以前、専任情シスのいない20人規模の町工場で、自分たちだけでランサムウェア対策の基盤を組む話を書きました。VLAN分離、pull型のresticバックアップ、3-2-1、immutable、運用サイクル。技術としてどう守るかはあの記事にまとめてあります。

残っていたのは「その対策は、何を基準にどこまでやればいいのか」という問いです。取引先や業界が見ている物差しが分からないと、投資の落としどころが決まりません。その物差しの候補が、経済産業省が2026年に方針を公表したSCS評価制度です。

この記事は、制度そのものの解説より「実装（既存記事）と制度がどう対応するか」に寄せて書きます。制度の詳しい背景や経営判断の話は、ブログ本体版（末尾にリンク）に置いてあります。

本記事は2026年7月時点の公表情報に基づいています。制度は詳細を詰めている最中で、数字や日付はこの先変わります。断定している数字は一次情報で確認してください。

SCS評価制度の骨格だけ、手短に

正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。経済産業省と内閣官房国家サイバー統括室が2026年3月27日に制度構築方針を公表し、運営はIPAが担います。企業の対策レベルを★の数で示す仕組みで、★1〜★5が方針として示されています。段階ごとに性質が違い、新しく評価制度として運用されるのは★3・★4です。★1・★2は既存の SECURITY ACTION の読み替え、★5は検討中という位置づけになっています。

★1・★2：既存の SECURITY ACTION（自己宣言）を土台にした段階です。
★3：専門家の確認を経た自己評価（専門家確認付き自己評価）です。有効期間1年、年次更新。
★4：評価機関による第三者評価＋技術検証です。有効期間3年、その間も毎年、評価機関への自己評価提出が必要です。
★5：2026年度以降に検討。内容は未定です。

開始時期は「2026年度下期（令和8年度下期、10〜3月）以降を目指す」とされています。目標であって確定した施行日ではなく、変更があり得ると制度側が断っています。

要求事項の数については触れないでおきます。IPAの詳細ページ、報道系の解説、初期の検討資料で数字が食い違っていて（例：★3が26件だったり25項目だったり）、詳細確定に向けて調整中だからです。数字を根拠に何かを決めるなら、一次情報をその時点で見てください。

制度の各段階を経営目線でどう読むか、取引先要求とどう向き合うかは、ブログ本体版に厚く書きました。ここでは実装との接点に進みます。

実装（既存記事）と制度の対応

既存記事で組んだものを、制度が見ようとしている領域に並べてみます。数の対応づけはしません。制度の要求事項数は動いていますし、実装の項目と一対一で結んでも意味がないからです。方向が重なっているところだけ挙げます。

VLANでネットワークを分けたのは、感染の横展開を止めるためでした。これは★3・★4が問う「システム側の防御」「被害拡大の防止」と方向が同じです。pull型のresticで、感染側から書き換えられないバックアップを持ったのは、暗号化されても戻せる状態を作るためで、これは「復旧の備え」にあたります。復旧手順を紙とドキュメントに残したのも同じ文脈です。

強調したいのは、実装した対策項目と制度の要求事項を数で結んではいけない、という点です。共通の土台にあるのは SECURITY ACTION と IPAの中小企業向けガイドラインで、そこが揃っていれば話の出発点は同じになります。制度が★いくつを求めてきても、そこは変わりません。

エンジニアが気にすべきは「継続運用」の設計要件

制度をコードやインフラの言葉で読むと、いちばん重いのは有効期間です。★3は毎年更新、★4は3年有効でもその間毎年自己評価を出します。これは「一度構築して終わり」を許さない設計要件だと読めます。

実装編で「製品名より、戻せる手順と再現できる設定が大事だ」と書きました。制度が継続運用を前提にしている以上、この主張はそのまま要件になります。更新のたびに現状を証明し直すなら、次のようなものが手元に残っている状態が効きます。

インフラ構成がコードや手順書として再現できる（VLAN構成、マウントオプション、バックアップジョブの定義）。
バックアップの復元テストの記録が残っている（いつ、どのスナップショットから、何分で戻せたか）。
対策の棚卸しが一覧化されていて、更新のたびに差分だけ見ればいい。

要するに、年次の証明作業を「毎回ゼロから」にしないための再現性です。手作業で毎年やり直す前提だと、更新が来るたびに工数が膨らみます。ここはエンジニア側で事前に準備しておける部分です。

具体的な組み方（VLAN分離、pull型restic、3-2-1、復旧手順）は実装編にまとめてあります。→ 専任情シスがいない20人規模の町工場で、自分たちでランサムウェア対策基盤を組む

現状把握の手順

制度の開始を待たずに進められます。順番はこうです。

SECURITY ACTION の自己宣言。★1・★2の土台で、無料で今日からできます。
IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」で対策を棚卸しします。できている項目と空欄を一覧化します。
取引先からの要求の有無と期限を確認します。チェックシートが来ているなら、締め切りと項目が制度の★より先に効きます。
棚卸しで足りない対策を、実装編を見ながら埋めます。

2番の棚卸しが後回しにされやすいです。「たぶん大丈夫」を項目に落とすと空欄が出ます。

ここから先は宣伝です。その棚卸しの出発点として、IPAガイドライン第4.0版に沿ってAIとのチャットで自社の状況を答えていく自己診断サービスをうちで作っています。できている項目とできていない項目が優先度つきで整理され、レポートとして残せます。税込550円の単発ツールです。SCS制度の認証や★3を保証するものではなく、ガイドライン第4.0版に沿って現在地を短時間で把握するための入口として使ってください。→ SMEセキュリティ診断

自分でガイドラインのPDFを開いて棚卸しできるなら、それで十分です。一度に片付けるのが面倒で止まるなら、対話形式のほうが着手しやすいはずです。

まだ確定していないこと

開始時期は「2026年度下期（10〜3月）以降を目標」であって、確定した施行日ではありません（経産省が変更あり得ると明記）。
★5は2026年度以降に検討で、内容は未定です。
★3・★4の要求事項数は、公表資料でも版によって差があり調整中です。数字での判断は一次情報で確認してください。
診断サービスの「25項目」（IPAガイドライン第4.0版準拠）とSCS★3は別物です。数で一致するものではありません。共通するのは SECURITY ACTION と IPAガイドラインという土台だけです。

まとめ

制度が固まるのを待つ理由はありません。SECURITY ACTION の宣言も、ガイドラインでの棚卸しも、ネットワーク分離も戻せるバックアップも、今日から着手できます。制度が継続運用を求める以上、エンジニア側でやるべきは、毎年の証明を再現可能にしておくことです。守り方は既知です。残るのは、それを毎年の証明に耐える形で維持できるかどうかです。

参考資料

経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日公表） https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html
経済産業省 SCS評価制度ポータル https://www.meti.go.jp/policy/netsecurity/scs.html
IPA「SCS評価制度の詳細情報」 https://www.ipa.go.jp/security/scs/details.html
IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」 https://www.ipa.go.jp/security/guide/sme/about.html

この記事は技術者向けに絞った版です。制度の背景や経営判断まで含めた詳細版を、ブログ本体（正典）に置いています：取引先から「セキュリティ評価」を求められる前に。SCS評価制度で自社の現在地を確認する