セキュリティ等級の申請受付は27年3月予定。★は取引先が指定する

取引先から「おたくのセキュリティは大丈夫か」という紙が届いたとき、いまは相手の会社ごとに違う様式へ、自社の担当者が自分の言葉で書いて返しています。ものさしは相手ごとにばらばらです。

国はそこに、共通のものさしを1本置こうとしています。★3なら要求事項は26件。それに沿って自己評価し、確認を受けて登録されれば「★3です」と示せるようになります。登録申請の受付開始は2027年3月の予定です。

変わるのは対策の中身ではありません。「大丈夫です」の測り方が、自社の言葉から、国が決めた等級に変わります。

そして、どの★が要るかを先に示すのは、多くの場合あなたの会社ではなく、仕事を出す側です。

最初に結論：届いたチェックシートを3枚集め、「誰が答えたか」を横に書く

いま申請を決める必要はありません。受付が始まるのは2027年3月の予定で、評価する機関の顔ぶれもまだ出そろっていないからです。

代わりに今月できることが1つあります。直近1年に取引先から届いた情報セキュリティの確認依頼を、3枚集めることです。どの取引先から、いつ届き、どんな様式で、誰が答えたかを横に並べます。

出典：記入欄は筆者作成。

「答えた人」の列が3行とも自社の人なら、取引先への説明は、いまのところ自己申告だけで成り立っています。それ自体は悪いことではありません。これまではそれが普通でした。

ここから先は、何が決まって何が決まっていないのか、そしてなぜ「取引先が指定する」という形になるのかを順に見ていきます。

何が起きたか：★3・★4の評価用ガイドが出て、申請受付は2027年3月の予定

独立行政法人情報処理推進機構（IPA）は2026年10月28日、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の評価用ガイドなどを公開しました。制度を所管するのは経済産業省で、運営はIPAです。

公開されたのは「★3・★4 自己評価等ガイド」「★4 第三者評価ガイド」「★4 技術検証ガイド」「★3・★4 要求事項・評価基準 解説書」の4つの文書と、自己評価のためのアセスメントシートです。あわせて要求事項・評価基準がVer.1.1に更新されました。

決まったのは文書が出たところまでで、登録申請の受付開始は2027年3月の予定です。

出典：IPAのプレス発表（2026年10月28日）と、IPA「SCS評価制度」詳細情報の記載をもとに編集部が整理。

制度が置かれた理由は、委託先が攻撃を受けると、委託元の事業まで止まることにあります。IPAは制度の狙いを「サプライチェーン全体のセキュリティ対策水準の向上」と書いています。自社が守れていても、仕事を頼んだ先が破られれば、同じことだという考え方です。

つまり、守りの話でありながら、取引の話でもあるということです。

そもそも★とは何の段階か：★2と★3のあいだに線がある

★は5段階あります。このうち★1と★2は新しいものではありません。IPAが以前から運営している「SECURITY ACTION」という自己宣言の枠組みが、報道や各社の解説では★1・★2にあたると説明されています。IPAのSCS評価制度のページ自体は、★1・★2に番号を振って説明してはいません。

SECURITY ACTIONは、★1が「情報セキュリティ6か条」に取り組むと宣言するもの、★2が25項目の自社診断を実施したうえで情報セキュリティ基本方針を策定して外部に公開するものです。詳しくはサイバーセキュリティの基礎知識にまとめています。

大事なのは、どちらも自己宣言だということです。IPAはSECURITY ACTIONについて、対策状況を認定する制度ではないと明記しています。

出典：IPA「SECURITY ACTION」およびIPA「SCS評価制度」詳細情報（「社内外の★3確認責任者は、登録希望組織が記入した内容を確認する」との記載）。★番号の対応は報道・各社解説による説明。

今回ガイドが出た★3と★4は、その先にあります。★3は要求事項が26件で、自社で評価したあと★3確認責任者の確認を受けます。★4は要求事項が43件で、評価機関による第三者評価と技術検証を受けます。★5は、内容も運用開始時期も、現時点では検討中です。

★が1つ増えるという話ではありません。★2と★3のあいだで、制度の性質そのものが変わります。下は自分の言葉で宣言するだけ。上は国が決めた共通の要求事項に沿って評価し、確認を経て登録されます。ここに線が1本あります。

誤解されやすいのですが、★3の確認は必ずしも社外に頼むものではありません。IPAは確認を行う人を「社内外の★3確認責任者」と書いており、社内の人でも社外の人でも務まる設計です。外部の機関が審査するのは★4のほうで、こちらは評価機関による書面審査・実地審査と技術検証を受けます。

なお、★3の要求事項26件と、★2の自社診断25項目は、数が近くても別のものです。前者は登録を受けるために満たすべき要件、後者は自分の状態を点検するための設問で、母数も性格も違います。並べて比べられるものではありません。

本質はどこにあるか：「大丈夫です」のものさしが、自社の言葉から国の等級に変わる

報道はこのニュースを「評価のやり方がわかるようになった」「準備ができるようになった」と扱っています。それはそのとおりです。ただ、そこで止まると、経営の話になりません。

本質は、セキュリティ対策が義務になることではありません。取引先に「うちは対策しています」と自分の言葉で言えば済んでいた形が終わり、守りが「国の共通のものさしで測った等級」になることです。

出典：IPA公表資料をもとにした編集部の整理。

この違いは、やることが増えるかどうかではありません。同じ対策をしていても、それを何で測ったかが変わります。社長が「うちはちゃんとやっています」と言うのと、共通の要求事項26件を満たして登録されていると示せるのとでは、相手の受け取り方が違います。

判断軸で見ると、仕組みになるかには、はっきり効きます。これまで取引先への説明は、担当者が紙を埋め、社長が口で補う形でした。属人的で、その人がいなくなれば再現できません。等級になれば、説明は会社に残ります。

成長に効くかは、条件付きです。★が受注の条件になる取引があるなら、取得にかかる手間と費用は守りの支出ではなく、営業の投資になります。逆に、そういう取引先が1社もないのなら、いま急ぐ理由はありません。ここを取り違えると、必要のない会社が費用をかけ、必要な会社が間に合わなくなります。

この制度は、社長の口約束を書類に変える話ではなく、書類を等級に変える話です。だからこそ、次の問いが要ります。等級は誰が決めるのか、ということです。

★を指定するのは、取る側ではなく出す側

ここが、今回のニュースで解説記事があまり触れていない点です。

今回確認した解説3本は、いずれも「★3を取るには何が要るか」「申請はいつからか」という、取る側の手続きを書いています。けれどIPAの説明を読むと、この制度を動かす最初のひと押しは、取る側から来るとは限りません。

IPAは、制度の使われ方をこう想定しています。2社間の取引契約等において、委託元が、委託先に適切な段階（★）を提示し、示された対策を促すとともに実施状況を確認する、というものです。

出典：IPA「SCS評価制度」の記載をもとに編集部が作図。

つまり、どの★が要るかを先に示すのは、多くの場合、仕事を出す側です。自社で「★3を取ろう」と決めて申請することもできますが、その判断の前提になるのは、取引先が何を求めるかです。

だから最初の問いは「取るかどうか」ではなく、「誰から、どの★を求められるか」になります。

この順番がわかると、いま何をすべきかも変わります。要求事項26件を読み込むのは、求められる★の見当がついてからでも間に合います。先にやるべきなのは、自社がどの取引で、誰にとっての「委託先」なのかを把握することです。

受注の7割が1社に集中しているなら、見るべきはその1社だけです。逆に、取引先が50社あって、どこも自社より小さいなら、★を提示してくる相手は当面いないかもしれません。同じ制度でも、立ち位置によって意味がまるで違います。

取引先が★を言い始めるのはいつか

もう1つ、報道が日付として並べているだけの情報があります。これを自社の行動に置き直すと、やることの順番が見えます。

出典：日付はIPAの公表資料および報道による。2026年10月28日より後はすべて予定。右の「自社が動く目安」は編集部の提案。

★3の確認を社外に頼むつもりなら、SCSセキュリティ専門家が公表されるのは2027年1月以降の予定です。★4を取ろうとしても、審査する評価機関が指定・公表されるのは2026年12月下旬の予定です。評価する側が出そろっていないのだから、取引先も、現時点で「★いくつで」と具体的に言える状態にはありません。

言い換えると、取引先が★を口にし始めるのは、評価機関と専門家が出そろったあと、つまり2027年の春以降になる見込みです。それまでの数か月は、慌てて動く時期ではなく、自分の立ち位置を測る時期です。

ただし、この日付はすべて予定です。制度の設計が途中で変わることもあります。だからこそ、申請の準備にお金を使う前に、相手が本当に求めてくるのかを確かめるほうが先になります。

あなたの事業に転用すると：製造業とIT・情報通信業で、どこを見るか

あなたの会社で同じ構造があるとすれば、それは「取引先に預かってもらっているもの」ではなく、「取引先から預かっているもの」のほうです。等級を求められる理由は、自社の規模でも売上でもなく、何を預かっているかで決まります。

出典：置き換え例は編集部の作例。

製造業なら、預かっているのは取引先の図面・金型・仕様のデータです。最初に見るのは、そのデータが入っている共有フォルダと、社外から入れるアカウントの数です。★を言ってきそうな相手は、完成品メーカーと一次サプライヤーになります。

IT・情報通信業なら、預かっているのは顧客システムの保守アカウントと本番データです。最初に見るのは、保守用アカウントの持ち主と、退職した人の分が消えているかどうかです。★を言ってきそうな相手は、元請のシステム会社と、重要情報を扱う発注元です。

どちらの場合も、全取引先を洗う必要はありません。取引額がいちばん大きい1社から始めれば足ります。預かっているものが重い取引ほど、★を求められる可能性が高いからです。

なお、委託先が破られて委託元まで公表に追われた実例は委託先で顧客12.4万件流出の恐れ。預けた名簿は返却まで確かめるで扱いました。備えが取引を維持する説明材料になっていく流れはサイバー攻撃と災害に備える最低限の実務にも書いています。この制度は、その流れに国の共通様式が加わったものだと読めます。

5問で確認する　自社がどの立場で★を求められるか

SELF CHECK / 無料・登録不要

5問で確認｜自社がどの立場で★を求められるか

直近1年の取引と、取引先から届いた書類を思い浮かべて、いちばん近いものを選んでください。回答はこの端末の中だけで処理され、送信・保存されません。

回答の進捗0 / 5

1. Q1取引先から情報セキュリティの確認依頼（チェックシート等）が届いたことがある

   複数社から届いている1社から届いた届いたことはない
2. Q2その依頼に誰が答えたかを、社内で把握している

   把握しているたぶんあの人だと思う把握していない
3. Q3取引先から預かっているデータ（図面・顧客情報・システムの権限など）を一覧にできる

   一覧がある主要なものだけない
4. Q4自社より大きい発注元との取引が、売上のまとまった割合を占めている

   占めている一部あるない
5. Q5社外から自社のシステムに入れるアカウントの数を数えられる

   数えられるだいたい分かる数えていない

結果を確認する›回答をリセット

※一般的な検討項目を整理するための編集部独自の目安です。成果や適法性を判定・保証するものではありません。

出典・調査の対象範囲