SCS評価制度とは？経営者が今、押さえておくべき要点

経済産業省とIPAが進める「SCS評価制度」は、企業のセキュリティ対策レベルを★で可視化する新しい仕組みです。取得自体は任意ですが、実際には取引先からの要請が引き金になります。取引条件として突きつけられてから動くのが、最もコストの高い進め方です。

★3と★4は、別物と考える

まず動き出すのは★3と★4の二段階です。

★3（基礎レベル）は要求事項26件。自社で自己評価を行い、有資格のセキュリティ専門家が確認・助言する形式で、有効期間は1年。

★4（標準レベル）は要求事項43件。指定評価機関による実地審査に加え、脆弱性検査などの技術検証を伴い、有効期間は3年です。

同じ制度の中の段階違いに見えますが、社内にかかる負担も費用感も、この二つは別物と捉えたほうが判断を誤りません。なお★5は今後の検討事項とされています。

動くのは、この秋から

IPAの公開情報では、★3・★4の運用開始は2027年3月頃の予定。申請方法は2026年10月頃に公開、費用は今後公表とされています。指定評価機関の公表は2026年12月頃の見込みです。制度の輪郭がはっきりするのは、この秋から冬にかけてということになります。

経営者が今やっておくべき三つのこと

1. 自社が★いくつを求められる立場かを見極める。　判断軸は自社の規模ではなく、取引先にとってのサプライチェーン上の重要度です。

2. 主要取引先の動向をつかむ。　発注元が★4を目指すなら、その要請は必ず下流に流れてきます。

3. 既存のISMS・Pマークの運用を棚卸しする。　要求事項の考え方には重なる部分があり、既存の枠組みが機能している企業ほど準備は軽くなる——というのが、認証支援の現場を見てきたUPFの見立てです（既存認証との相互認定が公式に示されているわけではない点はご留意ください）。

なお、制度開始前から「SCS対応」を掲げた不適切な勧誘について、経済産業省が注意喚起を出しています。判断材料は必ず一次情報でご確認ください。UPFでも制度の動向は継続的に追っています。