セキュリティ事業者がSCS評価制度の対応支援を提供開始、発注企業は水準の整理から着手できる

取引先のセキュリティ対策を確かめたいと考えていても、チェックシートの配布や回収に工数がかかり、対策状況を外から把握しづらい状態が続いていないでしょうか。SCS評価制度の対応支援を使えば、取引先に求める水準の整理から評価や教育までを外部に委ねられますが、どこまで自社で進めるかの線引きは残ります。

この記事では、SCS評価制度の対応支援として提供されている方針策定や取引先の可視化、教育の中身を、評価機関の立ち上げ支援や販売パートナー向けの情報サイトまで詳しく解説します。SCS評価制度への対応を進める発注企業の方は、ぜひ参考にしてください。

• この記事の材料：発表4件
• 発表主体：株式会社ソースポッド、SecureNavi株式会社
• 出典の最終掲載：2026.09.09

この記事がまとめた発表

• [1] NRIセキュア、経済産業省「SCS評価制度」への対応支援メニューを発注企業向けに提供開始掲載 2026.08.25画像：発表資料より（PR TIMES）
• [2] SCS評価制度★3・★4の取得、運用支援サービス『SPC Trust Chain』、取引先セキュリティチェック機能を実装し、2026年9月上旬より有料ライセンスを提供開始株式会社ソースポッド ／ 掲載 2026.08.31画像：株式会社ソースポッドの発表資料より（PR TIMES）
• [3] SB C&S、SCS評価制度への対応力向上を支援する情報サイト「SCS Compass」を公開掲載 2026.09.08画像：発表資料より（PR TIMES）
• [4] SecureNavi、SCS評価制度の「評価機関」立ち上げ支援サービスを提供開始SecureNavi株式会社 ／ 掲載 2026.09.09画像：SecureNavi株式会社の発表資料より（PR TIMES）

SCS評価制度は、経済産業省と内閣官房国家サイバー統括室が整備を進める制度で、企業のセキュリティ対策状況を共通の基準で評価し、可視化します。NRIセキュアは、2026年3月27日に制度構築方針が公表され、★3・★4は2026年度末頃の制度開始を目指していると説明しています。^[1]

制度の運営はIPAが担うとされ、SecureNaviが発表時点でまとめた今後のスケジュールは、以下の通りです。^[4]

ソースポッドは、2027年3月から★3・★4の取得申請が開始予定で、早ければ2027年度中にも取引条件に組み込まれる可能性があると説明しています。適合が求められる評価基準は、★3が81項目で、★4は153項目です。^[2]

発注企業には、取引先に適切な★水準を提示し、実施状況を確認する役割が想定されています。NRIセキュアが発注企業向けに提供する支援の対象は、以下の通りです。

• 取引先に求める★水準の方針策定
• チェックシートの負荷を減らす可視化
• 評価を担う担当者への教育メニュー

支援は、方針策定から教育までを一連の流れで進めることも、必要なメニューのみを個別に利用することもできる構成です。NRIセキュアは、取引先管理にかかる工数の抑制を図るとしています。

取引先に求める★水準の方針策定

方針策定は、どの取引先にどの★水準を求めるかを決め、要請の進め方をそろえる作業です。NRIセキュアは、取引の重要度や性質を踏まえて、対象範囲や優先順位、ロードマップの整理までを支援します。^[1]

方針策定で整理する主な項目は、以下の通りです。

依頼文書や委託先トリアージ表、管理台帳などのひな形とガイドは無料で提供され、発注企業自身で検討を進めることもできます。専門家による支援は、必要な部分だけを選んで利用する形です。

チェックシートの負荷を減らす可視化

取引先の評価では、チェックシートの配布や回収、確認に工数がかかります。NRIセキュアは、Secure SketCH 3rd PARTYを使い、取引先による自己評価の収集と進捗の一元管理を支援します。^[1]

ソースポッドは、SPC Trust Chainに取引先セキュリティチェック機能を実装し、2026年9月上旬から有料ライセンスを提供すると発表しました。依頼や回答の収集から、システムによる自動評価、適合判定、受入承認までを一元管理できます。^[2]

取引先の評価に使えるサービスの位置づけは、以下の通りです。

SPC Trust Chainでは、★3・★4の評価基準以外に、独自のチェックシートを使った確認にも対応するとしています。発注企業が★の水準とは別の項目を確かめたい場合の選択肢です。

評価を担う担当者への教育メニュー

NRIセキュアは、経営層向けの勉強会や評価を担う担当者の教育、従業員向けの研修を、役職やスキルに応じて提供します。公認情報システム監査人やCISSPなどの資格取得の支援にも対応するとしています。^[1]

ソースポッドの教育メニューは、情報セキュリティeラーニングのSPC Literacy+を併用する形です。SPC Literacy+の受講によって、教育関連の評価基準を満たす★3・★4専用コースに対応できるとしています。^[2]

教育の対象ごとに用意されている内容は、以下の通りです。

発注企業は、社内のどの層から着手するかを決めたうえで、必要なコースだけを選ぶ形です。

★4の評価は、評価機関による第三者評価として行われる枠組みが想定されています。評価を担う機関を増やすための支援も、次の2つの角度から整理できます。

• IPAが公表した評価機関の要件
• 評価機関の立ち上げを支援するプラン

評価機関の立ち上げに必要なのは、制度要件の理解や体制・文書類の整備といった専門性の高い準備です。

IPAが公表した評価機関の要件

SecureNaviは、2026年9月9日から評価機関の立ち上げを支援するコンサルティングサービスを提供します。IPAが2026年8月に公表した、評価機関などの要件の詳細を踏まえた支援です。^[4]

IPAが公表した規則と支援の範囲は、以下の通りです。

評価機関は、指定を受けた後も定期的な更新やサーベイランスへの対応を求められます。参入を検討する事業者は、立ち上げ時の作業と指定後の運用を分けて見積もる必要があります。

評価機関の立ち上げを支援するプラン

評価機関の立ち上げは、ビジネスモデルの整理から申請・審査までの6つの手順です。SecureNaviは、アドバイザリープランと実行支援プランの2つで立ち上げを支援します。^[4]

2つのプランの違いは、以下の通りです。

いずれのプランでも、制度運営機関への申請者は依頼した企業側であり、SecureNaviは調査や設計、作成の支援を担う立場です。アドバイザリープランには、PMO業務や文書作成などの実務支援は含まれません。

SecureNaviの井崎氏は、ISMS認証では約9,000組織を27の認証機関が支えていると説明しています。SCS評価制度が同じ規模を上回り得ることを踏まえ、立ち上げ準備は早いほどよいとしています。

SB C&Sは、SCS評価制度への理解を促し、販売パートナーの提案力を高める目的で、情報サイトのSCS Compassを公開しました。メーカーや販売パートナーと共に蓄積した知見を、継続的に掲載するとしています。^[3]

SCS Compassに掲載される主な内容は、以下の通りです。

SB C&Sは、企業や販売パートナーから、何から対策を始めればよいかという声が寄せられていると説明しています。評価項目と製品・サービスを結び付ける材料として、情報を提供するとしています。

対応支援を選ぶ前に決めておきたいのは、自社で進める範囲と外部に任せる範囲の線引きです。NRIセキュアは、発注企業からの要請を受けて★の取得を進める受注企業向けの支援も、提供に向けて準備を進めているとしています。^[1]

発注企業が自社の状況に当てはめるときの確認点は、以下の通りです。

SecureNaviが2026年7月に実施した調査では、回答した252社のうち半数以上が★の取得を予定または検討していました。予定または検討している企業のうち約4割は、すでに要求事項の分析や取得準備に着手していたと説明しています。^[4]

制度の詳細は今後も具体化されるため、発注企業は着手できる範囲から準備を進める形です。水準の整理や取引先の現状把握は、評価ガイドの公表を待たずに進められる部分です。