SCS評価制度で問われるのは、チェックシートの回答だけではありません。IT資産・外部接続・委託先アクセス・証跡・責任分界を、事実に基づいて示せること。ここでいう「説明できる」とは、何を管理し、誰が責任を持ち、どの証跡で確認できるかを取引先へ示せる状態です。
IT Infrastructure Consulting & Engineering Management
経済産業省が主導し、IPAが運営する制度です。IPA公式FAQでは、★3・★4は2027年3月頃に運用開始予定としています。2026年8月に基本規程が公開され、9月には評価機関等の指定申請が始まりました。
★3は、セキュリティ専門家による確認を経た取得希望組織による自己評価（専門家確認付き自己評価）を求めます。
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日）p.13
出典：経産省「制度構築方針」（2026年3月、p.13・16）／IPA「SCS評価制度の詳細情報」（2026年5月29日更新）／IPA「要求事項・評価基準」（2026年4月21日公開）。2026年10月13日確認。
制度運営の動向：IPA「制度規程・委員会」（基本規程2026年8月28日公開）／IPA「評価機関等の指定申請」（2026年9月18日受付開始、10月26日17時締切。10月7日に指定申請FAQを更新）／IPA「SCS評価制度FAQ」（運用開始時期の根拠：2027年3月頃予定）。評価機関等の指定申請と、企業が★を取得するための申請は別です。
正式名称や評価区分を理解しても、実務では「何を確認し、どこから手をつけるか」が残ります。証跡・責任分界・毎年の維持まで見据えて、多く寄せられる声を整理しました。
SCSの要求事項を現用環境に照合する際、INETはIT資産・外部接続・委託先アクセス・証跡・更新管理の実態を確認します。以下はINETが推奨する現況整理の観点であり、制度上の要求事項一覧ではありません。
取引先・委託先で利用しているシステムや連絡経路が止まると、自社の業務にも影響する場合があります。依存する業務と管理担当を確認することが出発点です。
上記はINETが現況整理で用いる観点の例です。公式のSCS評価基準とは区別してください。
SCSの確認項目は、紙の回答では完結しません。台帳、構成、設定、ログ、契約、運用手順、委託先アクセスの実態がつながって、初めて取引先へ説明できる状態になります。
IT資産、外部接続、クラウド、VPN、委託先アクセスを、FactとUnknownに分けて整理します。
許可している通信、固定IP、例外運用、権限付与が、なぜ必要なのかを説明できる基準へ落とします。
誰が管理し、誰が承認し、障害時に誰が動くか。毎年の更新に耐える運用として残します。
2022年3月1日、トヨタ自動車は、小島プレス工業のシステム障害の影響を受け、国内全14工場28ラインを停止しました。3月2日からの稼働再開を発表しています。
トヨタ国内工場／2022年3月1日の稼働停止
小島プレス工業は、2月26日夜に外部からの不正アクセスを検知し、一部サーバーで障害が発生したため、被害拡大防止としてシステムを停止したと公表しています。得意先との受発注データのやり取りは、代替手段で再開されました。
これはシステム障害と生産への影響を整理したものです。攻撃がトヨタ側のシステムへ侵入・拡大したことを示す図ではありません。
取引先の業務やシステムとの依存関係、障害時の連絡・代替手段・担当範囲を確認することは、自社のIT環境を整理する際の論点になります。この事例は、SCS評価の取得や特定の点検による事故防止効果を示すものではありません。
取得のための回答だけではなく、翌年も使える証跡、責任分界、更新課題を残します。ここで整えた情報は、ITインフラ標準化アセスメントの入口にもなります。
確認済みの情報と、権限・時間・環境制約により未確認の情報を分けて残します。
IT資産、外部接続、委託先アクセス、契約・保守情報の現在地を整理します。
所有者、管理者、承認者、既存ベンダ、障害時の動き方を確認課題として明確にします。
毎年の更新、台帳差分、証跡管理、保守期限、改善テーマを継続運用へ接続します。
まず現在地を確認し、Unknownを隠さず、評価準備・継続整備・標準化の順番を決めます。
IT資産、外部接続、委託先アクセス、証跡、管理主体をFact/Unknownで整理します。
構成・接続、運用基準、管理責任・判断主体の未確定部分を、推測で埋めず確認課題として残します。
影響範囲、判断基準、責任分界の順に、取得・更新・継続整備へつながる優先順位を置きます。
SCS評価に向けて整えたFact/Unknownを、台帳整合、EoL、変更管理、標準化アセスメントへ接続します。
SCS評価制度をきっかけに、IT資産・外部接続・委託先アクセス・証跡・責任分界を、取引先へ示せる情報として整理します。
相談するSCS評価への準備はゴールではありません。取引先へ説明するために整えた資産・外部接続・責任分界・証跡は、そのまま更改、EoL対応、BCP、投資判断の土台になります。標準化アセスメントでは、IT環境全体をFact/Unknownで整理し、判断できる状態へ移します。
ITインフラ標準化アセスメントを見る →出典：IPA「SCS評価制度」サイト（2026年10月13日確認） ipa.go.jp/security/scs ／経済産業省「SCS評価制度 制度構築方針」（2026年3月27日） ／2022年の仕入先システム障害事例は、上記のトヨタ自動車・小島プレス工業の公式発表に基づきます。