SCS評価制度、自己評価ガイドなどを公開 申請受付は27年3月予定

何が公表されたのか

情報処理推進機構（IPA）は2026年10月28日、「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）で使う資料を公開しました。この制度は、取引先の企業がどこまでセキュリティ対策をしているかを、共通の基準で★の段階として示すものです。経済産業省は、企業を競わせる格付けではないと説明しています。

公開されたのは、自己評価の手順を示すガイドと、自己評価に使うアセスメントシート、★4の第三者評価と技術検証のガイド、要求事項の考え方を説明する解説書です。要求事項と評価基準は Ver.1.1 になりましたが、IPA によると変更は誤字の修正1か所です。10月29日には、いくつかの資料に版を変えない小さな修正が入りました。

★3と★4の違い

★3は、自社で評価し、その結果を SCS セキュリティ専門家が確認します。更新は1年ごとで、登録料は2万円です。2028年3月31日までは1万円になります。広く知られた脆弱性を使う一般的な攻撃を想定しています。

★4は、評価機関が自己評価の結果を評価し、現地での審査と技術的な検証を行います。更新は3年ごとで、登録料は6万円です。供給が止まるとサプライチェーンへの影響が大きい企業や、漏れると影響が大きい情報への攻撃を想定しています。

どちらも、決められた要求事項をすべて満たす必要があります。特定のセキュリティ製品を入れることが条件ではありません。

始まる時期と中小企業への支援

★3と★4の登録申請は、2027年3月に受け付けを始める予定です。経済産業省と IPA は、中小企業が★3や★4を安く手軽に取れるように「サイバーセキュリティお助け隊サービス」の新しい類型を作るとしています。2026年9月からは、そのための実証事業を始めています。