Akerun(アケルン) | スマートロック
導入社数No.1の法人向け入退室管理

2026年度末の運用開始を目指し、経済産業省が方針を策定し、IPA運営のもと「セキュリティ対策評価制度（SCS評価制度）」の準備が進められています。既存のSECURITY ACTION制度（★1・★2）と連携し、★3～★5を加えた5段階で可視化し、サプライチェーン全体の安全性を共通の物差しで評価する仕組みです。

本記事では、制度の概要や評価基準の詳細、製造業・IT企業への影響、そして★取得に向けて今から着手すべき具体的な準備プロセスについて解説します。

セキュリティ対策評価制度（SCS評価制度）の概要と2026年開始の背景

経済産業省が主導するセキュリティ対策評価制度（SCS評価制度）は、企業のサイバーセキュリティ対策状況を共通の基準で可視化する新たな仕組みです。セキュリティ対策評価制度の概要について解説します。

制度の定義と目的

セキュリティ対策評価制度は、サプライチェーンを構成する各企業のセキュリティ対策レベルを、統一された評価基準によって客観的に示すための仕組みです。従来、企業ごとに異なっていた対策状況の把握方法を標準化し、産業界全体での底上げを図ることが本制度の目的といえます。

各企業が取り組むべきセキュリティ対策の要件を明確に提示した上で、その達成度合いを★3から★5までの段階で可視化します。取引先の選定や発注判断において共通の物差しとして機能し、企業間で対策水準を比較・共有しやすくなることが特徴です。

出典：経済産業省/「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました

2026年度末までのスケジュール

セキュリティ対策評価制度は、2026年度末頃の正式な運用開始を目標に、段階的な準備が進められています。経済産業省はまず制度の構築方針案を取りまとめ、評価基準や運用体制の具体化を図る計画です。

その後、2026年度の下期にかけて本格的な制度運用へと移行する流れが想定されています。企業にとっては制度開始を待ってから動き出すのではなく、今の段階から自社のセキュリティ対策状況を把握し、必要な準備を進めておくことが重要です。

セキュリティ対策評価制度のスケジュールを正しく理解し、早期に対応計画を策定することで、運用開始時にスムーズな評価取得を目指せます。

サプライチェーンリスクの増大

セキュリティ対策評価制度が創設された背景には、サプライチェーン全体を標的としたサイバー攻撃の脅威が急速に拡大している現状があります。近年の攻撃手法は高度化・巧妙化しており、自社のセキュリティを強化するだけでは防ぎきれないケースが増えているのが現状です。

実際にIPAが公開している「情報セキュリティ10大脅威2026」でも2位にサプライチェーンや委託先を狙った攻撃が入っています。セキュリティ水準が十分でない取引先や委託先を経由して不正侵入を許し、最終的に重要な機密情報が流出する事例が相次いでいます。

サイバー攻撃のリスクを一部門の課題ではなく経営全体のリスクとして捉え、サプライチェーンに関わるすべての企業が一定の対策基準を満たす必要性が高まりました。

出典：IPA/情報セキュリティ10大脅威 2026

セキュリティ対策評価制度の評価基準と★1～★5の段階別内容

セキュリティ対策評価制度の最大の特徴は、既存制度と合わせて企業の対策状況を★1～★5の段階で示す仕組みにあります。ここでは、自己宣言で取得できる★1～★2、専門家の確認を伴う★3、そして第三者認証が求められる★4～★5について、各レベルの要件や違いを解説します。

★1～★2（自己宣言レベル）

セキュリティ対策評価制度における★1と★2は、企業が自らの取り組み状況を宣言する形式で取得できる基礎的なレベルです。★2までの段階では、IPAが推進する既存のSECURITY ACTION制度と連携した枠組みが想定されており、それぞれ「一つ星」「二つ星」に相当する要件を満たすことが求められます。

情報セキュリティに関する基本方針の策定や、最低限の対策項目への取り組みを自社で確認・宣言するプロセスが中心です。第三者による審査を必要としないため、中小企業でも比較的取り組みやすい点が特徴です。

出典：IPA/SECURITY ACTIONとは？

★3（専門家確認付き自己評価）

セキュリティ対策評価制度の★3は、自己評価に加えて外部の専門家による確認・助言を受けることで、対策の客観性を高めるレベルに位置づけられます。取得にあたっては、まず対策状況の評価シートを作成し、情報処理安全確保支援士などのセキュリティ専門家からチェックと助言を受けるプロセスが必要です。

経営層が自社の適合状況を宣言し、所定の登録機関へ評価結果を提出する流れで進みます。また、セキュリティ対策評価制度では、評価を受ける企業の単位を事業部門や拠点ごとなど柔軟に設定できる点も特徴です。

特に中小企業にとっては、社内にセキュリティの専門人材が不足していても、外部の知見を活用しながら対策水準を引き上げられる仕組みといえます。

★4～★5（第三者認証レベル）

セキュリティ対策評価制度の★4および★5は、第三者機関による厳格な審査と技術検証を経て取得する最上位の評価レベルです。

取得の流れとしては、対策状況の評価シートを作成した上で、認定された評価機関へ審査を依頼し、結果を登録機関に提出しなければなりません。★5ではさらに高度な水準が要求され、技術的対策だけでなく組織的なガバナンス体制まで含めた総合的な評価が行われる予定で、現在は対策基準や評価スキームの具体化が検討されています。

セキュリティ対策評価制度において★4以上を目指す企業は、サプライチェーン全体における信頼性を対外的に示す有力な手段として、取引先からの評価向上や受注機会の拡大につなげることが期待できます。

出典：経済産業省/「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）」（SCS評価制度の構築方針（案））を公表しました

NIST CSFとの整合性

セキュリティ対策評価制度の評価基準は、国際的に広く採用されているNISTサイバーセキュリティフレームワーク（CSF）をベースに設計されています。独自の規格を一から策定するのではなく、すでに実績のある国際規格と整合性を持たせることで、既存のISMSなどの認証を取得済みの企業にとっても取り組みやすい構成となっている点が特徴です。

また、各評価レベルに対応する合格基準がCSFの項目にひもづけられており、企業が達成すべき対策内容が明確に示されています。CSFをベースとした設計は、国内企業だけでなくグローバルなサプライチェーンに関わる海外企業にも理解しやすい枠組みとなるため、取引における安心感にもつながります。

出典：IPA/セキュリティ関連NIST文書について

セキュリティ対策評価制度の取引条件への影響とメリット

セキュリティ対策評価制度は、今後の取引条件に大きな影響を与える可能性があります。ここでは、セキュリティ対策評価制度に対応することで企業が得られるメリットについて解説します。

取引先選定における「必須条件」化

セキュリティ対策評価制度の普及に伴い、サプライチェーンにおける取引先の選定基準は大きく変わりつつあります。すでに多くの企業がセキュリティ対策の状況を取引条件の一つとして重視しており、今後はその傾向がさらに強まると考えられます。

制度によって共通の評価基準が確立されることで、発注企業は取引先に求める対策水準を明確に提示できるようになり、調達プロセスへの組み込みもスムーズに進むメリットがあります。従来は企業ごとに異なるチェックシートや独自基準で確認していた工程が標準化されるため、取引開始までのスピードも向上することが見込まれます。

出典：IPA/「2024年度 中小企業における情報セキュリティ対策に関する実態調査」報告書について

受注・契約維持における競争優位性の確保

セキュリティ対策評価制度の★を早期に取得することは、受注や契約の維持において大きな競争優位性をもたらします。制度が本格運用されれば、発注企業が取引先の対策水準を客観的に比較できるため、★を保有する企業とそうでない企業の間で受注機会に差が生じる可能性が高まります。

特に中小企業にとっては、制度への早期対応が大企業との取引継続やビジネスチャンスの拡大につながる重要な判断材料となるでしょう。加えて、セキュリティ対策評価制度が求める要件に沿って対策を進めることで、自社に本当に必要な取り組みが明確になり、過剰な投資を避けながら効率的にコストを配分できるメリットもあります。

社会的信頼の向上とブランド価値の構築

セキュリティ対策評価制度の★取得は、取引先への信頼性向上にとどまらず、企業のブランド価値を高める効果も期待できます。本制度はNIST CSFの国際規格をベースに設計されているため、国内の取引先だけでなく海外企業に対しても自社の対策水準を客観的に示せることがメリットです。

グローバルなサプライチェーンにおいて、共通の基準で評価された実績は大きな安心感につながるでしょう。さらに、セキュリティ対策評価制度への対応を通じて自社の防御力を体系的に強化することは、産業界全体のセキュリティ水準の底上げにもつながります。

対策状況が可視化されることで、将来的にはサイバー保険の条件面で有利に働く可能性も指摘されています。

セキュリティ対策評価制度が製造業・ITベンダーに与える影響

セキュリティ対策評価制度は、製造業やIT関連企業のビジネスにも直接的な影響を及ぼすと考えられています。ここでは、製造業における重要エリアのゾーニングへの対応や、IT・BPO事業者が求められる信頼性確保の取り組みなど、業種ごとに想定される具体的な変化について解説します。

重要エリアの物理セキュリティ強化

セキュリティ対策評価制度において、製造業は優先的に普及を進める対象として明確に位置づけられています。なぜなら、サプライチェーン全体の対策水準を引き上げる上で、製造現場のセキュリティ強化が欠かせないためです。

特に★3以上の要件では、PCやサーバーなどのIT機器が設置されたエリアや、機密データを扱う端末がある執務室への物理的なアクセス制御が求められます。ゾーニングの整備に加え、入退室管理の仕組みを導入し、誰がいつどのエリアに出入りしたかをログとして記録・蓄積することが重要です。

取得したログは監査資料としてそのまま提出できるため、★取得時のエビデンス確保にも直結します。セキュリティ対策評価制度への対応を見据え、物理セキュリティとログ管理の両面から体制を整えることが、製造業の企業にとって急務です。

IT・BPO事業者の信頼性確保

セキュリティ対策評価制度では、IT・BPO事業者を経由したセキュリティインシデントが具体的なリスク事例として想定されています。実際に、ITベンダーのシステムを踏み台とした不正侵入や、BPO事業者からの機密情報の漏えいは、サプライチェーン全体に深刻な被害をもたらす要因として広く認識されるようになりました。

SIerやBPO企業は委託先として★取得を求められる可能性が高く、サーバー室や執務室といった重要エリアへの物理的なアクセス制御と入退室ログの管理体制が不可欠です。SaaS事業者にとっても、提供するサービスの安全性を客観的に証明できるかどうかが、契約の継続や新規受注を左右する要素となるでしょう。

セキュリティ対策評価制度の★取得に向けた具体的な準備プロセス

セキュリティ対策評価制度の★取得を実現するには、計画的な準備が欠かせません。自社の現状把握と目標設定から始まり、物理セキュリティと入退室ログの整備、社内規程の策定と教育の実施、さらには中小企業向け支援策の活用まで、今すぐ着手すべき具体的な準備プロセスについて解説します。

自社の現状把握と目標設定

セキュリティ対策評価制度の★取得に向けた第一歩は、自社のセキュリティ対策がどの段階にあるのかを正確に把握することです。現在の対策状況を棚卸しせずに準備を進めても、必要な取り組みの優先順位が定まらず、限られたリソースを効果的に配分できません。

既存のセキュリティ対策や運用体制を一つひとつ整理し、セキュリティ対策評価制度の評価基準と照らし合わせることで、自社に不足している項目を洗い出します。その上で、事業規模や取引先からの要求水準を踏まえ、目指すべき★のレベルを明確に設定しましょう。

併せて、自社単体だけでなくサプライチェーン全体の管理体制まで視野を広げて見直すことが重要です。セキュリティ対策評価制度への対応を着実に進めるためにも、現在地の把握と目標設定を起点とした計画的なアプローチが求められます。

物理セキュリティと入退室ログ

セキュリティ対策評価制度では、物理セキュリティの整備と入退室ログの管理が、★取得における重要な評価項目です。制度の適用範囲にはIT基盤が必ず含まれ、PCやサーバーといったエンドポイント機器も評価対象として明示されています。

エンドポイント機器が設置されたエリアへの物理的なアクセス制御と、出入りの記録をログとして確実に残す仕組みの構築が不可欠です。ただし、証跡の管理や監査時の説明資料の準備には相応の負担が伴うため、日常的に効率よくエビデンスを蓄積・管理できる体制づくりが課題です。

また、IT資産の把握やインシデント発生時の連絡体制など、セキュリティ対策の土台となる基盤も整備しておかなければなりません。

社内規程の整備と教育

セキュリティ対策評価制度への対応を一過性の取り組みで終わらせないためには、社内規程の整備と従業員への教育が欠かせません。制度が求めるのは単なるチェックリストへの対応ではなく、継続的に対策を改善・運用していくための組織的な仕組みづくりです。

情報セキュリティに関するポリシーや手順書を策定し、インシデント発生時の対応フローや責任者の役割を明文化することが求められます。加えて、規程を形骸化させないためには、全従業員を対象とした定期的なセキュリティ教育の実施が重要です。

脅威の最新動向や社内ルールの周知を繰り返し行うことで、組織全体のセキュリティ意識を維持・向上できます。セキュリティ対策評価制度を運用設計として捉え、規程と教育を両輪とした継続的な改善体制を構築する必要があります。

中小企業向け支援策の活用

セキュリティ対策評価制度への対応は、人材やコストの面でリソースが限られる中小企業にとって大きな課題となりがちです。一方で、経済産業省は現況を踏まえ、中小企業が制度に取り組みやすくなるための支援策を用意しています。

例えば、新たに創設された「サイバーセキュリティお助け隊サービス」の新類型は、専門知識が不足する企業でも外部の力を活用しながら対策を進められる仕組みです。さらに、セキュリティ対策に関連する補助金や助成制度も複数整備されており、導入コストの負担を軽減しながら体制を強化できます。

セキュリティ対策評価制度の★取得を効率的に進めるためには、公的支援を早い段階から把握し、自社の準備計画に組み込んでおくことが重要です。

出典：IPA/サイバーセキュリティお助け隊サービス

セキュリティ対策評価制度への対応を効率化する物理セキュリティ対策

セキュリティ対策評価制度の★3以上を目指す上で、サーバー室や機密情報を取り扱う執務室などの重要エリアへの物理アクセス制御は不可欠な要件です。一方で、大規模な設備工事を伴う従来型のセキュリティシステムでは、導入までに時間とコストがかかり、迅速な体制整備が難しい課題がありました。

入退室管理システムのAkerunは既存のドアに後付けで設置できるため、大がかりな工事を必要とせず、短期間でゾーニング体制を構築できます。ICカードなどを用いてエリアごとの立ち入り権限を一括管理できるほか、入退室のログが自動的に記録・蓄積されるため、★取得時に求められる監査用のエビデンスをそのまま活用可能です。

セキュリティ対策評価制度への対応を効率的に進める上で、物理セキュリティの導入ハードルを下げながら確実に証跡管理を実現できるAkerunは、有力な選択肢の一つとなり得るサービスです。

まとめ

本記事は、セキュリティ対策評価制度の概要や★1～★5の評価基準、製造業・IT企業への影響、★取得に向けた具体的な準備プロセスについて解説しました。2026年度末の運用開始に向け、自社の現状把握から社内体制の整備まで、今から計画的に取り組むことが重要です。

特に★3以上の取得では、物理的なアクセス制御と入退室ログの管理体制が評価に直結するため、早期の対応が求められます。Akerunなら既存のドアへの後付け導入で、サーバー室や機密情報を取り扱う執務室のゾーニングから入退室ログの自動取得までを、スムーズに実現可能です。

セキュリティ対策評価制度への対応を効率化しながら、★取得に必要なエビデンスを確実に確保したい企業は、ぜひAkerunの導入をご検討ください。