セキュリティ評価制度とは？2026年度末開始のSCS制度と選び方を紹介
- 公開日:
- 更新日:
目次
取引先から突然セキュリティレベルの証明を求められ、どの制度を導入すべきか悩んでいないでしょうか。
この記事では、自社のセキュリティ対策を客観的に示す「セキュリティ評価制度」の基礎知識から、2026年度に開始予定の最新制度までを解説します。読み終わると、数ある制度の中から自社に最適なものを迷わず選定できるようになり、取引先からの信頼獲得に向けた具体的な一歩を踏み出せます。
セキュリティ評価制度とは
セキュリティ評価制度とは、企業が実施している情報セキュリティ対策の状況を、一定の基準に基づいて第三者または客観的な指標で評価し、証明する仕組みのことです。
近年、企業の大小を問わずセキュリティ評価制度への注目が高まっており、その背景には取引環境の大きな変化が存在します。ここでは、なぜ今多くの企業がセキュリティ評価制度の導入を迫られているのか、その背景と目的を整理します。
| 項目 | 概要 | 企業にもたらすメリット |
|---|---|---|
| 制度の目的 | 情報セキュリティ対策の状況を客観的に評価・証明すること | 取引先からの信頼獲得 ビジネス機会の損失防止 |
| 求められる背景 | サプライチェーン全体を狙うサイバー攻撃の急増 | 委託先や連携先を含めた全体的なリスクの低減 |
| 主要な役割 | 自社の対策レベルの可視化と継続的な改善 | 社内のセキュリティ意識向上 インシデント発生時の被害軽減 |
サプライチェーン攻撃の増加と取引先からの要請
セキュリティ評価制度が求められる最大の理由は、サプライチェーン攻撃の増加にあります。大企業の強固なセキュリティ網を直接突破するのは難しいため、悪意のある攻撃者は、相対的に対策が手薄になりがちな関連会社や取引先を踏み台にする手法を多用しています。
独立行政法人情報処理推進機構（IPA）が毎年発表している情報セキュリティ10大脅威においても、「サプライチェーンや委託先を狙った攻撃」は組織向け脅威の上位に位置しています。2025年版から従来の脅威名に「委託先」が明記されるかたちで呼称が変更されており、2026年版では4年連続で第2位にランクインするなど、企業にとって見過ごせない課題となっています。
このような状況下で、発注元である企業は自社の情報を守るために、委託先や取引先に対しても一定水準以上のセキュリティ対策を求めるようになりました。契約の更新時や新規取引の条件として、セキュリティチェックシートの提出や公的な認証の有無を確認されるケースが増えており、対策状況を証明できない場合は取引を断られるリスクも生じています。そのため、各企業は自社の対策状況を分かりやすく提示する手段を確保しておく必要があります。
客観的なセキュリティレベルの証明が必要な理由
自社のセキュリティ対策が十分であると口頭で主張するだけでは、取引先を安心させることは難しい場合があります。そこで重要になるのが、客観的な基準に基づいたセキュリティレベルの証明です。
外部の専門機関や国が定めた評価基準をクリアしていることを示せば、相手企業に対して透明性の高い根拠を提示でき、スムーズに信頼関係を構築できます。また、客観的な評価を受けるプロセスを通じて、自社に不足している対策や運用上の課題が浮き彫りになる点も見逃せません。担当者自身の目線だけでは見落としてしまうようなシステムの脆弱性や、従業員の運用ルールの不備などを洗い出す良い機会となります。
結果として、対外的な証明という目的を達成しつつ、組織内部の防衛力も着実に強化されていく好循環が生まれると考えられます。評価制度を単なる負担と捉えるのではなく、自社の価値を高めるための投資として活用する視点が大切です。
経済産業省が推進する「SCS評価制度」の最新動向
日本国内のサプライチェーン全体でセキュリティ水準を底上げするため、経済産業省が主導して新たな制度の準備が進められています。それが「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」です。これまでの制度ではカバーしきれなかった部分を補完する新たな選択肢として、多くの企業から関心を集めています。
ここでは、SCS評価制度の概要と、設定されている評価レベルの違いについて詳しく解説します。
| 評価レベル | 主な対象と要件の目安 | 想定される取り組み |
|---|---|---|
| ★1 (一つ星) | 情報セキュリティ対策の自己宣言（SECURITY ACTIONを参照） | 「情報セキュリティ6か条」に取り組むことを自己宣言する |
| ★2 (二つ星) | より実践的な対策の自己宣言（SECURITY ACTIONを参照） | 「5分でできる！情報セキュリティ自社診断」で自社状況を把握したうえで、「情報セキュリティ基本方針」を策定・外部公開する |
| ★3 (三つ星) | 基礎的な対策の実施と専門家確認 | 基礎的な対策の実施と、セキュリティ専門家による確認・助言 |
| ★4 (四つ星) | 標準的に目指すべき包括的な対策と第三者評価 | 包括的な対策の実施と、評価機関による第三者評価・技術検証 |
| ★5 (五つ星) | 高度な対策の到達点（要求事項等は今後具体化） | ベストプラクティスに基づく高度な対策の継続的な実施と、第三者評価 |
SCS評価制度の概要と創設の目的
SCS評価制度は、経済産業省と内閣官房国家サイバー統括室の監督のもとIPAが運営する制度で、企業のサイバーセキュリティ対策の実施状況を客観的に評価し、★1～★5の段階（星の数）で可視化することにより、サプライチェーン全体の強靭化を図ることを目的とした新しい制度です。
経済産業省と内閣官房国家サイバー統括室が2026年3月27日に公表した「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」に基づき、2026年度末頃の本格運用開始を目指した取り組みが進められています。
これまで、企業間取引においては発注元ごとに異なる独自のセキュリティチェックシートが用いられており、回答する側の企業にとって大きな業務負担となっていました。この制度が普及すれば、共通の評価基準をもとに自社のセキュリティレベルを一度証明するだけで、複数の取引先に対して有効なアピール材料として活用できるようになります。
また、発注元企業にとっても、統一された基準で取引先を評価できるため、調達プロセスの効率化とリスク管理の精度向上が期待されます。結果として、日本全体のサプライチェーンが強靭化されることが、この制度の大きな狙いです。
なお、SCS評価制度は任意参加の制度です。経済産業省と内閣官房国家サイバー統括室は2026年4月、制度を装った不適切な勧誘に対する注意喚起を公表しており、「取得していないと商取引が規制される」「入札から除外される」といった事実はないとしています。取引先からの要請や自社の事業戦略に照らして、必要な段階を選択することが基本となります。
5段階の評価レベルとその違い
SCS評価制度では、企業の対策状況に応じて★1（一つ星）から★5（五つ星）までの5段階の評価レベルが設けられる予定です。
まず、★1および★2のレベルについては、IPAが運営する「SECURITY ACTION」（中小企業自らが情報セキュリティ対策に取組むことを自己宣言する制度）を参照することとされています。
続く★3のレベルでは、一般的なサイバー脅威への対処を水準とした基礎的なセキュリティ対策の実施が求められ、セキュリティ専門家による確認・助言を経る「専門家確認付き自己評価」のプロセスが必要となります（要求事項26件・評価基準81項目、有効期間1年）。この「セキュリティ専門家」は、情報処理安全確保支援士・公認情報セキュリティ監査人・CISSP・CISA・CISM・ISO27001主任審査員のいずれかの資格を保持し、所定の研修を受講したうえで事務局に登録した者が担います。
さらに★4になると、初期侵入の防御にとどまらず、被害拡大防止やサプライチェーン強靭化策など包括的な対策が求められ、評価機関による第三者評価および技術検証（実地審査・脆弱性検査等）を受ける仕組みが導入されます（要求事項43件・評価基準153項目、有効期間3年）。なお、★3・★4の要求事項と評価基準の詳細は、2026年4月21日にIPAより公表されています。
最後の★5は、高度なサイバー攻撃にも対応し得る到達点としての位置づけであり、国際規格等に基づくマネジメントシステムの確立や、ベストプラクティスに基づくサイバーレジリエンス確保策など、継続的かつ高度なセキュリティ運用が求められる見込みです（評価スキームは★4と同様の第三者評価が想定されており、要求事項や有効期間については今後具体化される予定）。
なお、上位の段階は下位の段階で求められる事項を包括しますが、★3を事前に取得していなければ★4を取得できないという関係ではないとされています。
企業が活用できる主要なセキュリティ評価制度
新しいSCS評価制度だけでなく、すでに広く普及し、国内外の企業間取引で標準的に活用されているセキュリティ評価制度も存在します。自社の事業内容や取り扱う情報の種類によって、どの制度を取得すべきかは異なります。
ここでは、代表的な3つの制度であるISMS、プライバシーマーク、ISMAPについて、それぞれの特徴を整理して解説します。
| 制度名 | 評価の主な対象 | 取得が推奨される企業の特徴 |
|---|---|---|
| ISMS（ISO/IEC 27001） | 組織全体の情報セキュリティマネジメントの仕組み | 機密情報を幅広く扱い、包括的な管理体制の構築や、グローバル取引での信頼性確保を目指す企業 |
| プライバシーマーク（Pマーク） | 個人情報の保護体制と運用 | 消費者向けのサービスを展開し、大量の個人情報を扱う企業 |
| ISMAP | クラウドサービスのセキュリティ管理・運用体制 | 政府機関等にクラウドサービスを提供する、または公共分野への事業展開を目指す企業 |
ISMS（情報セキュリティマネジメントシステム）
ISMS（情報セキュリティマネジメントシステム）とは、組織が情報資産を守るための総合的な管理の仕組みであり、その国際規格がISO/IEC 27001です。国内規格としては、これに対応するJIS Q 27001が発行されています。この規格をを認証基準として、組織のISMSが適切に構築・運用されているかを第三者機関が審査・認証する制度が「ISMS適合性評価制度」です。
情報の機密性、完全性、可用性という3つの要素をバランスよく維持し、リスクを継続的に低減していくプロセスが評価されます。特定の技術やツールを導入することよりも、組織全体で情報を守るためのルールを定め、それを適切に運用・改善していくマネジメントの仕組みが問われるのが特徴です。
対象となる情報は個人情報に限らず、企業の技術データや営業機密、顧客から預かった業務データなど、あらゆる情報資産が含まれます。そのため、BtoBのビジネスで機密情報全般を適切に管理していることを証明したい企業に適しています。
国内外を問わず通用する国際規格に基づく認証であるため、グローバルな取引を視野に入れている場合にも非常に有効な選択肢となります。
プライバシーマーク（Pマーク）
プライバシーマークは、日本産業規格（JIS Q 15001）に準拠した基準に基づき、個人情報について適切な保護措置を講ずる体制を整備している事業者を評価し、プライバシーマークの使用を認める日本の制度です。
ISMSが情報全般を対象としているのに対し、プライバシーマークは「個人情報」の保護に特化している点が大きな違いです。
一般財団法人日本情報経済社会推進協会（JIPDEC）が付与機関として制度を運営しており、付与を受けた企業は名刺やウェブサイトに専用のロゴマークを掲示することが認められます。
消費者の目に触れる機会が多いため、一般消費者向けのサービス（BtoC事業）を展開する企業や、人材派遣業、コールセンター、ECサイト運営など、大量の個人情報を日常的に取り扱う業種において高く評価されます。
日本国内での認知度が高く、個人情報の取り扱いに関する信頼感をアピールしやすい強みがあります。
ISMAP（政府情報システムのためのセキュリティ評価制度）
ISMAPは、政府が情報システムを調達する際に求めるセキュリティ要求を満たしているクラウドサービスを、あらかじめ評価し登録する制度です。
各府省庁などがクラウドサービスを導入する際、このISMAPの登録リストから選定することが原則とされているため、公共分野への事業展開を目指すベンダーにとっては極めて重要な制度となります。
ISMAPの評価基準は厳格であり、物理的なデータセンターの安全性からシステム開発の運用プロセス、インシデント対応体制まで、クラウドサービス全体にわたる広範なセキュリティ項目が審査されます。
登録のハードルは高いですが、その分だけ強固なセキュリティ環境を提供していることの有力な証明となります。民間企業がクラウドサービスを選定する際にも、ISMAPに登録されているかどうかをひとつの信頼の目安として活用する動きが広がっています。
セキュリティ強化と認証取得を両立した企業の取り組み
セキュリティ評価制度の整備にあたり、実際にどのような取り組みが行われているのか気になる方も多いのではないでしょうか。ここでは、ISMSやPマークの取得を進めながらセキュリティ強化を実現した企業の事例を紹介します。
セキュリティ強化を推進した株式会社シードの取り組み
株式会社シードは、1957年創立のコンタクトレンズ大手メーカーです。NASの老朽化や容量不足が課題となったことを機に、クラウドストレージ「Fileforce」を全拠点へ導入しました。
導入の検討時期は、ちょうどISMSやPマークの取得を進めていた時期と重なっており、より安全なデータ管理が求められていました。そのため、セキュリティ要件の高い製品が選ばれることになりました。なかでも、ランサムウェア対策が標準で備わっている点や、感染した部分だけを復元できる機能が高く評価されました。導入後は、ランサムウェア対策やログ管理機能による安心感が、社内の機密情報管理を支えています。
株式会社ワークスアプリケーションズにおけるISMS認証とセキュリティ強化
株式会社ワークスアプリケーションズは、ERPパッケージソフトウェアやSaaSサービスの開発・販売・サポートを行う企業です。顧客の機密情報を扱うERPベンダーとして、情報共有のセキュリティ強化を目的にFileforceを導入しました。
同社はISMSの認証を受けており、外部監査の際に適切なログが記録されていることが重要な要件となっています。また、SSOとSCIMによるユーザーアカウントの自動連携を必須条件とし、退職などが発生した際にも自動でアカウントが無効化される仕組みを実現しています。セキュリティと管理効率の両立が、導入の大きな決め手となりました。
中小企業が始めやすいセキュリティ評価の取り組み
ISMSやプライバシーマークのような本格的な認証制度の取得には、多大な時間と費用がかかるため、すぐには踏み出せない企業も少なくありません。しかし、予算や人員が限られている中小企業であっても、工夫次第で外部に向けてセキュリティへの取り組みをアピールすることは十分に可能です。
ここでは、今日からでも始められる、比較的ハードルの低い取り組みを紹介します。
| 取り組みの種類 | 概要と特徴 | 始めやすさ |
|---|---|---|
| SECURITY ACTION | IPAが設けた制度で、自社の対策状況を自己宣言するもの | 費用がかからず、すぐにオンラインで申請が可能 |
| チェックシート対応の仕組み化 | 取引先から送られてくる設問への回答プロセスを標準化する | 過去の回答を資産として蓄積すれば、対応時間を短縮できる |
SECURITY ACTIONの自己宣言
SECURITY ACTIONは、情報処理推進機構（IPA）が中小企業向けに提供しているセキュリティ対策の自己宣言制度です。費用がかからず、ウェブサイトからの簡単な申し込みで取り組める点が大きな魅力です。
取り組みの段階に応じて、「情報セキュリティ6か条」に取り組むことを宣言する「一つ星」と、「5分でできる！情報セキュリティ自社診断」で自社の状況を把握したうえで情報セキュリティ基本方針を定めて外部に公開する「二つ星」の2つのレベルが用意されています。
この制度を利用することで、専用のロゴマークを自社の名刺やウェブサイトに掲載できるようになり、セキュリティ対策に前向きに取り組んでいる姿勢を対外的に示すことができます。また、これから本格的なセキュリティ評価制度の取得を目指す企業にとっても、組織内の意識向上を図るための第一歩として非常に有効です。
まずはSECURITY ACTIONの一つ星からスタートし、徐々に社内の体制を整えていくアプローチがおすすめです。
また、中小企業がSCS評価制度の★3・★4を無理なく取得できるよう、IPAの「サイバーセキュリティお助け隊サービス」に新たな類型を設ける方針が示されています。お助け隊サービスは、異常監視・駆け付け支援・相談窓口・サイバー保険をパッケージで低コスト提供する既存の仕組みで、新類型では評価取得に向けた支援の追加が見込まれています。2026年6月にはサービス提供事業者の公募も始まっており、支援メニューの具体像は今後IPAから公表される予定です。予算や人員に制約がある企業は、こうした支援策の動向も併せて確認しておくとよいでしょう。
取引先からのセキュリティチェックシートへの対応
新たな認証を取得しなくても、取引先のセキュリティチェックシートへ正確かつ迅速に回答できる社内体制を整えることは、立派なセキュリティ評価の取り組みです。過去の回答内容や自社のセキュリティ規程、ネットワーク構成図などを一元管理し、対策状況をリスト化しておけば、新たな質問にも根拠ある回答を迅速に提示でき、取引先からの心証も良くなります。
さらに、チェックシートの設問を通して業界内で標準的に求められるセキュリティ要件の傾向を把握できる点もメリットです。回答に窮する項目を自社の弱点として次年度の予算計画や対策案に組み込めば、実質的なセキュリティレベルの向上にもつながります。
チェックシートでは利用しているクラウドサービスの認証取得状況を問う設問も頻繁に登場します。たとえば国産クラウドファイルサーバー「Fileforce」は、ISO/IEC 27001（ISMS）とISO/IEC 27017（クラウドセキュリティ）の両認証を取得しており、認証登録番号や有効期限を提示するだけで根拠ある回答が可能です。
自社に最適なセキュリティ評価制度の選び方
複数のセキュリティ評価制度の中から自社に合うものを選ぶには、基準を明確にして比較検討する必要があります。流行しているからという理由だけで導入を決めると、運用が回らずに形骸化してしまう恐れがあります。
ここでは、制度選びで失敗しないための具体的な考え方と基準を解説します。
| 検討の軸 | 具体的な確認ポイント | 選定の目安 |
|---|---|---|
| 評価の対象領域 | 守るべき情報は個人情報か、技術データなどの機密情報全般か | 個人情報中心ならPマーク、情報全般ならISMSやSCS評価制度 |
| ビジネス要件 | 業界の慣習や、主要な取引先がどの認証を求めているか | 取引先のチェックシート項目に沿った制度を選択する |
| リソースとコスト | 取得にかかる費用と、維持するための社内の人的リソース | 予算が少ない場合はSECURITY ACTIONから段階的に検討する |
評価対象とビジネス要件を明確にする
制度を選ぶ際の第一歩は、自社が「何を守りたいのか」という評価対象と、「なぜ評価が必要なのか」というビジネス要件を明確にすることです。
もし自社のビジネスが一般消費者向けであり、大量の個人情報を管理することが事業の根幹であるならば、個人情報保護に特化したプライバシーマークの取得が適しています。
一方で、企業間取引が中心であり、顧客の製品設計図面やシステムの設定情報など、個人情報以外の機密データを幅広く保護する必要がある場合は、総合的な体制を評価するISMSのほうが要求に合致します。
また、主要な取引先や親会社が特定の認証取得を契約の条件としているケースもあります。まずは既存の取引先からの要望や、業界内で標準となっているガイドラインを確認し、ビジネスを円滑に進めるために最低限クリアすべき要件は何かを特定してください。その上で、新たに開始されるSCS評価制度などを含めて、将来の事業展開に最も寄与する制度を選択することが重要です。
運用負荷と費用のバランスを考慮する
セキュリティ評価制度は、一度取得して終わりではなく、毎年の維持審査や定期的な更新が必要となります。そのため、導入時の初期費用だけでなく、長期的な運用負荷とランニングコストを含めて総合的に判断しなければなりません。
高度な認証制度を取得すれば対外的なアピール力は高まりますが、現場の業務プロセスが複雑化し、従業員に過度な負担を強いる結果になっては本末転倒です。自社のIT部門の人員規模や、セキュリティに割ける予算を現実的に見積もり、無理なく継続できる仕組みを選ぶことが重要です。
リソースに余裕がない場合は、まずは無料で実施できるSECURITY ACTIONから始め、社内の運用が定着した段階でISMSやSCS評価制度の星の取得へと段階的にレベルアップしていく計画が有効です。
また、コンサルティングサービスや運用自動化ツールを併用することで、内部の工数を抑えつつ高度な認証を維持する方法も検討する価値があります。
セキュリティ評価制度の取得と並行して、データ管理基盤の整備も重要な取り組みのひとつです。純国産クラウドファイルサーバー「Fileforce」は、25,000社以上※（OEMサービスなど含む）に導入されており、情報セキュリティマネジメントの国際規格であるISO/IEC 27001と、クラウドサービス特有のセキュリティ要件に対応するISO/IEC 27017の両方の認証を取得しています。
クラウド化のメリットと従来のファイルサーバー運用の継続性を両立しつつ、認証取得もスムーズに進めたい方は、ぜひFileforceのサービス詳細をご確認ください。
※導入社数は2026年6月時点のものです。
まとめ
近年のサプライチェーン攻撃の増加により、取引先から客観的なセキュリティレベルの証明を求められる機会が増えています。2026年度末頃（2027年1〜3月頃）に運用開始が予定されているSCS評価制度をはじめ、ISMSやプライバシーマークなど、自社の事業内容や要件に合った制度を選び、段階的に導入を進めることが重要です。
何から着手すべきか迷う場合は、次の順序で整理してみてください。まず、費用のかからないSECURITY ACTIONの自己宣言で社内の現状を把握します。次に、既存の取引先から実際に求められている要件をチェックシートや契約書から棚卸しし、自社に必要な水準を特定します。そのうえで、個人情報中心ならプライバシーマーク、機密情報全般ならISMS、サプライチェーン上の取引要件ならSCS評価制度と、目的に応じた制度を選定するという流れです。
セキュリティ評価制度は単なる業務の負担ではなく、自社の価値を高め、新しいビジネスチャンスを広げるための有効な手段となります。制度の詳細は今後も更新されるため、IPAや経済産業省の公式発表を定期的に確認しながら準備を進めることをおすすめします。
著者ファイルフォース編集部
クラウドファイルサーバー「Fileforce」を提供するファイルフォース株式会社のコラム編集・ナレッジチーム。 企業のファイル基盤や情報管理、セキュリティ運用などに関する情報を発信しています。 製品知見と現場での課題理解をもとに、情報システム部門やDX推進部門、セキュリティ担当者の方に役立つ情報を提供します。
