取引先からSCS対応を求められたら？中小企業が最初に取り組むべき5つのステップ

取引先や親会社から、次のような連絡を受ける企業が今後増える可能性があります。

• SCS評価制度への対応状況を回答してほしい
• 将来的に★3または★4を取得してほしい
• セキュリティ対策に関するチェックシートを提出してほしい
• 取引継続に向けて、現在の対策状況を確認したい

こうした依頼を受けた際、担当者だけで判断して製品を購入したり、すべてのシステムを一度に見直したりするのは適切ではありません。

SCS評価制度は、経済産業省と内閣官房国家サイバー統括室の監督のもと、IPAが運営する任意の制度です。事業者間の取引契約などにおいて、委託元が委託先に必要なセキュリティ対策の段階を提示し、その実施状況を確認する利用方法が想定されています。

依頼の内容を勘違いしたまま動き出すと、対象外の調査や不要な対策に工数を割いてしまいかねません。だからこそ、最初のアクションは「対応」ではなく「確認」です。

※本記事は2026年8月時点で公表されている情報に基づいています。★3・★4は2026年度末（2027年1月〜3月頃）の運用開始が予定されており、申請方法や評価に関する詳細は今後更新される可能性があります。

取引先から「SCS対応」を求められるとはどういうことか

取引先からSCS対応を求められた場合、その内容は必ずしも「すぐに★を取得してください」という意味とは限りません。

依頼には、主に次のような段階があります。

「SCS対応」という一言だけでは、上表のどの段階に当たるのかは分かりません。回答や対策に着手する前に、自社が受けた依頼がどの段階なのかを見極めましょう。

SCS評価制度はすべての企業に取得義務がある制度ではない

SCS評価制度は任意の制度であり、すべての企業に★3・★4の取得を義務付けるものではありません。

ただし、委託元と委託先の契約や取引条件の中で、一定の★の取得やセキュリティ対策を求められる可能性はあります。

そのため、「任意制度だから対応しなくてもよい」と判断するのではなく、次の点を確認する必要があります。

• 今回の依頼は情報収集なのか、取引条件なのか
• ★3・★4のどちらを想定しているのか
• いつまでに回答または取得する必要があるのか
• どの業務・システム・拠点が対象なのか
• 未対応の場合、取引にどのような影響があるのか

なお、SCS評価制度自体が、未取得企業の取引を一律に制限するものではありません。取得や対応の要否は、取引先との契約や取引条件によって判断されます。

SCS評価制度の仕組み、★3・★4の違い、対象企業については、関連記事「SCS評価制度とは？経産省が進めるサプライチェーンセキュリティ評価と企業が今すぐ始めるべき対策」で詳しく解説しています。

取引先からSCS対応を求められたときの5つのステップ

取引先から依頼を受けた場合は、次の5つのステップで進めます。

1. 依頼内容と期限を確認する
2. 社内の責任者と対応体制を決める
3. 対象となる業務・IT資産を整理する
4. 要求事項とのギャップを確認する
5. 改善計画を作成し、記録と証跡を残す

重要なのは、いきなり対策製品を選ぶのではなく、依頼内容、対象範囲、現在の状態、不足している対策の順に整理することです。

STEP1　依頼内容と期限を確認する

最初に、取引先の担当者へ依頼内容を確認します。

少なくとも、次の項目を明確にしましょう。

• 依頼の目的
• 求められている★の段階
• 現状確認だけでよいのか、取得まで必要なのか
• 回答期限・改善期限・取得希望時期
• 対象となる契約、業務、システム、拠点
• 指定された回答様式やチェックシートの有無
• 未対応項目がある場合の報告方法

例えば、「★3への対応をお願いします」という連絡だけでは、現時点での自己評価を求めているのか、制度開始後の取得を求めているのか判断できません。

曖昧なまま対応を始めると、対象外のシステムまで調査したり、必要以上の対策を実施したりする可能性があります。

依頼内容を文書やメールで残し、社内で同じ認識を共有できる状態にしましょう。

STEP2　社内の責任者と対応体制を決める

SCS対応は、情シス担当者だけで完結する業務ではありません。

要求事項には、技術的な対策だけでなく、経営層の関与、規程、教育、委託先管理、インシデント対応なども含まれます。

次のような関係者を整理しましょう。

最初に、社内の取りまとめ責任者と経営層への報告先を決めます。

担当部門が複数に分かれる場合は、次の項目を管理する一覧表を作成すると進めやすくなります。

• 確認項目
• 担当部門・担当者
• 現在の対応状況
• 不足している対策
• 対応期限
• 証跡の保管場所

STEP3　対象となる業務・IT資産を整理する

SCS評価では、取得を希望する組織が適用範囲を定め、その範囲に対して要求事項・評価基準への対応状況を確認します。

そのため、最初から全社のすべてのシステムを一律に対象と考えるのではなく、取引先との契約や受託業務との関係を起点に、対象となる部門、拠点、業務、システムを整理するところから始めます。

ただし、適用範囲は都合よく狭く設定するものではありません。対象業務を支えるネットワーク、端末、クラウドサービス、委託先なども含め、要求事項・評価基準に照らして適切な範囲を定める必要があります。

主に確認したい対象は次のとおりです。

• 取引先から受託している業務
• 取引先の情報を保存・処理するシステム
• 業務に利用するサーバーやクラウドサービス
• 業務用PC、モバイル端末、ネットワーク機器
• Webサイト、Webアプリケーション、公開サーバー
• 利用しているSaaSや外部サービス
• 再委託先や運用委託先
• 対象業務を担当する部門・拠点・従業員

IT資産を整理する際は、名称だけでなく、次の情報も記録します。

• 利用目的
• 管理部門・管理者
• 保管・処理している情報
• インターネット公開の有無
• 利用しているOS・ミドルウェア・クラウド
• 運用・保守を担当する事業者
• 契約範囲と責任分担
• サポート期限・更新期限

管理者や利用目的を把握できていない資産は、対策状況を正しく評価できません。

資産一覧がない場合は、SCS申請書類の作成より先に、IT資産の棚卸しから着手しましょう。

STEP4　要求事項とのギャップを確認する

対象範囲を整理したら、IPAが公表している★3・★4の要求事項・評価基準と、自社の現在の対策状況を照合します。

確認結果は、例えば次の4段階で整理します。

この段階では、未対応項目を隠したり、すべて対応済みとして回答したりせず、現在の状態を正確に把握することが欠かせません。

中小企業では、対策そのものは実施していても、次のような理由で「確認できない」状態になっていることがあります。

• 規程や手順書が作成されていない
• 実施日や担当者の記録がない
• 設定画面やログを保存していない
• 外部事業者の契約範囲が分からない
• 定期的に実施していることを証明できない
• 担当者の退職後、運用が止まっている

SCS評価への準備では、技術的な対策だけでなく、対策を継続していることを確認できる状態を保ちましょう。

STEP5　改善計画を作成し、記録と証跡を残す

ギャップを確認したら、すべての未対応項目を同時に解決しようとせず、リスクと期限に応じて優先順位を決めます。

優先順位は、次の観点で判断します。

• 取引先から期限を指定されているか
• 外部から攻撃される可能性が高いか
• 機密情報や個人情報を扱っているか
• 発生時に事業停止や取引先への影響があるか
• 既知の脆弱性や設定不備が存在するか
• 短期間でリスクを下げられるか

改善計画には、少なくとも次の項目を含めましょう。

• 未対応または一部対応の要求事項
• 現在の問題点
• 実施する対策
• 担当者・担当部門
• 対応期限
• 必要な予算
• 外部事業者への依頼内容
• 完了を確認する方法
• 保存する証跡

すぐに恒久対応できない場合は、アクセス制限、監視強化、不要機能の停止などの暫定対策を実施し、恒久対応の期限を設定します。

また、取引先へ回答する際は、「未対応です」だけで終わらせず、次のように整理して伝えると状況を共有しやすくなります。

• 現在の対応状況
• 未対応となっている理由
• 実施済みの暫定対策
• 今後の対応方針
• 完了予定時期

SCS対応では、改善した事実だけでなく、判断・実施・確認の過程を記録として残すことがポイントです。

最初に確認したい代表的な対策領域

要求事項とのギャップを確認する際は、次のような領域から整理すると、自社の弱点を把握しやすくなります。

• 経営者の関与とセキュリティ方針
• IT資産と情報資産の管理
• アカウント・権限・多要素認証
• OS、ミドルウェア、CMSの脆弱性管理
• ネットワークとクラウドの公開範囲
• ログの取得・監視・保管
• バックアップと復旧確認
• インシデント発生時の連絡・対応手順
• 従業員教育
• 委託先・再委託先の管理

ここで挙げた項目は、そのまま加点・減点される一覧ではありません。自社の現状を把握し、要求事項との対応関係を確認するための代表的な点検領域です。

よくある失敗は「製品を導入すれば対応できる」と考えること

SCS評価制度の要求事項・評価基準を満たすために、特定の製品やサービスの導入が一律に必須とされているわけではありません。

例えば、多要素認証、ログ監視、バックアップ、脆弱性管理などを実現するために製品や外部サービスが必要になる場合はあります。

しかし、製品を導入しただけでは、次の状態を解決できないことがあります。

• 対象となるIT資産を把握していない
• 運用担当者が決まっていない
• アラートを確認していない
• バックアップから復旧できるか試していない
• インシデント時の連絡先が決まっていない
• 対応結果を記録していない

まず要求事項と現在の状態を確認し、不足する機能や運用を明らかにしたうえで、必要な製品・サービスを選びましょう。

自社だけで判断できない場合の相談先

中小企業では、専任のセキュリティ担当者がいない、サーバーやクラウドの管理を複数の事業者へ委託しているなどの理由から、社内だけで要求事項を確認できないことがあります。

その場合は、次のような外部支援を検討します。

• 中小企業向けのセキュリティ専門家
• サーバー・クラウド運用事業者
• ネットワークや端末の管理事業者
• CMS・Webサイトの制作・保守事業者
• 規程や体制整備を支援するコンサルタント
• サイバーセキュリティお助け隊サービスなど、中小企業向けのセキュリティ支援サービス

※相談先によって支援範囲は異なります。SCS評価制度の申請支援、要求事項とのギャップ確認、技術対策の実施など、どこまで対応できるかを事前に確認してください。

外部へ相談する場合も、最初に次の資料を用意しておくと、確認が進みやすくなります。

• 取引先から届いた依頼文・チェックシート
• 対象となる業務や契約の概要
• IT資産・クラウドサービスの一覧
• ネットワークやシステムの構成図
• 運用・保守事業者との契約内容
• 既存の規程・手順書
• 過去の脆弱性診断や監査結果

SecurityScorecardなどの外部スコアとは分けて考える

取引先から、SCS対応とあわせてSecurityScorecardなどの外部評価サービスの結果を提示される場合があります。

SCS評価制度の★と、民間の外部評価サービスが算出するスコアは別のものです。

外部評価サービスは、インターネット上から観測できるドメイン、IPアドレス、公開サーバーなどの状態を評価します。一方、SCS評価制度では、技術的な対策だけでなく、規程、体制、教育、委託先管理、インシデント対応、証跡なども確認対象になります。

外部スコアを改善しただけでSCS評価制度の要求事項をすべて満たせるわけではありません。ただし、管理されていない公開資産や脆弱性、設定不備を発見する材料として活用できます。

SecurityScorecardの評価項目やスコア算出の仕組みについては、関連記事「SecurityScorecardとは？10の評価項目とスコア算出・反映の仕組みを解説」をご確認ください。

よくある質問（FAQ）

Q. 取引先から依頼されたら、必ず★3・★4を取得しなければなりませんか？

SCS評価制度自体は任意の制度です。ただし、取引先との契約や取引条件として、特定の★の取得や一定の対策を求められる可能性があります。依頼の目的、対象範囲、期限、未取得の場合の取り扱いを取引先へ確認してください。

Q. まず★3を取得してからでないと、★4は取得できませんか？

いいえ。公表されている要求事項・評価基準では、★4は★3の要求事項を包含する構成になっており、★3を経ずに★4を直接目指すことも可能とされています。ただし、セキュリティ対策が未整備の企業にとっては、★3から段階的に取り組む方が現実的な場合もあります。取引先から求められる段階や、自社の事業・リスクに応じて検討しましょう。

Q. 情シス担当者だけで対応できますか？

技術的な確認は情シス担当者が中心になりますが、経営判断、規程、従業員教育、契約、委託先管理などは他部門の協力が必要です。経営層を含む責任者と、部門横断の対応体制を決めて進めましょう。

Q. セキュリティ製品を導入すれば取得できますか？

特定の製品を導入するだけで取得できる制度ではありません。要求事項に対して、技術、組織、運用、記録の各面で必要な対策を実施し、その状況を確認できるようにする必要があります。

Q. まだ制度開始前ですが、今から何を準備すればよいですか？

取引先からの依頼内容を確認し、対象業務、IT資産、担当者、規程、運用記録を整理したうえで、公開済みの★3・★4要求事項・評価基準とのギャップを確認します。申請方法などの未公表事項については、IPAの最新情報を継続して確認してください。

まとめ

取引先からSCS対応を求められた場合、最初から製品導入や★の申請を進めるのではなく、依頼内容と対象範囲を確認するところから始めます。

次の5つのステップで準備を進めましょう。

SCS対応は、情シス担当者だけが行う技術対策ではありません。経営層、総務・人事、法務・購買、外部の運用事業者などと連携し、対策を継続できる体制を整えていきましょう。

すべてを一度に改善するのではなく、取引先から求められている期限と、自社にとってのリスクを踏まえて優先順位を決めましょう。

参考情報

• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
• IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
• IPA「要求事項・評価基準」
• IPA「SCS評価制度 よくある質問」
• IPA「中小企業の情報セキュリティ対策ガイドライン」