「取引先から、セキュリティ対策について聞かれることが増えた」「SCS評価制度という言葉を見かけたけれど、正直よく分からない」

そんなIT担当者の方も多いのではないでしょうか。
この記事では、SCS評価制度の基本を一つずつやさしく解説します。

※本記事は2026年9月時点の情報です。
制度は詳細化が進められており、今後更新される可能性があります。

この記事のポイント：

  • SCS評価制度がどんな制度で、なぜ始まるのかが基本から分かります
  • ★3と★4の違いや、評価の受け方がひと目で分かります
  • Microsoft 365を使って、今から無理なく始められる準備が分かります

SCS評価制度とは？なぜ始まるの？

正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。
2026年3月27日に、経済産業省と内閣官房国家サイバー統括室が制度構築方針を公表しました。

SCS評価制度は、企業のセキュリティ対策状況を共通の基準で評価し、★3・★4などの段階で可視化する仕組みです。

取引先企業間でセキュリティ対策の状況を「同じものさし」で確認し、取引に必要なセキュリティ水準を共有しやすくすることを目的としています。なお、企業どうしを順位付けする格付け制度ではありません。

そもそも、サプライチェーンとは、製品やサービスが届くまでにかかわる取引先のつながりのことです。
制度が設けられる背景には、次のような課題があります。

  • 取引先が攻撃を受け、仕事を頼んだ側まで被害が広がる例が相次いでいる
  • セキュリティ対策の確認方法が取引先ごとに異なり、企業の負担になっている

SCS評価制度は、こうした確認の負担を減らしながら、サプライチェーン全体のセキュリティ対策水準を引き上げるために設けられる制度です。

SCS評価制度では何を評価する？★3と★4の違い

★3は「基本の対策」、★4は「一歩進んだ対策」とイメージすると分かりやすいです。
IPA（情報処理推進機構）の公表情報をもとに整理します。

項目★3★4
目指す水準一般的なサイバー攻撃に備える基礎的な対策被害拡大の防止や、ガバナンス・取引先管理を含む包括的な対策
要求事項の数26件43件
評価方法専門家確認付き自己評価評価機関による第三者評価
主な確認内容自己評価書類を専門家が確認文書確認、実地審査、技術検証
有効期間1年3年

※★4の有効期間は3年間ですが、有効期間中も1年ごとに自己評価を行い、結果を評価機関へ提出する必要があります。

要求事項とは、その★（評価段階）を取得するために満たすべき対策の項目のことです。

★3・★4は、2026年度末頃（2027年1月から3月頃）に申請受付が始まる予定です。
ただし、今後の準備状況によって変更される可能性があります。

自社にどう関係する？Microsoft 365で始める小さな一歩

取引先から★を求められたときに慌てないよう、まずは今お使いのMicrosoft 365を見直すのがおすすめです。特定の製品の導入は必須ではないため、手元でできることから確認しましょう。

  • 多要素認証：パスワードに加え、認証アプリやセキュリティキーなどで本人確認する（Microsoft Entra ID）
  • 端末の管理：パソコンやスマートフォンの登録状況、セキュリティ設定、更新状況などを一元的に管理する（Microsoft Intune）
  • 操作の記録：ユーザーや管理者が行った操作を記録・確認する（Microsoft Purview 監査）
  • 現状チェック：組織のセキュリティ対策状況をスコアで確認し、推奨される改善策を把握する（Microsoft セキュア スコア）

Microsoft セキュア スコアは、Microsoft 365のセキュリティ対策状況を確認するための指標であり、SCS評価制度の★とは別のものです。
セキュア スコアが高くても、★を取得できるとは限りません。また、利用できる機能はMicrosoft 365の契約プランによって異なります。

今から何をする？3ステップで準備しよう

申請の受付が始まる前に、次の3ステップで準備しておくと安心です。

  1. 目標の★を決める：取引先の要望や、扱う情報の大切さから考える
  2. 今の状態を知る：公開されている要求事項と、自社の対策を見比べる
  3. できることから進める：多要素認証など着手しやすい対策から始める

自分では判断しにくい場合は、外部の専門家に現状を診断してもらうのも近道です。
詳しい手引き（評価ガイド）は2026年10月頃に公開される予定です。

準備を進める際はIPAのSCS評価制度サイトで最新版を確認しましょう。

【事例集】働き方は、ここまで変わる。導入事例7選

新しい機能を社内に浸透させる過程で、操作に関する問い合わせ対応や独自の運用ルールの乱立にお悩みの管理者様は少なくありません。本資料では、Microsoft 365の導入や運用定着、セキュリティ基盤の構築における実践的な事例集をご用意しました。

・従業員規模別（300名以下・301名以上）の厳選した7つの成功事例をご紹介
・運用ルールの体系化や、社内SNS活用による組織活性化のヒントを収録

Microsoft 365担当者様の負担軽減と、貴社のスムーズな運用定着を実現する一助としてぜひご活用ください。

▼【Microsoft 365導入事例】をダウンロードする

Microsoft 365 導入事例集7選を無料ダウンロード

よくある質問（FAQ）

Q
SCS評価制度は、必ず取らないといけないのですか？
A

いいえ、義務ではなく任意の制度です。ただ、取引先から★を求められる場面に備えて、早めに準備しておくと安心です。

Q
★3と★4、どちらを目指せばいいですか？
A

一般的なサイバー攻撃への基礎的な備えを整える場合は★3が一つの目安ですが、取引先から★4を求められている場合は、最初から★4を目指すこともできます。

Q
Microsoft 365を使っていれば、★3は取れますか？
A

Microsoft 365をただ導入すれば取れるわけではありません。社内ルールや体制づくりなど、ツールの設定だけでは満たせない項目もあるためです。

まとめ

  • SCS評価制度は、セキュリティ対策の状況を★の数で表す
  • ★3は基本の対策、★4は一歩進んだ対策が求められる
  • Microsoft 365の今ある機能から、小さく始められる
  • まずは目標の★を決め、現状を把握することから始める

SCS評価制度への対応は、一度に完璧を目指さなくても大丈夫です。
今お使いのMicrosoft 365の見直しから、少しずつ進めていきましょう。

参考資料

本記事の作成にあたり、以下の経済産業省、IPA、Microsoftの公式情報を参考にしています。

貴社のお悩みをお聞かせください

私たちは、数あるクラウドツールの中でもMicrosoft 365に特化して支援を行ってきました。
だからこそ、導入前の検討・設計から、移行、運用、社内への定着まで、企業が「つまずきやすいポイント」を熟知しています。


【例えば、こんなご相談をよくいただきます】

  • 「導入したものの、一部の機能しか使えておらず、もっと業務効率化に活かしたい」
  • 「自社の課題や働き方に合った、最適なライセンスプランや運用ルールを見直したい」
  • 「全社へのツール定着や、情報システム部門の管理負担を軽減する方法を相談したい」


13年以上・350社以上の導入実績をもとに、貴社の課題に寄り添った最適な運用をご提案します。
「まずは現状のモヤモヤを聞いてほしい」といった些細なご相談でも構いません。ぜひお気軽にお声がけください。

Microsoft 365の運用相談はこちら｜お問い合わせ