取引先に「SCS対応」を求められたら、何から始めるか。
- ・SCS評価制度（経済産業省・IPA）は、サプライチェーン全体のセキュリティ水準向上を目的とした任意の制度です。2社間の取引契約等において、委託元が委託先に求めるセキュリティ対策の段階（★）を提示し、その対策の実施と実施状況の確認を行うことを想定しています。
- ・★3・★4は2027年3月頃の運用開始が予定されています（2026年7月時点の公開情報）。制度が動き出す前の、今の現状把握と改善が準備のすべてです。
- ・CISOaaSは★3・★4の評価基準に沿って現状を可視化し、ギャップ把握・改善計画づくりで申請準備を支援します（★の取得や適合を保証するものではありません）。
- SCS評価制度の全体像(★1〜★5・スケジュール・任意性)
- CISOaaSでできること(画面サンプル付き)
- 進め方とプラン対応(★3=自己診断プラン以上／★4=専門家レビュー プラン以上)
SCS評価制度とは何か。
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」(略称:SCS評価制度)。経済産業省が制度構築を主導し、独立行政法人情報処理推進機構(IPA)が運営します。
サプライチェーン全体のセキュリティ対策水準向上が目的で、2社間の取引契約等において委託元が委託先に適切な段階(★)を提示し、対策の実施状況を確認する仕組みとして想定されています。任意の制度であり、法的な義務ではありません。対象は全サプライチェーン企業で、特に中小企業への効果が期待されています。
| 段階 | 評価方法 | 要求事項 | 有効期間 |
|---|---|---|---|
| ★1・★2 | SECURITY ACTION(自己宣言) | — | — |
| ★3 | 専門家確認付き自己評価 | 26項目 | 1年 |
| ★4 | 第三者評価(実地審査含む) | 43項目 | 3年 |
| ★5 | 検討中 | — | — |
- 12026年10月頃:解説書・申請方法の公開予定
- 22027年3月頃:★3・★4 運用開始予定
- 3費用は今後公開予定(2026年7月時点で未定)
本ページの制度情報は2026年7月時点の公開情報(経済産業省・IPA)に基づきます。最新情報は経済産業省・IPAの公式情報をご確認ください。
評価基準に沿って、
現状をひとつずつ可視化する。
★3・★4の評価基準をもとに、AIヒアリングで現状を確認し、大分類別のスコアとギャップ、改善計画、報告書までを一気通貫で支援します。
支援すること
- ★3(評価基準81問)・★4(評価基準153問、★3を包含)に沿った現状の可視化
- 大分類7区分ごとのスコアとギャップの把握
- リスク分析にもとづく改善計画の立案
- 経営層・取引先への説明に使えるPDF報告書の作成
- 専門家レビュー プラン以上による評価品質の担保
行わないこと
- ★の取得・適合の保証(★の付与は制度側の手続きによります)
- ★4評価機関による第三者評価、および資格要件を満たした登録セキュリティ専門家による確認そのものの代替
★3・★4 を選んで、評価基準に沿って始める。
自社が目指す段階を選ぶだけで、評価基準に対応した設問がAIヒアリングに反映されます。
- ★3=評価基準81問(基本)
- ★4=評価基準153問(★3を包含・推奨/上位水準)
- プランに応じて選べる段階が決まります
全企業に推奨される基本的な対策
評価基準 81問取引先要件・公共調達等で求められる上位水準
評価基準 153問(★3 を包含)プロフェッショナル以上
評価基準の専門用語を、AIがかみ砕いて質問する。
評価基準の条文をそのまま読み解く必要はありません。AIが対話形式でかみ砕いて質問し、回答を記録します。
- 取引先管理など、中分類ごとに設問が整理されています
- 選択肢からクリックで回答できます
- 社内規程などの書類を添付すればAIが読み取り反映します
選択肢
大分類7区分ごとに、現状とギャップが見える。
ガバナンスの整備から復旧まで、7つの大分類ごとにスコアを算出し、弱点を特定します。
- 大分類ごとのスコアを100点満点で表示
- スコアの低い分類から優先的に改善を検討できます
- リスク分析・改善計画にそのままつながります
評価結果を、報告書としてまとめる。
大分類別サマリーを含むPDF報告書を自動生成し、経営層や取引先への説明に使えます。
- 大分類別サマリーを収録
- 改善計画をあわせて提示
- 社内稟議・取引先説明にそのまま使えます
| ID | 大分類 | スコア |
|---|---|---|
| 1 | ガバナンスの整備 | 88 |
| 2 | 取引先管理 | 62 |
| 3 | リスクの特定 | 74 |
| 4 | 攻撃等の防御 | 45 |
| 5 | 攻撃等の検知 | 80 |
| 6 | インシデントへの対応 | 30 |
| 7 | インシデントからの復旧 | 68 |
3つのステップで、申請準備を整える。
- 1
現状把握
★3水準の評価基準で自己評価し、ギャップを把握します。
- 2
改善実行
リスク分析・改善計画にもとづき、優先順位に沿って対策を進めます。
- 3
申請準備
2027年3月頃の運用開始に合わせて申請を準備します(★3の専門家確認は資格要件を満たせば社内対応も可能、★4の評価機関への依頼は必須です)。
| 自己診断プラン | ★3 水準まで対応 |
| 専門家レビュー プラン以上 | ★4 水準まで対応 |
自己診断プランは AI が評価・分析・レポートまで自走するプランで、当社セキュリティコンサルタントによるレビュー・承認は含まれません。専門家レビュー プラン以上では、確定前に当社セキュリティコンサルタントが評価内容を確認・承認します。
料金プランを見るよくあるご質問
SCS評価制度は義務ですか?
任意の制度です。2社間の取引で委託元が段階(★)を提示し、対策を促す仕組みとして想定されています。
いつから申請できますか?
★3・★4は2027年3月頃の運用開始が予定されています。解説書・申請方法は2026年10月頃に公開予定です(2026年7月時点の公開情報)。
CISOaaSを使えば★を取得できますか?
★の取得や適合を保証するものではありません。評価基準に沿った現状の可視化と改善計画づくりで、申請準備を支援します。なお★3の専門家確認は、資格要件(情報処理安全確保支援士・CISSP等)と研修受講・事務局登録を満たせば社内の方でも担当できます。当社のセキュリティコンサルタントはCISSP資格を保有しており、専門家レビュー プラン以上をご利用の場合、制度の研修・登録の仕組みが整い次第、★3の専門家確認を担える見込みです(2026年7月時点では研修受講・事務局登録の制度自体が未整備のため、確定した対応ではありません)。★4の第三者評価は評価機関への依頼が必要です(当社は評価機関・登録セキュリティ専門家としての登録主体ではありません)。
どのプランが必要ですか?
★3水準の評価は自己診断プラン以上、★4水準の評価は専門家レビュー プラン以上でご利用いただけます。