トップ / 認証の図鑑 / 情報・サイバーセキュリティ / SCS 評価制度
情報・サイバーセキュリティ
SCS 評価制度
サプライチェーン強化に向けたセキュリティ対策評価制度（Supply Chain Security assessment scheme）
- 区分
- 登録・認定・承認
- 規格・制度を持つ団体
- 経済産業省・内閣官房国家サイバー統括室が制度を作り、スキームオーナーは独立行政法人情報処理推進機構（IPA）
- はじまり
- 2026年（制度構築方針の公表・基本規程の施行）
- 対象
- 取引先から IT 基盤のセキュリティ対策を求められる企業（サプライチェーンの委託先）
- 公式サイト
- www.meti.go.jp/policy/netsecurity/scs.html
何を確かめるか
企業の IT 基盤のセキュリティ対策を共通の要求事項・評価基準で評価し、★3・★4・★5の区分で登録する（★5は今後具体化）。★3は、社内外の「★3確認責任者」が妥当性を確かめて署名した自己評価（専門家確認付き自己評価）と自己適合宣言で登録を申請する。★4は、自己評価のうえで評価機関の第三者評価を受け、その評価報告書で登録する。
審査と有効期間
★3の有効期間は1年で、毎年、確認責任者の確認を受けた自己評価の更新版を出す。★4の有効期間は3年で、期間中は1年ごとに自己評価を評価機関に出し、3年ごとに第三者評価を受けて更新する（IPA の基本規程 SCS-100、2026年8月28日施行）。
取得する意味
発注する企業が取引先に必要な水準を★で示し、対策の状況を確かめる使い方が想定されている。格付けではなく任意の制度。
内容は規格・制度の公式の資料にもとづいて書いています。最新の要求事項・移行の期限は、規格・制度を持つ団体の公式サイトでご確認ください。
関係する認証
- SECURITY ACTION
- 中小企業の情報セキュリティ対策の自己宣言
- ISO/IEC 27001
- 情報セキュリティマネジメントシステム（ISMS）
- CMMC
- 米国防総省のサイバーセキュリティ成熟度モデル認証
- Cyber Essentials
- 英国政府のサイバーセキュリティの基本対策の認証
情報・サイバーセキュリティのほかの認証
分野のページ情報・サイバーセキュリティ
ISO/IEC 27701
個人情報の取り扱い（収集・利用・提供・削除）の管理の仕組みが規格に合っているか。
情報・サイバーセキュリティ
ISO/IEC 27017（ISMS クラウドセキュリティ認証）
ISO/IEC 27001 の認証を前提に、クラウドに特有の管理策（責任の分担、仮想環境の分離、利用者のデータの返却・削除など）が実施されているか。
情報・サイバーセキュリティ
ISO/IEC 42001
AI のリスク（偏り、透明性、安全性、データの扱い）を評価し、管理する仕組みが規格に合っているか。
情報・サイバーセキュリティ
プライバシーマーク（Pマーク）
個人情報の保護の仕組み（JIS Q 15001 にもとづく）を作り、運用しているか。
情報・サイバーセキュリティ
ISMAP
政府が定めたセキュリティの基準（管理基準）を満たしているかを監査機関が評価し、満たしたサービスを「ISMAP クラウドサービスリスト」に登録する。
情報・サイバーセキュリティ
SOC 2
セキュリティ・可用性・処理の完全性・機密保持・プライバシーの基準に照らして、内部統制の設計（タイプ1）と、一定期間の運用（タイプ2）を監査人が評価する。