Ep.1579 IPAが「SCS評価制度」の評価ガイドと解説書を公開──2027年3月の運用開始に向けサプライチェーン防衛の実務基準が確定（2026年10月29日配信）

タイトル

IPAが「SCS評価制度」の評価ガイドと解説書を公開──2027年3月の運用開始に向けサプライチェーン防衛の実務基準が確定

このエピソードで登場するキーワードを説明します。

IPA (Information-technology Promotion Agency): 独立行政法人情報処理推進機構。日本のIT国家戦略を技術面や人材面から支える経済産業省所管の公的機関であり、SCS評価制度の運営主体を担う。

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）: 経済産業省と内閣官房国家サイバー統括室が策定した方針に基づき、サプライチェーンを構成する企業のセキュリティ対策水準を星の数で段階別に可視化・評価する公的制度。

NCO (National Cybersecurity Office): 内閣官房国家サイバー統括室。日本のサイバーセキュリティ政策を司令塔として統括する政府機関であり、2026年10月1日に主要規定が施行された能動的サイバー防御関連法の運用なども所管する。

NIST CSF (National Institute of Standards and Technology Cybersecurity Framework): 米国立標準技術研究所が策定したサイバーセキュリティ対策の国際的な枠組み。ガバナンス、特定、防御、検知、対応、復旧の6つの機能で構成される。

RPO (Recovery Point Objective): 目標復旧時点。システム障害やサイバー攻撃によるデータ消失が発生した際、過去のどの時点のデータまで遡って復旧させるかを示す指標。

RTO (Recovery Time Objective): 目標復旧時間。システムが停止してから、業務を再開できる状態に復旧するまでに許容される時間の目標値。

それでは解説に入ります。

取引先や委託先を踏み台にして大企業や重要インフラの深部へ侵入するサプライチェーン攻撃が深刻化する中、企業のセキュリティ対策水準を公的に格付けする新制度の実務ルールが固まりました。2026年10月28日、独立行政法人情報処理推進機構、通称IPAは、2027年3月の本格運用開始を予定している「サプライチェーン強化に向けたセキュリティ対策評価制度」、通称SCS評価制度について、改訂版の要求事項・評価基準とともに、具体的な審査手順を定めた各種評価用ガイドおよび解説書を一斉に公開しました。

このSCS評価制度は、2026年3月27日に経済産業省と内閣官房国家サイバー統括室が公表した制度構築方針に基づき設立されたものです。これまでサプライチェーン上のセキュリティ管理においては、発注側の大企業が取引先の正確な対策状況を把握しきれない一方で、受注側の中小企業やITベンダーは取引先ごとに異なる独自のセキュリティチェックシートへの回答を強いられ、二重三重の事務負担に陥るという構造的な課題がありました。新制度はこうしたチェック基準を国主導で標準化し、1つ星から5つ星までの段階的なスコアとして可視化することで、発注側のリスク判断と受注側の負担軽減を同時に達成する狙いがあります。なお、1つ星と2つ星については既存の自己宣言制度である「SECURITY ACTION」がそのまま役割を担い、今回の新制度では実質的に3つ星と4つ星の運用からスタートします。

今回2026年10月28日に新たに公開されたのは、組織が自ら点検を行うための「自己評価等ガイド」と専用のアセスメントシート、外部の審査機関が用いる「第三者評価ガイド」、システムの脆弱性を実際にテストする手順を定めた「技術検証ガイド」、そして対策の適用範囲や考え方を詳述した「要求事項・評価基準 解説書」の4つの文書群です。また、2026年3月27日および4月21日に公開されていた「要求事項・評価基準」そのものについても、実務に即したアップデートが施され、差分データが公表されました。

制度の中核となる3つ星は、サプライチェーンに参加するすべての企業が最低限実装すべきベースラインと位置づけられています。既知の脆弱性を悪用する一般的なサイバー攻撃を防ぐための25項目で構成されており、有効期間は1年間です。特徴的なのは、単なる企業の自己申告では取得できない点です。企業が自己評価を行った後、情報処理安全確保支援士などの登録されたセキュリティ専門家が内容をレビューして署名・確認するプロセスが義務付けられており、従来の自己宣言型制度よりも実効性を高める設計となっています。

一方、より上位の4つ星は、供給停止がサプライチェーン全体に甚大な影響を及ぼす中核企業や、機密情報を扱う企業が目指すべき標準水準であり、有効期間は3年間です。米国立標準技術研究所のフレームワークであるNIST CSFに準拠し、防御だけでなく侵入を前提とした検知、対応、復旧までの44項目が求められます。特にランサムウェア被害からの早期立ち直りを重視しており、ファイアウォールや認証サーバーのログを6カ月間保存することや、事業継続に不可欠なシステムについて目標復旧時点であるRPOと目標復旧時間であるRTOを満たす形でバックアップからの復元手順を実証することなどが厳格に規定されています。さらに4つ星の取得には、認定された評価機関による書面および現地での第三者評価に加え、外部に公開しているIT資産に対する脆弱性診断などの「技術検証」をパスすることが必須となります。今回公開されたガイド類により、どの事業部門やシステムを取得単位として切り出すかというスコープ設定の基準や、現地審査での確認手順が明確化されました。

日本政府がここまで踏み込んだ制度設計を急ぐ背景には、2026年に入り一段と厳しさを増す法規制と脅威環境があります。2026年7月には改正個人情報保護法が公布されて課徴金制度の導入などが決まり、10月1日には能動的サイバー防御関連法の主要規定が施行され、重要インフラ事業者に対するシステム届出やインシデント報告の義務が強化されました。また、直近の10月下旬にはPHPの深刻な脆弱性であるPHP2Shellを突いた攻撃が世界中で猛威を振るうなど、サプライチェーンの末端にあるシステム管理の甘さが即座に経営危機へ直結する事態が相次いでいます。

今後のスケジュールとして、IPAは2026年10月26日に評価機関や技術検証事業者、研修事業者の初回の指定申請受付を締め切っており、2026年12月下旬には最初の認定評価機関を公表する予定です。続いて2027年1月には確認を担う専門家の講習とオンライン申請システムが稼働し、2027年3月から企業の登録申請受付が正式に始まります。任意参加の制度ではあるものの、今後は政府調達の入札条件や、自動車・電力・金融といった主要産業における取引継続の事実上の必須ライセンスとして組み込まれていくことが確実視されています。今回実務ガイドとアセスメントシートが出揃ったことで、企業にとっては来年春の制度スタートに向け、自社のIT資産の棚卸しと体制整備を本格化させる号砲が鳴らされたと言えます。

今回のエピソードは以上で終了です。また次回お会いしましょう。