SCS評価制度の要求事項とは？★3/★4の評価基準を一覧で徹底解説

近年、強固な大手企業を直接狙うのではなく、その取引先である中堅・中小企業を経由して侵入を試みる「サプライチェーン攻撃」が深刻化しています。

こうした脅威に対抗するため、経済産業省が主導して創設したのが「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」です。

2026年度末頃の運用開始に向けて準備が進められており、今後は主要取引先とのビジネス継続において、この評価制度における星（★）の取得が実質的な取引条件となる可能性が高まっています。

本記事では、すべての企業が目指すべき最低ラインである★3（三つ星）と、重要サプライヤーに求められる★4（四つ星）の要求事項や評価基準について徹底的に解説します。

SCS評価制度とは？サプライチェーン全体のセキュリティを可視化する新基準

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、日本国内のあらゆるサプライチェーンで汎用的に利用できるサイバーセキュリティの新たな格付け基準です。

業界を問わず、サプライチェーン全体の防衛力を底上げすることを目的に設計されています。

SCS評価制度によるメリットや概要、今すぐ取り組むべき対策についてはこちらの記事をご覧ください。

SCS評価制度の対象となる組織と適用範囲

本制度の対象は、発注元、受注先、再委託先など、サプライチェーンに関わるあらゆる企業や団体です。

評価を取得する範囲は、自社の組織の実態に応じて「企業グループ全体」「自社単体」「特定部門のみ」など柔軟に設定することができます。

なお、評価の対象となるのはパソコン、サーバー、ネットワーク機器、外部ネットワークとの境界部などの「企業のIT基盤」です。

工場などで稼働する制御システム（OT）や、自社で開発・提供する製品・サービスそのものは評価の対象外となっています。

SCS評価制度における要求事項の全体像と枠組み

SCS評価制度は、日本国内のあらゆるサプライチェーンで汎用的に利用できるサイバーセキュリティの格付け基準ですが、単にツールを入れれば良いというものではなく、体系化された要求事項に基づいて組織の防衛力を評価します。

要求事項を構成する「7つの大分類」（NIST CSF 2.0＋取引先管理）

SCS評価制度の要求事項は、国際的なセキュリティ枠組みであるNIST（米国国立標準技術研究所）のサイバーセキュリティフレームワークが定める

・統治
・識別
・防御
・検知
・対応
・復旧

6つの機能に、サプライチェーンリスクに着目した「取引先管理」を加えた計7つの大分類で整理されています。

サイバーセキュリティフレームワークのNISTについて詳しく知りたい方はこちらをご覧ください。

評価レベル（★1〜★5）ごとに求められる要求事項の厳しさの違い

本制度は、対策の実施水準や検証方法に応じて★1から★5までの5段階で構成されており、レベルに応じて要求される技術的・組織的ハードルが大きく異なります。

★1（一つ星）・★2（二つ星）
既存の「SECURITY ACTION」をベースとした自己宣言段階です。
★1は基本対策の宣言、★2は基本方針の策定・公開を求めていますが、外部機関による確認は行われません。

★3（三つ星）
すべての事業者が最低限クリアすべき基準です。
自社の外部ネットワーク境界部を適切に監視する対策や基本的な管理ルールが求められ、指定資格を持つセキュリティ専門家（情報処理安全確保支援士やCISSPなど）の確認を経た自己評価（有効期間1年）が必要です。

★4（四つ星）
重要サプライヤーに求められる標準レベルです。
入口・出口だけでなくEDR等による社内端末の挙動監視、ログの長期保管、脆弱性検査などが厳格に求められ、認定された評価機関による第三者評価（有効期間3年）が必須となります。

★5（五つ星）
国の安全保障等に関わる最上位レベルです。
未知の攻撃に対応する高度な脅威インテリジェンスの活用などが想定されていますが、具体基準は現在検討中となっています。

【実務視点】ISMS/PマークやSECURITY ACTIONと「要求事項」はどう違う？

ISMS認証（ISO/IEC 27001）やプライバシーマーク（Pマーク）は、組織における情報管理の「仕組みや管理体制（ガバナンス）」が整備されているかを評価する要求事項が中心です。

これに対し、SCS評価制度は「外部ネットワークからのサイバー攻撃に対する防御力・検知力（ログ保管、EDR、多要素認証など）」の技術的・物理的対策に強い重点が置かれています。

そのため、ISMSを取得している組織であっても、攻撃防御に特化したSCS評価制度の要求事項への適合確認・対応が別途必要になります。

【一覧表】SCS評価制度「★3」と「★4」の要求事項・評価基準の比較

2026年度末の運用開始にあたり、多くの企業が対応を急ぐのが「★3」および「★4」の要求事項です。

それぞれの実務上の差異と具体的な内容を一覧で比較解説します。

「★3（全26項目）」と「★4（全43項目）」の決定的な違い

★3は全26件の要求事項で構成され、基本的な管理ルールと対策ツール（マルウェア対策ソフト等）の導入を専門家確認つきの自己評価で担保します。

一方の★4は全43件の要求事項があり、ログの6ヶ月以上保管、多要素認証（MFA）の厳格化、VPN装置などへの脆弱性検査（ペネトレーションテスト等）、実地調査が加わります。

なお、★4は★3の内容を内包しているため、★3を経ずに★4を直接申請することも可能です。

分野別・要求事項の比較チェックリスト

企業が特に注意すべき「ハードルの高い要求事項」と対策のコツ

★3・★4の取得を目指すうえで、特に現場でのハードルが高くなりやすい要求事項と対策のポイントを整理します。

①パッチ適用・脆弱性対応（14日以内の適用ルールなど）

特に★4で求められる「重大な脆弱性発表から14日以内のパッチ適用」は、業務システムへの影響検証期間を考慮すると運用の自動化や標準化が不可欠です。

事前の検証環境の準備や、自動配信システムの整備が成功の鍵となります。

②ログの長期保管と監視体制（6ヶ月以上の保管・SOCの運用）

各種ログ（入退室、アクセス、通信等）を6ヶ月以上安全に保管するストレージ容量の確保が必要です。

また、ログを保存するだけでなく、不審な挙動を分析・判定できるSOC機能の確保（外部SIEMやSOCサービスの導入）が大きなポイントとなります。

③インターネット境界および端末における多要素認証（MFA）の徹底

クラウドサービスだけでなく、VPNやリモートデスクトップ、社内重要システムへのアクセスすべてに多要素認証を適用させる必要があります。

ID統合（SSO）ツールの導入とセットで検討することが効率的です。

要求事項をクリアして★3・★4を取得するための3ステップ

要求事項に適合し、星を獲得するためには、単なるツールの導入だけで終わらない計画的な取り組みが必要です。

Step 1：現状把握と現状のギャップ分析（自社対策と要求事項の差分チェック）

まずは、自社が目指すランク（★3または★4）を決定します。

主要取引先からの要求やサプライチェーン上の役割を勘案して目標を設定したら、IPA公開のチェックリスト等を活用し、現状の社内ルールやIT資産台帳、技術的対策と「要求事項とのギャップ（差分）」を客観的に洗い出します。

Step 2：対策ロードマップの策定（規程作成・ツール導入・社内教育のスケジュール化）

現状のギャップに基づき、ルール整備が必要な項目、技術的対策（多要素認証、ログの長期保管、SOC・EDRの導入など）が必要な項目を整理します。

2026年度末の運用開始時期から逆算し、実行可能な予算・スケジュール・対策ロードマップを策定します。

Step 3：運用体制の定着と継続的な点検・PDCA

ロードマップに従ってセキュリティ基本方針や手順書を改定し、社内研修や標的型攻撃メール訓練等を通じて全社へ周知徹底します。

技術的対策の導入完了後はPDCAサイクルを回し、定期的に遵守状況を点検・監査する継続的な運用体制へと定着させていきます。

SCS評価制度の要求事項に関するよくある質問（FAQ）

★3の要求事項を満たしているか、自社だけで確認・判断できますか？

自社での事前チェックは可能ですが、最終的に★3の認定を受けるには、制度が指定する「セキュリティ専門家（情報処理安全確保支援士やCISSPなど）」による確認・評価プロセスを経る必要があります。

すべての要求事項を一度に満たせない場合、どうすればよいですか？

一度にすべてを導入するのが難しい場合、まずは「外部境界防御」や「バックアップ」など、インシデントに直結しやすい高リスクな要求事項から優先的に対応するロードマップを作成し、段階的に適合を進めるのが一般的です。

★3を取得したあと、★4へステップアップすることは可能ですか？

可能です。

★4は★3の要求事項を包含する形で設計されているため、★3取得後に不足している差分項目（ログ長期保管、SOC運用、第三者評価、実地調査対応など）を追加整備することでステップアップできます。

まとめ：要求事項を正しく理解し、早期の適合準備を進めよう

SCS評価制度は、サプライチェーン攻撃から自社とパートナー企業を守るための客観的かつ非常に重要な基準です。

特に★3や★4の要求事項を満たすには、単にツールを導入するだけでなく、セキュリティポリシーの策定、インシデント対応体制の構築、ログの保管設定、さらには全従業員への徹底的な教育など、組織としての「継続的な運用体制」を整えることが求められます。

2026年度末の本格的な制度開始を慌てずに迎えるためにも、まずは現状把握とギャップ分析からスタートし、余裕を持ったスケジュールで適合準備を推進していきましょう。

株式会社システナのSCS評価制度適合支援

セキュリティ専任の担当者が不足している企業にとって、多岐にわたるSCS評価制度の要求事項すべてに自社だけで対応するのは、業務負担や技術的知見の面で非常に高いハードルとなります。

自社だけでの要求事項クリアが難しい理由（リソース・専門知識の不足）

★3・★4の要求事項を満たすには、規程類の策定だけでなく、ログの6ヶ月保管設計、EDR・SOCの選定、MFAの全社展開、復元訓練など、多角的な技術ノウハウが必要となります。

社内リソースだけで対応しようとすると、業務の圧迫や対応漏れが発生するリスクがあります。

株式会社システナの「サプライチェーン評価制度 適合支援」の特徴

システナが提供する「サプライチェーン評価制度 適合支援」は、2026年度の制度開始を見据え、取引条件となり得る★ランクの取得に向けてお客様をワンストップでサポートします。

単なる診断で終わらせず、不足している社内規程の作成支援から、多要素認証・EDR・SOC等の技術的対策の選定・導入、運用後の定着化やPMOとしてのプロジェクト管理まで伴走支援いたします。

まずは「簡易アセスメント（現状ギャップ診断）」からご相談ください

セキュリティ対策の第一歩は、現状を正しく把握することから始まります。

自社の対策レベルが今どれくらいの位置にあるのか、目標ランクの要求事項に対してどの程度のギャップがあるのか不安な担当者の方は、まずはシステナの無料相談や簡易アセスメントをご活用ください。

社内のリソース状況に応じた、現実的かつ最適な適合計画をご提案いたします。