サプライチェーンセキュリティ（SCS）評価制度とは

近年、企業活動のデジタル化や外部委託の拡大に伴い、サプライチェーンを起点としたサイバーセキュリティリスクが顕在化しています。委託先事業者へのサイバー攻撃が、結果として発注元企業やその顧客にまで被害を及ぼす事例が国内外で相次いでいます。こうした状況を踏まえ、サプライチェーン全体のセキュリティ水準を底上げするために検討されているのが「サプライチェーンセキュリティ（SCS）評価制度」です。
本稿では、当評価制度の現時点での内容をご紹介します。

経緯・背景

制度の概況

本制度は、経済産業省および情報処理推進機構（IPA）を中心に検討されており、2027年3月末の制度開始を目指して準備が進められています。発注企業から受注企業へ、合理的かつ透明性のある形でセキュリティ対策の実施を要請し、実施状況を可視化することを目的としています。
なお、この要請への対応は任意となります。また、制度の趣旨として、特定の機器の導入を強制するものではありません。
参考：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に関する注意喚起」

制度検討の背景

業務委託先へのランサムウェア感染や、ソフトウェアサプライチェーンへの不正コード混入など、サプライチェーンを狙ったインシデント事例が増えています。

• 事例１
  業務委託先業者からの情報漏えい(被害者：自治体・銀行など)(事例１)

• 事例２
  業務委託先への攻撃に起因するサービス停止(商品発送遅延)、情報漏洩(被害者：ECサイト)(事例２)

• 事例３
  ソフトウェアサプライチェーンの悪用(不正アクセス)(被害者：ソフトウェアを利用するアプリケーション)(事例３－１、事例３－２)

こうした背景のもと、ソフトウェアの脆弱な部品や管理不十分な外部委託先が重大なリスク要因として認識されるようになりました。OWASP Top10:2025においても、ソフトウェアサプライチェーンに関連する問題が上位に位置付けられています。(参考：OWASP Top 10:2025 「A03:2025 Software Supply Chain Failures」)

また、当制度では、発注企業と受注企業の双方が抱える課題への対応も目指しています。発注企業では、受注企業のセキュリティ対策状況を把握しづらいという課題があり、一方で受注企業では、顧客ごとに異なる要求への対応負荷が課題となっていました。

評価

評価の主体

本制度は、いわゆる格付け制度ではなく、サプライチェーン全体の対策水準を引き上げるための枠組みです。評価は★3、★4、★5の段階で示され、発注企業からは主に★3以上の対策実施が要請される想定です。
評価は原則として直接の取引関係に基づき要請され、受注企業(下図灰色部)で★3、★4、★5に即したセキュリティ対策を実施します。受注企業は発注企業にもなり得るので、その場合は発注企業として、大元の発注企業からの要請を鑑みて、受注企業にセキュリティ対策を要請します。

参考：情報処理推進機構「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（経済産業省、2026年3月27日）」(P12)

再委託先(下図取引先B)への制度適用は、直接の取引先(下図取引先A)にて判断する(元の発注者ではない)ことに注意が必要です。

参考：情報処理推進機構「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（経済産業省、2026年3月27日）」(P14)

評価の段階(レベル)

評価レベルのうち、★3は専門家確認付きの自己評価、★4は第三者機関による評価が想定されています。上位評価は下位評価を包含する仕組みとなっており、初回から★4を取得することも可能とされています。

評価基準および要求事項は、Excel形式で公開されており、NIST Cybersecurity Framework（CSF）の機能区分と対比する形で整理されています。

参考：情報処理推進機構「★3・★4　要求事項・評価基準」

目指す効果

本制度は、発注企業が取引先の対策状況を合理的に把握できるようになること、受注企業が自社に必要な対策を明確化できること、そして社会全体としてサイバーレジリエンスを向上させることを目指しています。

評価の対象

評価の対象となるのは、サプライチェーンを構成する企業のIT基盤であり、制御系システムや提供製品そのものは原則対象外(他の制度で対策)とされています。
(下図青枠部が評価対象。灰色枠部は評価対象外)

参考：情報処理推進機構「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（経済産業省、2026年3月27日）」(P8)

運用

運用の主体

制度運用は、経済産業省及び国家サイバー統括室(NCO)が方針を示し、情報処理推進機構(IPA)が事務局として担う体制が想定されています。

参考：情報処理推進機構「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（経済産業省、2026年3月27日）」(P11)

評価の実施方法

詳細は2026年度に検討されますが、概略としては

★3：セキュリティ専門家が文書を確認
★4：評価機関・技術検証事業者が文書確認・実地審査・技術検証(脆弱性審査)

という形になる見込みです。
なお、どの段階を要請するかは、生じ得る影響・損害の有無によって水準を調整することが例示されています(下図参照)。

参考：情報処理推進機構「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（経済産業省、2026年3月27日）」(P15)

★3の評価方法

★3は「専門家確認付き自己評価」であり、以下の流れで評価・登録されます。

①取得希望組織が自己評価し申請(必要に応じて社内外の専門家から支援を得ることも可)
②専門家が申請内容を確認、評価
③取得希望組織が、経営層による自己適合宣誓を含め、事務局に評価結果を提出
④事務局が台帳に登録し公開

参考：情報処理推進機構「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（経済産業省、2026年3月27日）」(P18)

★4の評価方法

★4は「第三者評価」であり、以下の流れで評価・登録されます。

①指定委員会が評価機関を指定
②～③取得希望組織は、自己評価を記入し、評価を依頼
④～⑤評価機関が評価し、取得希望組織に評価報告書を提供
⑥～⑦取得希望組織が事務局に申請し、事務局が台帳に登録・公開

参考：情報処理推進機構「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（経済産業省、2026年3月27日）」(P19)

★5について

★5については、自工会ガイドライン(Lv3)やISO/IEC27001:2022等からの対策の選定が見込まれ、2026年度以降に詳細が検討される予定です。

評価結果の登録

セキュリティ対策の評価後、事務局のWebページ等では以下の項目が開示される予定です。

• 区分

• ID

• 法人名/屋号

• 法人番号

• 所在地

• 登録日

• 有効期限

• 適用範囲1(組織部門等)

• 適用範囲2(システム等)

• 評価機関名

• 技術検証事業者名

国内外の関連制度等との連携・整合

当制度は単独での運用だけではなく、以下の関連制度との連携・整合も予定されています。

• SECURITY ACTION
  IPAが策定した制度で、評価取得希望者が★1，★2を自己宣言するものです。

• 自工会・武工会ガイドライン(自動車産業サイバーセキュリティガイドライン)
  日本自動車工業会(JAMA)と日本自動車部品工業会(JAPIA)が策定した制度で、企業規模に関わらず実施すべき要求事項と達成条件を定義しています。

• Cyber Essentials
  英国政府が主導している制度で、 一般的なサイバー攻撃の約80%を防ぐことを目的とした認証制度です。

導入促進策、想定事例、スケジュール

制度の導入促進策(1)・サイバーセキュリティお助け隊サービス(新類型)

企業の規模によっては、自社単独での★3～★4の取得が難しい場合も考えられます。
そのような企業向けに、経済産業省では「サイバーセキュリティお助け隊サービス(新類型)」という評価取得支援サービスを検討しており、現在導入試験が段階的に行われています。サービス内容としては以下が検討されていますので、必要に応じて利用を検討するのも一案です。

• ★3～★4の取得支援：未達成項目を達成させる

• 対策状況の評価

• ITツール／ITツール以外による支援を組み合わせて提供

• IPAに認定された民間企業にて実施

参照：経済産業省「サイバーセキュリティお助け隊サービス（新類型）」

なお、当サービスの既存類型については以下の通りです。

• 1類(ネットワーク監視・端末監視・両者併用)

• 2類(1類をベースに監視強化・定期コンサルティング拡充)

参照：情報処理推進機構「監視種別サービス一覧」

制度の導入促進策(2)・中小企業向けサイバーセキュリティ対策支援者リスト

また、別の支援策として、「中小企業向けサイバーセキュリティ対策支援者リスト」というリストが公開されています。これは、中小企業向けのサイバーセキュリティ対策支援を実施できる専門家(登録セキスぺ)の、得意分野・専門領域を可視化したリストであり、2025年7月から試験的に公開されています。
参考：情報処理推進機構「中小企業向けサイバーセキュリティ対策支援者リストの紹介」

当リストは中小企業とセキュリティ専門家とのマッチングを促進する為のものであることから、当リストを活用することで、評価取得に向けた専門家との相談が容易になります。

想定事例(経済産業省より公表)

制度の流れや理想的な状況への理解の一助として、経済産業省より、発注企業・受注企業双方を対象とした「独禁法上で問題とならない」想定事例とその解説が公開されています。
参考：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）概要」
参考：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）」

同資料の概要は以下の通りです。

(1)セキュリティ対策の実施を要請(A⇒B、B⇒C)
(2)パートナーシップを構築
　・定期的に説明会を開催(実施すべき対策や国の支援策等)(A⇒B、B⇒C)
　・費用負担の考え方、セキュリティ対策が価格交渉の対象になる旨を周知(A⇒B、B⇒C)
(3)要請への対応、価格交渉(B、C)
　・対策の必要性を理解し、国の支援策を活用し安価に対応
　・対策に要したコストを価格交渉に含めて円満合意。結果を書面に記録
(4)要請を出していない発注側への対応(C⇒B’)
　・CはB’からはセキュリティ対策を要請されていないが、価格交渉の為支援機関へ相談(「取引かけこみ寺」)
　・Bとの交渉で用いた費用負担の考え方を活用してB‘に対しても価格交渉

この想定事例について、以下のような補足も添えられています。

• セキュリティ対策要請は、合理的範囲を超えた負担を課すものではない

• 発注者、受注者双方でのパートナーシップ構築が重要

• セキュリティの経費は、物件費や人件費などの間接経費として計上可能

• 支援機関を適宜活用すべき

今後のスケジュール

本稿の冒頭で述べました通り、当制度は2026年度末(2027年3月末)の制度開始を目指して進行中です。

参考：情報処理推進機構「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（経済産業省、2026年3月27日）」(P39)

今後は評価者・評価機関の要件整備や、既存制度との相互補完も進められる見込みです。SCS評価制度は、単なる制度対応にとどまらず、自社のセキュリティ対策を体系的に見直す好機ともいえるでしょう。本稿が、当制度の概要把握の一助、及び動向注視の契機となれば幸いです。