォールに関する要求など、対応範囲が広いものも含まれています。
「自己評価だから簡単」とは言い切れず、早期から準備を進めることが重要です。

★4：標準レベルの情報セキュリティ体制

★4は、サプライチェーン企業が標準的に目指すべきセキュリティ水準です。
★3よりも高度な脅威として、「サプライチェーン全体に大きな影響をもたらす攻撃」や「機密情報の漏洩など資産に大きな影響をもたらす攻撃」を想定しています。

★3の要求事項に加えて、以下のような包括的な対策が求められます。

• 継続的改善に資するリスク管理体制の構築
• 取引先のセキュリティ対策状況の把握と管理
• 多層防御による侵入リスクの低減
• 迅速な異常検知のための監視体制
• インシデントからの復旧手順の整備
• 脆弱性の最新状況の把握と対策への反映

評価方式は「第三者評価」であり、書面確認に加え、実地審査と技術検証（脆弱性検査等）が実施されます。特に、インターネットに公開しているVPN装置やルーターなどリスクの高い機器への脆弱性検査が求められます。

要求事項は、★3が26件、★4が43件です。★4では、★3よりも包括的・標準的なセキュリティ対策が求められます。有効期間は3年です。有効期間内は年次で自己評価を実施し、更新時に再度第三者評価を受ける必要があります。

★5：企業が目指すべき到達点としての情報セキュリティ体制

★5は、未知の攻撃を含む高度なサイバー攻撃にも対応できる、企業が到達点として目指すべき最高水準です。

国際規格等におけるリスクベースの考え方に基づき、自組織に必要な改善プロセスを整備したうえで、現時点でのベストプラクティスを実施することが求められます。

ただし、★5の評価方式・対策基準・評価スキームの詳細については、2026年度以降に具体化を検討する予定であり、2026年度下期（2027年3月頃）の制度開始時点では★3・★4のみが対象となります。

サプライチェーンセキュリティ評価制度では「★3・★4」のどちらを取得すべき？

サプライチェーンセキュリティ評価制度は義務ではありませんが、発注企業が取引条件として特定の星の取得を求めることが想定されています。そのため、自社がどちらの取得を目指すべきかを事前に判断しておくことが重要です。

ここでは、企業が取り組む際にサプライチェーンセキュリティ評価制度のうち、「★3・★4」のどちらを取得すべきかについて解説します。

★3・★4の違い【比較表】

★3と★4の最大の違いは評価方式の厳格さにあります。★4は実地審査・脆弱性検査を含む第三者評価が必須で、準備には数ヶ月〜1年程度かかります。

★3・★4の違いについて、以下の表で整理しましょう。

どちらを取得すべきか迷ったときの判断基準

発注企業が取引先に★3・★4のどちらを求めるかは、主に「事業継続リスク」と「情報管理リスク」の2つの観点から判断されます。

以下のフローで自社が求められる水準を確認してみましょう。

★4を求められる可能性が高いケース

• 発注元企業の内部システムへのリモートアクセス権限がある
• 発注元企業の機密情報（設計データ、個人情報等）を取り扱っている
• 取引が停止すると、発注元企業の業務に許容できない遅延・停止が発生する

★3の取得で良い可能性があるケース

• 上記の条件に該当せず、発注元への影響が限定的
• 単発・一過性の調達や、市場で代替可能な製品・サービスの提供が中心

ただし、今は★3でも、取引内容の変化によって将来的に★4を求められる可能性がある企業は、早期から★4を見据えた体制整備に着手することがおすすめです。
というのも、第三者評価・技術検証を要する★4の準備には、一般的に数ヶ月〜1年程度の期間が必要になるためです。

なお、「★3を取得してからでないと★4を申請できない」という前提条件はありません。★4の要求事項は★3を包含しているため、★4を目指す場合は最初から★4の要件に向けて取り組むことが効率的です。

【独自調査】約7割が「★3」以上の取得を目指す

ISOプロが実施した独自調査では、約7割の企業が「★3」以上の取得を目指しており、特に「★4」を目標とする企業が最も多いという結果が出ています。

今後どの★水準の取得を目指したいか尋ねたところ、以下のような回答が得られました。

• 「★5」の取得を目指して、情報収集や準備を進めたい：22.9％
• 「★4」の取得を目指して、情報収集や準備を進めたい：31.6％
• 「★3」を最低ラインとして、情報収集や準備を進めたい：19.7％

この上位3項目を合計すると、全体の約7割が「★3」以上の取得を目標にしていることになります。

「★4」「★5」といった上位水準を目標に掲げる企業だけでも合わせて約半数にのぼり、新制度への対応を単なる義務ではなく、取引先からの信頼獲得や競争力維持につながる「事業上の強み」として前向きに捉える企業が多いことがうかがえます。

サプライチェーンセキュリティ評価制度の対象範囲

サプライチェーンセキュリティ評価制度の対象範囲は、「IT基盤」や「外部ネットワーク境界」を中心としています。どの範囲が対象となり、どの範囲が対象外となるかを正確に理解することが、制度対応の第一歩となります。

ここでは、サプライチェーンセキュリティ評価制度の対象範囲について解説します。

対象となるシステム・機器

本制度が評価対象とするのは、サプライチェーンを構成する企業のIT基盤全体です。オンプレミス環境だけでなく、クラウド環境も含まれます。

具体的には以下のシステム・機器が対象となります。

また、★取得の適用範囲は「企業グループ全体」「自社単体」「特定の事業部門のみ」など、実態に応じて柔軟に設定することが可能です。
例えば、海外拠点の対策水準が異なる場合は、国内拠点のみを対象に★取得を進めるといった対応も選択肢となります。

対象外となる3つのケース

一方、以下のカテゴリは原則として本制度の対象外とされています。

対象外のシステムが評価対象のシステムと接続している場合は、VLANやファイアウォールなどのネットワーク機器を使って技術的に境界を分離する必要があります。

また、サポート切れのソフトウェアなど、要件への対応が困難なシステムを対象外とする場合も、除外理由を明記したうえで専門家（★3）または評価機関（★4）による妥当性の確認を受ける必要がある点に注意が必要です。

企業が今すぐ着手すべき3つのアクション

制度の正式開始を待たずとも、今から着手できる準備が3つあります。

特に★4は第三者評価・技術検証を伴うため、準備には数ヶ月〜1年程度かかります。制度の詳細が固まってから動き始めるのではなく、今の時点でできる準備から着実に進めていきましょう。

経済産業省の要求事項案を確認し、自社に必要な水準を把握する

まず取り組むべきは、経済産業省が公表している要求事項の内容を確認し、自社がどの水準（★3・★4）を目指すべきかを把握することです。

2026年3月27日には「制度構築方針」が正式に公表され、IPA（情報処理推進機構）が運営する制度の特設サイトも公開されています。

経済産業省・IPAの公式情報を定期的にチェックし、自社が発注元からどの水準を求められる可能性があるかを、取引関係の実態に照らして早めに見積もっておきましょう。

現状のセキュリティ対策とのギャップ分析を実施する

次に行うべきは、自社の現状のセキュリティ対策と目標とする★の要求事項との間にどれだけギャップがあるかを洗い出すことです。

ISO27001（ISMS）を取得している企業は、リスク管理体制や規程、内部監査、継続的改善など、SCS評価制度への対応に活用できる既存の仕組みを持っている場合があります。

ただし、ISMS認証を取得しているだけで★3・★4の要件を満たすわけではありません。SCS評価制度が求める具体的なシステム防御策や技術検証を含め、要求事項ごとのギャップ確認が必要です。

一方、これからセキュリティ対策に取り組む企業は、IT資産の棚卸しや基礎的な防御策の整備など、着手すべき項目が多くなる傾向があります。

自社の現状を客観的に棚卸しし、優先順位をつけて対応計画を立てることが重要です。

★4を見据える場合は、実地審査・技術検証への対応体制を整備する

★4の取得を目指す場合は、実地審査や脆弱性検査といった技術検証に対応できる体制を、早い段階から整えておく必要があります。

★4では、インターネットに公開しているVPN装置やルーターなど、リスクの高い機器への脆弱性検査が求められます。技術検証に耐えられる体制を作るには、既存のシステム構成の見直しや、脆弱性診断を実施できる専門人材・外部パートナーの確保が欠かせません。

準備に時間がかかる領域だからこそ、他の2つのアクションと並行して早めに着手しておくことをおすすめします。

ISOプロ編集部

月間10万PV越えの業界最大級ISO取得・運用情報サイト「ISOプロ」の編集部。ISO取得や運用に関する悩みや基礎知識を初心者の方にも分かりやすくお届けします。サイトユーザー様がISOに関わる業務を円滑に進められるよう、有益で信頼できる情報発信に努めて参ります。

SCS評価制度は制度開始前のため、まず要求事項の確認から着手する企業が中心です。特に★4を視野に入れる場合、実地審査と脆弱性検査への対応準備に数か月〜1年程度を見込んでおく必要があります。

ISO27001（ISMS）を運用している企業であれば、リスク管理体制・規程類・内部監査の仕組みをそのまま活用できる部分があります。既存のISMS文書とSCS評価制度の要求事項を突き合わせ、流用できる項目と新たに整備が必要な項目を切り分けるところから始めると、着手のハードルを大きく下げられます。

サプライチェーン強化に向けたセキュリティ対策評価制度の開始スケジュールと必要費用

ここでは、サプライチェーン強化に向けたセキュリティ対策評価制度の開始スケジュールと必要費用について解説します。

開始スケジュール

本記事執筆時点で公表されているスケジュールは以下のとおりです。

注目すべき点は、★3・★4の運用開始が2026年度下期（2027年3月頃）に予定されていることです。
★4取得には第三者評価・技術検証を含む審査が必要なため、今から準備を始めても決して早すぎることはありません。

なお、中小企業向けの支援策として「サイバーセキュリティお助け隊サービス（新類型）」の創設も予定されています。★3・★4の取得支援や未達項目の改善支援をワンパッケージで提供するサービスで、2026年度内に実証事業が開始される見込みです。

必要費用

制度の評価・認証にかかる費用は現時点で確定していませんが、段階ごとの費用の目安を以下にまとめました。★3・★4の申請・登録費用は、2026年7月時点では公表されていません。公式料金の公表前に具体的な金額を断定することはできないため、以下では発生する可能性がある費用項目を整理します。

ただし、評価費用（審査費用）とは別に、以下のコストが発生する可能性があります。

• セキュリティ対策ツールの導入・更新費用（EDR、ファイアウォール、多要素認証等）
• セキュリティ専門人材の確保・育成費用
• コンサルティング費用（ギャップ分析・対策計画策定支援等）
• 脆弱性診断の実施費用（特に★4では技術検証として必須）
• 社内体制整備・教育費用

早めに予算計画を立て、優先順位を付けた段階的な対応を進めることが重要です。

まとめ

この記事では、「サプライチェーンセキュリティ評価制度（SCS評価制度）」について、概要や策定の背景、★ごとの違い、対象範囲、スケジュール・費用目安について解説しました。

制度への対応は、単なる「義務への対応」ではなく、自社のセキュリティ体制を底上げし、取引先からの信頼を獲得するビジネス機会でもあります。

まずは経済産業省が公表しているガイドラインや要求事項案を参照しながら、自社の現状把握（ギャップ分析）から着手することがおすすめです。自社だけでの対応が難しい場合は、専門のコンサルティングサービスの活用も検討してみてください。

術的に境界を分離する必要があります。

ISOプロでは月額4万円から御社に合わせたISO運用を実施中

ISOプロではISO各種の認証取得から運用まで幅広くサポートしております。

また、マニュアル作成など御社に合わせたムダのない運用を心がけており、既に認証を取得しているお客様においてもご提案しております。

サポート料金においても新プランを用意し、業界最安級の月額4万円からご利用いただけます。