SCS評価制度（Supply Chain Security Assessment Program）とは、企業のセキュリティ対策の実施状況を評価・可視化する制度です。正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、情報処理推進機構（IPA）が運営します。
策定の背景・目的
サプライチェーン（供給網）では、取引先への攻撃が自社の情報漏えいや業務停止につながることがあります。取引先などを経由して標的企業に侵入するサプライチェーン攻撃も、その一例です。
発注企業には取引先の対策状況を把握しづらいという課題があり、受注企業には取引先ごとに異なるチェックシートへの対応が負担となっています。本制度は、経済産業省と内閣官房国家サイバー統括室が策定した方針に基づき、取引先を含む対策水準の向上を目指します。共通の基準を用いることで、発注企業・受注企業の双方が必要な対策や実施状況を確認しやすくします。
対象と主な評価内容
業種や企業規模を問わず、サプライチェーンを構成する企業・団体などが対象です。企業等が利用するIT基盤（クラウド環境含む）と外部ネットワーク境界が評価の対象となるため、対象組織と適用範囲を明確にする必要があります。
SCS評価制度では、セキュリティ対策の段階（★）として★3・★4が定められており、★5については今後具体化される予定です。IPAが運営する「SECURITY ACTION」の一つ星・二つ星は、中小企業が情報セキュリティ対策への取り組みを自己宣言する制度です。
|
段階 |
対策の概要 |
評価方法 |
|
★3 |
一般的なサイバー攻撃に備える基本的な対策 |
専門家の確認を伴う自己評価 |
|
★4 |
★3の対策に加え、自社や取引先への被害拡大、事業停止などのリスクを抑える標準的な対策 |
評価機関による第三者評価（脆弱性検査による技術検証を含む） |
|
★5 |
より高度なサイバー攻撃を想定した対策 |
要求事項・評価基準や評価方法を検討中 |
評価項目には、セキュリティ管理体制、資産管理、システムの防御、攻撃の検知、事故対応・復旧などがあり、各段階で求められる対策の実施状況を確認します。
企業への影響と対応のポイント
SCS評価制度の★取得は任意です。取引条件として取得を求めるかどうかは、契約当事者間で決めます。制度自体が、未取得を理由に直ちに取引停止を求めるものではありません。
対応に当たっては、まず取引先と必要な評価段階や対応範囲を確認します。次に、要求事項・評価基準と自社の対策状況を照合し、不足している対策や担当者、実施時期を整理します。規程や設定内容、運用記録など、対策の実施を確認できる資料も準備します。
発注企業は、取引先が扱う情報や業務停止時の影響を踏まえ、求める段階（★）を検討することが大切です。★の取得状況を確認し、取引先と協力して対策を進めます。
最新情報の確認
SCS評価制度の要求事項・評価基準や申請手続き、スケジュールなどは、IPAの公式サイトで公表されています。制度の利用や★の取得を検討する際は、必ず最新情報を確認することが重要です。