【BASIC SYNC】取引先から「セキュリティの星」を求められる日 — 何を決めておくか

何が起きたの? — 開始まであと半年

制度の正式な名前は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。略して SCS 評価制度と呼ばれます。

サプライチェーンとは、部品や業務を受け渡してつながる会社どうしの連なりのことです。1 社が攻撃を受けて止まると、取引先まで止まることがあります。その弱いところを減らすのが狙いです。

日経クロステックは 2026 年 9 月 29 日、制度が 2027 年 3 月までに始まる見込みだと報じました。開始まであと半年です。

役割は次のように分かれています。

制度の方針は 2026 年 3 月に公表されました。要求事項を満たす具体的な実装例をまとめた評価ガイドは、2026 年秋ごろに公表される予定です。

星の数って何? — 取引先どうしで使う物差し

星は、会社のセキュリティ対策がどの段階にあるかを示します。星 3 と星 4 から先に始まり、星 5 は今後検討するとされています。

星 3 は、すべての会社に向けた段階です。自社で点検し、専門家に確認してもらいます。事務局に申請すると、台帳に登録されて公開されます。

星 4 は、重要な情報を扱う会社や、供給網で大事な役割を担う会社に向けた段階です。自社で点検したあと、評価機関に検証を頼みます。

たとえるなら、取引先に見せる健康診断書です。星 3 は毎年の自己申告に医師の確認が付くもの、星 4 は外部の検査機関が診るものです。有効期間は、星 3 が 1 年、星 4 が 3 年です。

会社の仕事はどう変わるの?

この制度は、2 社間の取引で使うことを想定しています。発注する会社が必要な星を示し、受注する会社が対策を進め、両者で確かめます。

NRI セキュアテクノロジーズは、発注する側が 2027 年度から星 4 を求める可能性があると見ています。

トレンドマイクロは、人材や費用の面で大企業ほど投資できない中小企業では、負担がさらに増えると指摘しています。IPA は、中小企業向けの「サイバーセキュリティお助け隊サービス」と制度を連動させることを考えています。

一方で、制度を口実にした売り込みも出ています。2026 年 4 月 27 日、経済産業省と内閣官房国家サイバー統括室が注意を呼びかけました。「評価を取得していないと商取引が規制される」「今すぐ取得しないと入札から除外される」という勧誘が報告されたためです。

国は、この制度は任意であり、会社どうしの取引を規制するものではないとしています。特定の製品の導入も必須ではありません。正しい情報は IPA から得るよう求めています。

SYNCON の視点 — 星は「取る」前に「選ぶ」

最初に決めるのは、どの星を目指すかです。自社が取引先にとって、止まると困る存在かどうか。重要な情報を預かっているかどうか。この 2 点で、星 3 で足りるのか星 4 が要るのかが見えてきます。

次に、誰に任せるかです。星 3 は毎年の更新が要るので、担当者を置かないと続きません。星 4 は外部の評価を受けるので、予算と時間の確保を経営が決めることになります。

そして、慌てて製品を買わないことです。評価ガイドの公表を待ち、いまの対策と要求事項を突き合わせる。足りない分だけを埋める。売り込みを受けたら、IPA の情報で確かめる。この順番が、費用を抑えるいちばんの近道です。

要点まとめ

• 経済産業省が設計・監督する SCS 評価制度が、2027 年 3 月までに始まる見込み
• 星 3 は専門家確認付きの自己評価で要求事項 26 件、有効期間 1 年
• 星 4 は第三者評価で要求事項 43 件、有効期間 3 年。星 5 は今後検討
• 任意の制度で、特定の製品の導入は必須ではない。不安をあおる勧誘に国が注意喚起
• 先に決めるのは、目指す星と社内の担当者。製品選びは評価ガイドを見てから