SCS評価制度が始まる前に：SECURITY ACTIONから始める段階的な備え

SCS評価制度とは

SCS評価制度は、取引先のセキュリティ対策の状況を共通の基準で評価し、見える形にする仕組みです。委託元と委託先の双方の負担を減らしながら、サプライチェーン全体の水準を底上げすることを目的としています。主な特徴は次のとおりです（2026年10月時点）。

• 格付けではない：経済産業省は「格付け制度等ではない」と明記しています。2社間の取引で、委託元が必要な★を示し、対策を促す使い方を想定しています。
• 任意の制度：★の取得が必要かどうかは、取引契約で決まります。制度として規制を課すものではありません。
• 対象はIT基盤：クラウド環境を含む企業のIT基盤が対象です。工場の制御システムや納入製品は直接の対象外です。
• 特定製品の導入は不要：特定のセキュリティ製品を入れることは求められていません。
• 運営はIPA：経済産業省の監督のもと、IPAが制度を運営します。

段階の全体像：★3の手前に「SECURITY ACTION」がある

SCS評価制度は★3から始まります。その手前の★1・★2に当たる段階として、IPAが2017年から運用している「SECURITY ACTION」の一つ星・二つ星が位置づけられていると解説されています。

SECURITY ACTIONはIPAが「認定」する制度ではなく、企業が自ら取り組みを宣言する制度です。そのため、対外的には「認定を受けた」ではなく「宣言した」と表現します。

制度開始までの流れ

予定の時期は、制度の準備状況によって変わる可能性があります。なお、制度が始まった時点で★を取得している企業はまだ存在しません。

なぜSECURITY ACTIONから始めるのか

理由1：AI時代の情報管理と直結している

一つ星の「情報セキュリティ6か条」には、「共有設定の見直し」が含まれています。これは、この連載で取り上げてきた「AIが過去の共有設定の甘さを表に出す」問題（#1・#5）への、最も基本的な対策そのものです。

理由2：二つ星で「説明できる会社」になる

二つ星では、自社診断で現状を確認し、情報セキュリティ基本方針を作って社外に公開します。この基本方針に、クラウドやAIで預かった情報をどう扱うかを書き込めば、取引先に自社の考え方を説明する土台になります（#6）。

理由3：★3への準備運動になる

★3は「自己評価＋専門家による確認」です。自社の状況を自分で点検し、方針として書き出すというSECURITY ACTIONの取り組みは、その準備にそのままつながります。

理由4：すぐに始められる

SECURITY ACTIONはIPAのWebサイトから申し込めます。ロゴマークは無料で使えます。多くの補助金で申請要件にもなっています。

bitgateが推奨する5つのステップ

1. 一つ星を宣言する：6か条（ソフトの更新、ウイルス対策、パスワード、共有設定の見直し、バックアップ、攻撃手口の把握）を社内で確認する。
2. 二つ星を宣言する：25項目の自社診断を行い、基本方針を公開する。方針にはクラウドとAIの扱いも書き込む。
3. 共有設定とAIの設定を棚卸しする：NDA資料の保管場所、共有範囲、AI検索の対象を確認する（#5）。
4. ★3の要求事項をチェックリストとして使う：経済産業省も、★の有無だけでなく要求事項を点検項目として使う方法を示しています。取得前でも自己点検に使えます。
5. 取引先と★の要否を話し合い、必要なら取得する：中小企業向けには、★3・★4を安価・簡便に取得できる「サイバーセキュリティお助け隊サービス」の新しい類型も準備されています。

SCSも「話し合い」の上に成り立つ

最後に、この連載を通じてお伝えしてきたことをもう一度確認します。経済産業省は、★の取得を契約上どう扱うかについて、契約当事者同士が円満に合意すべきであり、独占禁止法や取適法（中小受託取引適正化法）に照らして適切に活用すべきだとしています。

連載の全体像は#0 まとめ記事をご覧ください。