情報セキュリティ

  1. トップページ
  2. 情報セキュリティ
  3. サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）
  4. よくある質問

よくある質問

公開日：2026年4月21日

最終更新日：2026年10月30日

制度全般について 要求事項・評価基準 ★の登録申請について 評価機関・技術検証事業者・研修事業者・SCSセキュリティ専門家 その他

1．制度全般について

  1. Q1-1SCS評価制度の登録申請の受付開始はいつでしょうか。

    A1-1

    ★3・★4の登録申請は、2027年3月の受付開始を予定しています。

  1. Q1-2SCS評価制度は、どのような業種や企業規模に適用されるのですか。

    A1-2

    業種や企業規模を問わず、幅広い事業者が対象となり得ます。中小企業だけでなく、大企業も評価対象とすることが可能なように制度を設計しています。
    サプライチェーンを構成する企業等を対象としていますが、取引先からの要請が無くても、各企業が自らのサイバーセキュリティ対策状況を可視化するために、マーク（★）を自主的に取得することも考えられます。

  2. Q1-3★の取得は必須ですか。それとも任意ですか。

    A1-3

    ★の取得は任意です。
    本制度は、事業者間で委託元から委託先に対して求めるセキュリティ水準を分かりやすく提示し、サプライチェーン全体のセキュリティ水準を高めることを目的としています。★の取得を取引上の要件とするかどうかは、契約当事者間で決定されるものであり、本制度自体が★の取得を義務付けるものではありません。

  1. Q1-4全ての要求事項・評価基準を満たさないと、制度開始後直ちに取引停止等になるのでしょうか。
    A1-4

    本制度において、全ての要求事項・評価基準を満たしていないことを理由に、直ちに取引停止等が求められるものではありません。
    ★の取得状況を取引上の要件としてどのように取り扱うかは、契約当事者間で決定されます。また、★の取得の有無だけでなく、本制度の要求事項・評価基準を共通のチェックリストとして活用し、必要なセキュリティ対策の実施状況を確認することも想定されます。

  1. Q1-5★3の有効期間は1年とありますが、取引期間が1年を超える場合はどうなりますか。

    A1-5

    本制度は、2社間の取引契約等において、発注企業が、受注側に適切な段階(★)を提示し、示された対策を促すとともに実施状況を確認することを想定しています。
    したがって、契約上で★の取得状況をどのような要件として取り扱うかは、契約当事者同士で合意されるべきものでありますが、制度の趣旨に鑑みると、例えば当該契約の満了までは、必要な★の評価を維持し続けることを求める等の運用が考えられます。

  1. Q1-6★の取得は公共事業の入札要件になりますか。

    A1-6

    入札要件になるかどうかは、調達を行う機関の判断によるところです。

  1. Q1-7★5について情報はありますか。

    A1-7

    ★5の要求事項・評価基準や評価スキーム、開始時期等については、経済産業省及び内閣官房国家サイバー統括室にて検討中です。

  1. Q1-8ISMSとSCS評価制度は何が違うのですか。

    A1-8

    SCS評価制度の★3及び★4は、代表的な脅威を参考に、効果の高い管理策を抽出するベースラインアプローチを採用しています。ISMS（情報セキュリティマネジメントシステム）とは相互補完的な制度と位置づけていますが、詳細な比較については制度構築方針p.28をご参照ください。

  1. Q1-9SCS評価制度に関する英語版の資料はありますか。

    A1-9

    SCS評価制度の資料の一部は、2027年3月までに英訳して公開する予定です。

2．要求事項・評価基準

  1. Q2-1★によって想定される脅威が異なると聞きましたが、どのような違いがありますか。

    A2-1

    ★によって想定される脅威について、★3は「広く認知された脆弱性等を悪用する一般的なサイバー攻撃」、★4は「供給停止等によりサプライチェーンに大きな影響をもたらす企業への攻撃や機密情報等、情報漏えいにより大きな影響をもたらす資産への攻撃」を想定しています。詳細は制度構築方針をご確認ください。

  1. Q2-2要求事項・評価基準に適合しているかの判定方法や判断基準を教えてください。

    A2-2

    要求事項・評価基準への適合については、登録希望組織の方は「★3・★4自己評価等ガイド」を確認ください。また、評価機関の方は「★4第三者評価ガイド」もあわせてご確認ください。

  1. Q2-3要求事項・評価基準に対応するための考え方や留意点を教えてください。

    A2-3

    要求事項・評価基準の解釈については「★3・★4要求事項・評価基準 解説書」をご確認ください。

  1. Q2-4適用範囲の考え方を教えてください。

    A2-4

    適用範囲の考え方や事例については「★3・★4要求事項・評価基準 解説書」をご確認ください。

  1. Q2-5要求事項・評価基準に適合するためには、EDRや資産管理システムなど、特定のセキュリティ対策製品を導入しなければならないのですか。

    A2-5

    ★の取得を希望する組織の規模やシステム構成によって求められる対応が必ずしも同一では無いことから、要求事項・評価基準を達成するにあたっては、特定のセキュリティ対策製品の導入を求めるものではありません。

3. ★の登録申請について

  1. Q3-1★の申請方法を教えてください。

    A3-1

    ★の申請方法については「登録申請の手引」を2026年11月末頃に公表予定です。

  1. Q3-2★3・★4の申請・登録にかかる費用はいくらでしょうか。

    A3-2

    ★3の登録料は20,000円（1年更新）、★4の登録料は60,000円（3年更新）です。尚、★3の登録料について、2028年3月31日までは割引が適用されており登録料は10,000円（1年更新）となっています。

  1. Q3-3★3・★4を取得するには、要求事項・評価基準をどの程度を満たす必要がありますか。

    A3-3

    ★3・★4を取得するには、★3・★4で定められたすべての要求事項・評価基準を満たしている必要があります。

  1. Q3-4★の取得情報（取得企業）は公開されるのでしょうか。

    A3-4

    ★3や★4を取得した企業については、IPAのWEBサイトで公開します。

4. 評価機関・技術検証事業者・研修事業者・SCSセキュリティ専門家

  1. Q4-1評価機関やSCSセキュリティ専門家はどこで確認できますか。

    A4-1

    評価機関・技術検証事業者・研修事業者は2026年12月下旬、SCSセキュリティ専門家は2027年1月以降に「評価機関・技術検証事業者・研修事業者・SCSセキュリティ専門家」のページで公開予定です。

  2. Q4-2★4の評価機関とはどのような組織ですか。

    A4-2

    評価機関とは、制度運営機関からの指定を受けたものであって、★4を希望する登録希望組織が作成した自己評価の結果を評価するとともに、実地審査及び技術検証を行い、★4要求事項・評価基準への適合判断結果（適合・不適合）をまとめた評価報告書を作成し、登録希望組織に提供する組織です。評価機関の要件等は「評価機関指定基準」「評価機関指定手順」をご確認ください。

  3. Q4-3評価機関に登録したい。どのような手続きが必要ですか。

    A4-3

    評価機関・技術検証事業者・研修事業者の申請手続きは「指定申請について（評価機関・技術検証事業者・研修事業者向け）」のページをご確認ください。

  4. Q4-4SCSセキュリティ専門家とはどのような人材ですか。

    A4-4

    SCSセキュリティ専門家とは、セキュリティに係る力量を一定以上有しており、それを継続的に維持していると認められる資格（情報処理安全確保支援士、公認情報セキュリティ監査人（公認情報セキュリティ主任監査人を含む）、CISSP、CISM、CISA又はISO27001主任審査員）を有する者であって、IPA及び研修事業者が提供する研修を受講し、制度運営機関に登録している者です。

  5. Q4-5SCSセキュリティ専門家に登録するためにはどのような手続きが必要ですか。

    A4-5

    SCSセキュリティ専門家の登録手続きについては2026年12月下旬に公表予定です。

  6. Q4-6SCSセキュリティ専門家に登録するための研修は、いつから、どこで受講できますか。

    A4-6

    2027年1月以降、指定を受けた研修事業者から提供されます。研修事業者は「評価機関・技術検証事業者・研修事業者・SCSセキュリティ専門家」のページで公開予定です。

  7. Q4-7評価機関やSCSセキュリティ専門家は★の取得支援（コンサルティングや製品・サービスの提供等）を行えますか。

    A4-7

    評価機関やSCSセキュリティ専門家は中立性・公平性の要件を満たすことで★の取得支援を行うことができます。評価機関の中立性・公平性の要件については「評価機関指定基準」をご確認ください。SCSセキュリティ専門家の公平性の要件については2026年12月下旬に公開予定です。

5.その他

  1. Q5-1Webサイトの掲載内容を引用することはできますか。

    A5-1

    Webサイトの掲載内容の引用は可能です。その際の手続きは不要です。引用時は下記の点を遵守していただくようお願いいたします。

    • 出典を明記する
    • 原文のとおり、可能な限りそのまま掲載する
    • 引用部分と改変・作成部分が混在する、あるいは内容を一部変更した場合はその旨を明記する
    • 改変・追加内容は、引用した内容の意図とは別のものであることを明確に示し、第三者に誤認を生じさせない表現を使用する

  2. Q5-2制度説明のために講師派遣はできますか。

    A5-2

    IPAセキュリティセンターでは公的機関として幅広く情報セキュリティの普及啓発を図るため、所定の条件のもとで情報セキュリティの講師派遣を行っております。詳しくは「情報セキュリティセミナー 講師派遣」をご確認ください。

  3. Q5-3SCS評価制度のSCSセキュリティ専門家は、中小企業向けサイバーセキュリティ対策支援者リストの専門家とは異なる要件の専門家ですか。

    A5-3

    はい、専門家の要件は異なります。
    「SCS評価制度のSCSセキュリティ専門家」は資格要件（注釈1）と研修受講要件を満たしたSCS評価制度の事務局に登録された専門家で★3の自己評価結果の確認や★4の評価責任者を担います。
    「中小企業向けサイバーセキュリティ対策支援者リスト」の専門家は、「情報処理安全確保支援士（登録セキスペ）」のうち、中小企業向けのセキュリティ対策支援（注釈2）が実施できる専門家のことです。
    注釈1 情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISA、CISM、 ISO27001 主任審査員のいずれかを保持する必要があります。
    注釈2「規程整備」、「情報管理・リスク分析」、「クラウド安全利用」、「インシデント対応」、「従業員教育」などの支援が可能です。

  4. Q5-4サイバーセキュリティお助け隊サービス(新類型)は、どのような支援を提供するのですか。

    A5-4

    サイバーセキュリティお助け隊サービス（新類型）は、★3や★4の取得支援を目的としたサービスです。詳細は「サイバーセキュリティお助け隊サービス（新類型）」をご確認ください。

  5. Q5-5SCS評価制度に関するお問い合わせをしたい。

    A5-5

    お問い合わせは、以下の「お問い合わせ先」に記載のメールアドレス宛にご連絡ください。
    電話での対応は致しておりませんので、予めご了承ください。
    お問い合わせの内容は経済産業省及び内閣官房国家サイバー統括室に共有する場合がございますので予めご了承ください。

お問い合わせ先

IPA セキュリティセンター リスクマネジメント部 セキュリティ制度グループ

  • E-mail

    isec-scsアットマークipa.go.jp

更新履歴

  • 2026年10月30日

    よくある質問を一部修正しました。

  • 2026年10月28日

    よくある質問を更新、追加しました。

  • 2026年5月29日

    よくある質問を追加しました。

  • 2026年4月30日

    よくある質問を追加しました。

  • 2026年4月21日

    新規公開しました。