取引先から「SCS評価制度」「★3」と言われたら｜小さな会社がまず確かめることと、急いで買わなくてよいもの

「来年から、SCS評価制度の★3を取っていただけますか」。

「セキュリティ対策の状況を教えてください」。

取引先からこう言われて、何のことか分からず困っていませんか。

SCS評価制度は、取引先どうしでセキュリティ対策の段階を確かめるための、国が進める新しい制度です。

正式には「サプライチェーン強化に向けたセキュリティ対策評価制度」といいます。

この記事では、詳しい担当者がいない会社に向けて、最初の一歩と、慌てなくてよいことをまとめました。

■制度をひとことで言うと

発注する会社が、受注する会社に「この段階の対策をお願いします」と示し、両者で実施状況を確かめるための制度です。

情報処理推進機構（IPA）が運営し、次のように説明されています。

・取得は任意で、法律で全社に義務付けるものではない

・業種や会社の規模を問わず、対象になり得る

・すべての要求事項を満たさなくても、直ちに取引停止になるわけではない

・取引の条件にするかは、会社どうしの契約で決まる

■今の予定（2026年11月時点）

・登録の手引：2026年11月末ごろ公表の予定

・評価機関などの公表：2026年12月の予定

・★3と★4の申請受付：2027年3月開始の予定

・取得した会社の公表：2027年4月以降

予定は変わることがあるので、IPAの公式サイトで確かめてください。

つまり、今の時点で「まだ取っていない」のは当たり前です。

■★3と★4の違い

・★3：すべての会社が最低限行う対策の水準。要求事項は26件。自社で評価し、専門家に確認してもらう。有効期間は1年

・★4：取引全体への影響が大きい会社が目指す水準。要求事項は43件。評価機関の第三者評価を受ける。有効期間は3年

・★5：内容を検討中

★3を取らなくても★4に進むことはできます。

★3は、すべての会社が最低限行う水準とされています。どの段階が必要かは、まず取引先に確かめてください。

■言われたら、まず確かめる5つのこと

慌てて何かを買う前に、取引先の担当者に次のことを聞いてみましょう。

1. 求められているのは★3か★4か、それとも質問への回答か

2. いつまでに必要か

3. 取引の条件になるのか、お願いの段階か

4. 取引先の社内の方針か、さらに上の取引先からの要請か

5. 対象は会社全体か、その取引に関わる部分か

相手も手探りのことがあります。

「準備を始めたいので教えてください」と伝えれば、角は立ちません。

■こんな営業に注意してください

経済産業省は2026年4月に、制度を引き合いに出した勧誘への注意を呼びかけました。

「評価を取っていないと取引が規制される」「今すぐ取らないと入札から外される」といった営業が報告されています。

国の説明では、会社どうしの取引を規制する制度ではなく、基準を満たすために特定の製品を導入することも必須ではありません。

高額の機器やソフトをすすめられたら、その場で決めないでください。

「IPAの要求事項のどの項目に対応するものですか」と聞いてみましょう。

答えられない場合は、いったん持ち帰るのが安全です。

■担当者がいない会社の、はじめの確かめ方

制度の全項目を読む前に、まず現状を書き出すだけで十分です。

・パソコン、スマホ、サーバーなどの一覧がある

・更新やウイルス対策を、だれが見ているか決まっている

・退職した人のアカウントを止めている

・データのバックアップがあり、戻す手順が分かる

・事故が起きたときの連絡先が決まっている

・ホームページやメールの管理会社と、契約内容が分かる

次に、IPAが公開している要求事項と評価用ガイドを見ながら、できていること、できていないことに分けます。

中小企業向けには「サイバーセキュリティお助け隊サービス」の新しい種類の準備も進められています。

■ホームページはどう関係するのか

制度はホームページだけの話ではなく、会社の情報システム全体の対策を見るものです。

どこまでを対象にするかは、登録する会社が決める範囲によって変わります。

ただし、外から見えるホームページの管理があいまいな会社は少なくありません。

「更新はだれが見ているのか」「ログインできる人はだれか」が分かるだけでも、棚卸しは進みます。

■頼むときに伝えること

・取引先から言われた内容（★の段階、期限）

・対象にしたい範囲

・社内のパソコン台数と、管理している人の有無

・ホームページやメールの管理会社

・すでにしている対策と、困っていること

この5つが分かれば、どこに相談すべきかも見えてきます。

■自分で確かめるチェックリスト

・取引先に★の段階と期限を確かめた

・IPAの公式サイトを確認した

・その場で製品を契約していない

・端末とアカウントの一覧を作り始めた

・バックアップから戻せるかを確かめた

・ホームページの管理者と更新の状況が分かる

■よくある質問

Q. 取らないと、取引がなくなりますか？

A. 制度そのものが取引を止めるわけではありません。条件にするかは会社どうしの話し合いで決まるので、まず取引先に確かめましょう。

Q. いつから準備すればよいですか？

A. 取引先から言われているなら、今から現状の書き出しを始めると余裕を持てます。言われていない会社は、書き出しだけ進めておけば十分です。

Q. 費用はどれくらいかかりますか？

A. 登録の料金はIPAの公式サイトに掲載されています。ほかに、専門家の確認や対策にかかる費用は会社の状況によって変わります。

Q. 特定の製品を入れないと取れませんか？

A. 国の説明では、特定の製品の導入は必須ではありません。

Q. ホームページの保守を頼めば、★3を取れますか？

A. 取れません。保守で整うのはホームページの部分だけです。制度の対象は会社の情報システム全体にわたるので、分けて考えましょう。

■任せたい方へ

このページでご案内しているのは、制度の取得の代行ではなく、WordPressサイトの保守です。

「ホームページの更新やバックアップの状況を、取引先に説明できるようにしておきたい」という方は、ご相談ください。

毎月サイトの状態を確かめ、作業の内容をご報告します。

WordPress保守を月額で代行し毎月報告します

https://coconala.com/services/4456029