「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」とは、経済産業省・内閣官房国家サイバー統括室が推進する、サプライチェーン全体のセキュリティ強化を目的とした任意の制度です。
既存のISMSや「SECURITY ACTION」とは異なり、セキュリティ対策への対応状況を客観的に可視化するために、技術的な実装も直接評価します。
| 概要 | 評価方式 | 要求事項数 | 評価基準数 | |
|---|---|---|---|---|
| ★3 | 一般的なサイバー攻撃に対応できる体制を自社で整えている状態 | 専門家確認付き自己評価 | 26件 | 81件 |
| ★4 | サプライチェーン全体のリスク低減を目指し、第三者による客観的評価が必須となる状態 | 第三者評価機関による審査 | 43件 | 153件 |
| ★5 | 最高レベルの対策。事業継続の観点を取り入れた状態 | 第三者評価機関による審査 | 今後具体化予定 | 今後具体化予定 |
制度構築方針は2026年3月に正式公表。現在（2026年度上期）は制度の具体化と運用準備が進行中です。
2026年度下期（10月には「★3・★4 自己評価等ガイド」「★3・★4 要求事項・評価基準 解説書」などの公開が予定されており）、2026年度末（2027年3月）からの運用開始が予定されています。
サプライチェーン全体でのセキュリティ強化の重要性が高まる中、取引上のやりとりでセキュリティ体制について情報共有・対話を行う企業も増えています。体制を早めに整えておくことは、取引先との信頼関係を築くうえでも有益です。
セキュリティ対策への取り組みが不十分と見られることで、取引先や市場から「リスク管理が不十分な企業」と見なされる可能性があります。長年築き上げてきた信頼関係やブランドイメージが一度低下すると、その回復には時間とコストを要する場合があります。
技術的なセキュリティ対策が不十分な状態は、システムに潜む脆弱性を見過ごすことにつながります。万が一サイバー攻撃を受けてシステムが停止した場合、事業継続に影響が及ぶ場合があります。
MFA（多要素認証）・ログ管理・メールセキュリティ・マルウェア対策など広範な要求項目が並ぶ中、「自社に何が足りていないか」を判断するには専門知識が必要です。情シス専任がいない・ひとり情シス体制の企業では特に困難です。
ツールを導入するだけでなく、定期的なログ確認・異常検知時の調査など継続的な運用が求められます。★4対応には継続的なログ監視・即時アラート対応など、体制面のハードルも高くなります。
認証・メールセキュリティ・エンドポイント保護などを個別に導入すると、ライセンス・導入・保守費用が積み上がります。中小企業にとって現実的でないコスト負担になる場合があります。
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）への対応や将来的なISMS取得を見据える同社は、Google Drive のガバナンス強化を目的にHENNGE File DLPを導入。その背景と具体的な効果、今後の展望とは。
導入事例の詳細を読む
