SCS評価制度の詳細情報

公開日：2026年4月21日

最終更新日：2026年4月30日

本制度は2026年3月に経済産業省と内閣官房国家サイバー統括室が公表した「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」に基づき構築された制度で、IPAが運営します。

より具体的な実施内容については、2026年度に検討・詳細化を行い、本サイトにて公開します。

制度運用体制

経済産業省および内閣官房国家サイバー統括室の監督のもと、独立行政法人情報処理推進機構（IPA）が運営します。

運営審議委員会	運営方針に関する事項や制度に関する文書類の策定等を審議します。
事務局	運営管理や★3・★4の登録、普及促進等を行います。
指定委員会	評価機関、技術検証事業者および研修事業者の指定・監督等を行います。
評価機関	★4における第三者評価を行います。
技術検証事業者	★4における技術検証を行います。技術検証事業者は、評価機関と同一となるケース（評価機関が第三者評価と技術検証の両方を実施する）と評価機関からの委託で別組織となるケース（技術検証は評価機関から委託された技術検証事業者が実施し、その結果を評価機関へ連携する）があります。
セキュリティ専門家	★3における自己評価結果の確認・助言を行います。また評価機関において評価責任者を担います。
研修事業者	セキュリティ専門家（候補者含む）に対して、本制度に係る研修を提供する事業者になります。

★3については、一般的なサイバー脅威に対処しうることを水準として規定しています。
★4は、初期侵入の防御にとどまらず、内外への被害拡大防止・目的遂行のリスク低減によって取引先のデータやシステム保護に寄与する点や、サプライチェーンにおける自社の役割に適合したサプライチェーン強靭化策が講じられていることを水準として規定しています。
★5については、より高度なサイバー攻撃への対応として、自組織のリスクを適切に把握・マネジメントした上で、システムに対する具体的な対策としては既存のガイドライン等も踏まえた上で現時点でのベストプラクティスに基づく対策を実行する形を想定しています。(★3・4の精査も踏まえ、今後更に具体化)。
上位の段階はそれ以下の段階で求められる事項を包括するため、例えば、★3を事前に取得していなければ★4を取得できないという関係とはなりません。

★3は、セキュリティ専門家による確認を経た取得希望組織による自己評価（専門家確認付き自己評価）を求めます。

取得希望組織は、★3要求事項・評価基準に基づき自己評価を記入します(必要に応じて社内外のセキュリティ専門家からの支援を得ることも可)。
社内外のセキュリティ専門家は、取得希望組織が記入した内容を確認するとともに、必要に応じて評価結果の修正を含む助言を行い、最終的に事務局へ提出する内容に関して了承した場合に署名を実施します。
取得希望組織は、経営層による自己適合宣誓を含め、事務局に評価結果(セキュリティ専門家による署名を含むもの)を提出します。
事務局は、申請内容に問題が認められない場合には台帳に登録し、公開します。