なぜいきなり★"3"なのか？SCS評価制度のベースとなっている制度とは？
- 8月13日
- 読了時間: 4分
★1・★2は存在する！IPAの「SECURITY ACTION」
SCS評価制度というと、いきなり★3・★4という数字が出てきて戸惑う方も多いと思います。実は★1・★2は、IPA（情報処理推進機構）が以前から実施している「SECURITY ACTION（セキュリティ対策自己宣言制度）」がベースになっています。
★1：「情報セキュリティ5か条」への取り組み
★2：自社診断による現状把握、および「情報セキュリティ基本方針」の策定と外部公開
これらは中小企業が自らセキュリティ対策への取り組みを宣言する制度で、すでに多くの企業が活用してきたものです。SCS評価制度は、このSECURITY ACTIONの延長線上に★3〜★5という、より客観的な評価段階を積み上げる形で設計されています。★1・★2が「自己宣言」であるのに対し、★3以降は専門家や第三者機関の確認を伴う「客観的評価」になる点が大きな違いです。
★3・★4は自動車業界のガイドラインがベース
そして今回注目している★3・★4ですが、これは日本自動車工業会（自工会）・日本自動車部品工業会（部工会）が策定した「自工会・部工会サイバーセキュリティガイドライン」のレベルに対応する形で作られています。
★3 → 自工会・部工会ガイドラインの「Lv1」相当
★4 → 同ガイドラインの「Lv2〜3」相当（Lv3は一部項目）
自動車業界はサプライチェーンが特に長く複雑であることから、他業界に先駆けてセキュリティガイドラインの整備が進んでいました。SCS評価制度は、この先行事例を土台としつつ、業界を問わず使える共通基準として作り直されたものと言えます。
大分類1〜7はNIST CSFがベース
要求事項の大分類が1〜7まである、という構造にも背景があります。これはアメリカNIST（国立標準技術研究所）が策定した「NIST サイバーセキュリティフレームワーク（NIST CSF）」の6つの機能分類（統治・識別・防御・検知・対応・復旧）に、「取引先管理」という独自の分類を加えた、合計7分類がベースになっています。
実際、経済産業省が公開している★3・★4の要求事項・評価基準のExcelファイルには「参照文献」という列が設けられており、各評価基準がどの外部基準を参照して作られたのかが個別に明記されています。確認できた参照文献は以下の5つです。
Cyber Essentials question booklet（英国）
32 CFR Part 170（CMMC：米国国防総省のサイバーセキュリティ成熟度モデル認証）
ISO/IEC 27001:2022
政府機関等の情報セキュリティ対策のための統一基準群（政府統一基準、令和7年度版）
自工会/部工会・サイバーセキュリティガイドライン 2.3版
このように、SCS評価制度の評価基準は自動車業界のガイドラインだけでなく、政府統一基準や国際規格・海外の認証制度も参照しながら作られていることが、一次資料からも確認できます。
つまりSCS評価制度は、
自己宣言の土台：IPAのSECURITY ACTION（★1・★2）
客観評価の土台：自工会・部工会ガイドライン（★3・★4）
分類構造の土台：NIST CSF（大分類1〜7）
評価基準の土台：政府統一基準、ISO/IEC 27001、CMMC、Cyber Essentials等（評価基準ごとの参照文献）
という、複数の既存の枠組みを組み合わせて作られた制度だということが見えてきます。
SCS評価制度の★取得が求められる企業は？
サプライチェーンの名の通り、自動車関連企業がいち早く求められる可能性が大
ここまでの背景を踏まえると、★3・★4が自動車業界のガイドラインをベースにしている以上、「サプライチェーン強化」という制度の名の通り、自動車関連の取引先企業から真っ先に★の取得を求められる可能性が高いと考えられます。すでに自工会・部工会ガイドラインへの対応を進めてきた企業にとっては、SCS評価制度への対応も比較的スムーズに進められるはずです。
経済産業省が主体であることから、官公庁の入札要件に組み込まれる可能性も
もう一つ注目すべきは、この制度の主体が経済産業省であるという点です。経済産業省が主体となって制度を構築していることを踏まえると、中央官公庁の入札要件の中に★の取得状況が組み込まれていく可能性も十分に考えられます。
そうした流れを経て、まずは公共案件、そして各省庁から重要インフラと位置づけられているような企業との取引へと、要求範囲が段階的に広がっていくのではないかと予想しています。
まとめ
SCS評価制度の★3・★4は、決して唐突に生まれた基準ではなく、
IPAのSECURITY ACTION（★1・★2）
自工会・部工会のサイバーセキュリティガイドライン（★3・★4のベース）
NIST CSF（大分類1〜7の構造）
といった、すでに実績のある枠組みを土台に組み立てられています。この背景を理解しておくと、「なぜこの項目が求められているのか」がより腑に落ちやすくなるはずです。
参考：
IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（2026年3月27日）」
