SCS評価制度で問われるのは、チェックシートの回答だけではありません。IT資産・外部接続・委託先アクセス・証跡・責任分界を、事実に基づいて示せること。ここでいう「説明できる」とは、何を管理し、誰が責任を持ち、どの証跡で確認できるかを取引先へ示せる状態です。
IT Infrastructure Consulting & Engineering Management
経済産業省が主導する制度です。★3以上が対象、運用開始は2026年度末頃。ご存じの点も多いと思いますので、要点だけ。
★3は、セキュリティ専門家による確認を経た取得希望組織による自己評価（専門家確認付き自己評価）を求めます。
経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日）p.13
出典：IPA「SCS評価制度 詳細情報」（2026年5月） — ipa.go.jp/security/scs
出典：経済産業省「SCS評価制度 制度構築方針」（2026年3月27日）／IPA SCS評価制度サイト（2026年4月）。
正式名称や評価区分を理解しても、実務では「何を確認し、どこから手をつけるか」が残ります。証跡・責任分界・毎年の維持まで見据えて、多く寄せられる声を整理しました。
SCS評価への準備は「チェックシートを埋める話」ではありません。IT資産・外部接続・委託先アクセス・証跡・更新管理が、実環境として整っていることが求められます。
攻撃は、防御の強い大企業より、相対的に弱い取引先・委託先を経由して取引網へ入る傾向があります。
出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月）／小島プレス工業・トヨタ自動車に関する記述は2022年3月の各社報道に基づく事実の要約であり、特定記事の転載ではありません。
SCSの確認項目は、紙の回答では完結しません。台帳、構成、設定、ログ、契約、運用手順、委託先アクセスの実態がつながって、初めて取引先へ説明できる状態になります。
IT資産、外部接続、クラウド、VPN、委託先アクセスを、FactとUnknownに分けて整理します。
許可している通信、固定IP、例外運用、権限付与が、なぜ必要なのかを説明できる基準へ落とします。
誰が管理し、誰が承認し、障害時に誰が動くか。毎年の更新に耐える運用として残します。
事実として、静かに置きます。ただし、ここから引くべき教訓は「チェックリストを揃えること」ではありません。
2022年2月26日、トヨタの一次取引先である樹脂部品メーカー・小島プレス工業のサーバーがランサムウェアに感染。部品の受発注システムが使用できなくなった。
影響は委託先1社にとどまらず、3月1日にはトヨタ国内全14工場28ラインが稼働を停止した。グループの日野自動車・ダイハツ工業にも波及した。
同社は従業員約1,600名・売上約1,400億円の中堅企業。規模の大小にかかわらず、サプライチェーンの一点が止まれば全体に及ぶ。
出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月）／小島プレス工業・トヨタ自動車に関する記述は2022年3月の各社報道に基づく事実の要約であり、特定記事の転載ではありません。
取得のための回答だけではなく、翌年も使える証跡、責任分界、更新課題を残します。ここで整えた情報は、ITインフラ標準化アセスメントの入口にもなります。
確認済みの情報と、権限・時間・環境制約により未確認の情報を分けて残します。
IT資産、外部接続、委託先アクセス、契約・保守情報の現在地を整理します。
所有者、管理者、承認者、既存ベンダ、障害時の動き方を確認課題として明確にします。
毎年の更新、台帳差分、証跡管理、保守期限、改善テーマを継続運用へ接続します。
まず現在地を確認し、Unknownを隠さず、評価準備・継続整備・標準化の順番を決めます。
IT資産、外部接続、委託先アクセス、証跡、管理主体をFact/Unknownで整理します。
構成・接続、運用基準、管理責任・判断主体の未確定部分を、推測で埋めず確認課題として残します。
影響範囲、判断基準、責任分界の順に、取得・更新・継続整備へつながる優先順位を置きます。
SCS評価に向けて整えたFact/Unknownを、台帳整合、EoL、変更管理、標準化アセスメントへ接続します。
SCS評価制度をきっかけに、IT資産・外部接続・委託先アクセス・証跡・責任分界を、取引先へ示せる情報として整理します。
相談するSCS評価への準備はゴールではありません。取引先へ説明するために整えた資産・外部接続・責任分界・証跡は、そのまま更改、EoL対応、BCP、投資判断の土台になります。標準化アセスメントでは、IT環境全体をFact/Unknownで整理し、判断できる状態へ移します。
ITインフラ標準化アセスメントを見る →出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月）／IPA「SCS評価制度」サイト（2026年4月） ipa.go.jp/security/scs ／経済産業省「SCS評価制度 制度構築方針」（2026年3月27日） ／小島プレス工業・トヨタ自動車に関する記述は2022年3月の各社報道に基づく事実の要約であり、特定記事の転載ではありません。