【SCS評価制度】★3、何をすればいい？

2026年8月24日

【SCS評価制度】★3、何をすればいい？

サプライチェーン強化に向けたセキュリティ対策評価制度（以下、SCS評価制度）への関心が高まる一方、「★3取得のために何をすればいいか分からない」という声も増えています。多くの企業に関係する★3の26項目は、社内ルールや運用を整える「体制」と、製品で対応する「技術」に分けられます。

本記事では、SCS評価制度の全体像と押さえておくべき重要ポイントを、1分で理解できるようわかりやすく整理しました。（2026年8月時点）

また、★3対策全体像をまとめた、ネットワールドオリジナルの「★3取得の早わかり資料」も無料で公開していますので、ぜひご活用ください。

★3取得の早わかり資料をダウンロード（無料）

SCS評価制度の全体像と、★3・★4の判定基準

SCS評価制度は、委託元（発注）企業・委託先（受注）企業双方の負担を軽減しつつ、サプライチェーン全体のセキュリティ水準の底上げを図ることを目的に、企業のセキュリティ対策状況を、国が定めた共通基準に基づき「★」で見える化する仕組みです。正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」。経済産業省と内閣官房国家サイバー統括室が構築し、IPA（情報処理推進機構）が運営します。2026年3月27日に制度構築方針の確定版が公表され、2026年度末頃の制度開始が予定されています。

発注企業が「この取引には★3が必要」とレベルを提示し、受注企業が自社の達成状況を★で示します。取引を起点に、対策をサプライチェーン全体へ広げていく設計です。

受注側にもメリットがあります。これまでは取引先ごとに異なるセキュリティチェックシートやアンケートに、そのつど回答する必要がありました。★を取得すれば、自社の対策レベルを共通のものさしで示せるため、複数の取引先への対応を1つにまとめられます。

★3と★4の比較

評価は★1〜★5の5段階です。★1と★2は経済産業省とIPAが主導する「SECURITY ACTION」に基づく自己宣言で、既存の宣言が引き継がれます。実際の取引で求められる基準は、最低ラインとなる★3以上が想定されています。★5は制度策定中です。

つまり、いま準備の対象になるのは★3と★4の2つです。違いは次のとおりです。

★3と★4の違い	★3（本記事の対象）	★4（次の段階）
評価方法	専門家確認付きの自己評価	第三者評価＋技術検証
有効期間	1年	3年
対象項目	26要求事項（評価基準81件）	43要求事項（同153件）

★3と★4の分かれ目は「取引のリスク」

自社に必要なのは★3か★4か。分かれ目は「取引のリスク」で、判定するのは発注者です。観点は2つで、いずれかがYESなら★4、両方NOなら★3となり、多くの企業はまず★3から始めるのが現実的です。

【事業継続リスク】取引先の事業中断で、自社業務に許容できない遅延が生じ得るか。
【情報管理リスク】取引先への攻撃で、自社の機密情報管理に重大な影響が生じ得るか。

評価の対象範囲にも線引きがあります。対象は公開Webサーバーやメール、PC、クラウド、ファイアウォール・ルータ・VPNなどのIT基盤です。製造系のOTシステムや、発注元へ提供する製品そのものは対象外です。

よくある誤解
「★を取得しないと取引や入札から除外される」などの情報は誤りです（2026年4月27日に注意喚起が出ています）。本制度は任意であり、企業を順位づける格付けでもありません。取引先から求められたときに、同じ基準で応えるためのものです。

★3対策の全体像26項目を「体制・技術」で色分け

では、★3で具体的に何が求められるのか。中身は26の要求事項です。

★3の26要求事項は、NIST CSFをベースにした7つの分類に整理できます。

統治
取引先管理
識別
防御
検知
対応
復旧

この7分類を「体制／技術」で色分けしたのが、次の一覧です。

色分けは3種類です。緑が技術（製品で対応）、薄緑が一部技術（運用と製品の組み合わせ）、グレーが体制（社内ルールで整える項目）。なお、製品の導入は必須ではありません。緑は「導入が必須」ではなく、「製品で効率化できる」領域という意味です。

①統治・②取引先管理は、体制が中心

推進部門や役割の決定、守秘義務の規程、セキュリティ対応方針の策定、取引先との関係把握。この2分類は自社で決める項目が中心です。製品選定より先に、社内での取り決めから始まります。

③識別・④防御・⑤検知・⑥対応・⑦復旧は、製品や技術による対策が中心

機器・OS・ソフトウェアの台帳化、ネットワーク構成の可視化、利用中のSaaSや外部サービスの把握。ここからIT資産管理やASM・CTEM（攻撃対象領域管理・継続的脅威エクスポージャー管理）など、製品に任せられる項目が並び始めます。26項目の棚卸しをするうえでも、資産の可視化は出発点になります。

26項目のうち13項目が、★3の中核となる防御です。具体的には、多要素認証（MFA）やID・アクセス権の管理、バックアップ、安全な構成の維持とパッチ適用、マルウェア対策（EPP／EDR）、ネットワーク境界防護（NGFW／UTM／ゼロトラスト）。製品の出番の大半は、この防御にあります。

通信・ログの監視（NDR／SIEM／ログ管理）、インシデント対応手順の整備（SOCなどの運用支援）、バックアップを軸にした復旧準備が該当します。防御の製品と機能が重なる部分も多く、セットで検討すると無駄がありません。

次の段階、★4

取引のリスクが高いと判定された場合や、より高い対策水準（標準レベル）を求められる取引では、★4が必要になる場合があります。★3との違いは、第三者評価が入ること、VPNやルータなど公開機器の脆弱性検査（技術検証）が加わること、対象が43要求事項に拡大することの3点です。

エンドポイント防御やネットワーク境界防護など、防御の各対策の詳しい解説はセキュリティマップにもまとめています。製品検討の入り口としてご活用ください。

「★3取得の早わかり資料」公開中！

本記事では、製品の話をあえて種別までにとどめています。ネットワールドでは、★3の26項目と対応ソリューションの種別を、A3見開き1枚に整理した「★3取得の早わかり資料」をご用意しています。社内での検討にも、お客様への提案素材としてもお使いいただけますので、ぜひダウンロードしてご活用ください。