2026年10月28日、経済産業省とIPAがSCS評価制度の要求事項・評価基準を公開しました。
制度名だけが先に広がり、「また新しい認証が増えるのか」と受け止められている面があります。
結論から言えば、この制度は対策製品を買う制度ではありません。
決めたことを、決めた通りにやっているかを示す制度です。
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。経済産業省と内閣官房国家サイバー統括室が所管し、IPAが運営を担います。
名前のとおり、狙いはサプライチェーン全体の底上げです。大手企業が取引先に求める水準がばらばらだと、中小企業は取引先ごとに違うチェックリストへ対応することになります。共通のものさしを国が用意し、そこに乗れば取引先からの確認に答えられる状態を作る、という設計です。
前提となっているのはNIST CSF 2.0（米国標準技術研究所のサイバーセキュリティフレームワーク第2版）です。ただし日本向けの調整が入っており、取引先管理が独立した分類として立てられている点が特徴です。
★3の評価基準は「ガバナンスの整備」「取引先管理」「リスクの特定」「攻撃等の防御」「攻撃等の検知」「インシデントへの対応」「インシデントからの復旧」の大分類で計26項目。
評価基準の半分は「攻撃等の防御」です。
自己評価に加えて専門家による確認。有効期間1年。受付開始は2027年3月予定です。
