セキュリティ対策評価制度（SCS評価制度）とは、企業のセキュリティ対策状況を共通の基準で示し、取引先との間で確認しやすくするための制度です。

発注企業と受注企業が対策状況を確認しやすくすることを目的に、経済産業省と内閣官房国家サイバー統括室が制度構築方針を示し、IPA（独立行政法人情報処理推進機構）が制度を運営します。

セキュリティ対策のレベルは、既存制度を含めて★1から★5までで整理されており、このうち★3・★4は2027年3月頃に運用開始が予定されています。

2026年9月7日時点では任意制度であり、未取得によって直ちに商取引が規制されたり、罰則を受けたりする制度ではありません。

本記事では、SCS評価制度の対象企業・対象範囲、義務化や罰則の有無、★1〜★5の違い、制度開始前に確認しておきたい準備を解説します。

後半では、IT基盤を守る補完策として、サーバールームなど重要エリアの入退室管理や映像記録を見直すポイントも紹介します。

本記事は2026年9月7日に確認した経済産業省・IPA等の公式公表情報に基づいています。制度の詳細・予定は今後変更となる可能性があります。

セキュリティ対策評価制度（SCS評価制度）とは

SCS評価制度は、企業間の取引において、取引先のセキュリティ対策状況を共通の基準で確認するための制度です。

具体的には、発注企業が受注企業に必要なセキュリティ対策の段階（★）を示し、受注企業が対策を実施したうえで、その状況を双方で確認する使い方が想定されています。

発注企業にとっては、取引先のセキュリティ対策状況を把握しやすくなります。

受注企業にとっては、取引先ごとに異なるチェックシートや要求事項へ個別に対応する負担を軽減しやすくなる仕組みです。

参考：IPA「SCS評価制度」

正式名称と制度の位置づけ

正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、一般に「SCS評価制度」と呼ばれています。

SCS評価制度は、企業同士のセキュリティ対策レベルを競わせたり、順位付けしたりする格付け制度ではありません。

各企業の対策状況を共通の基準で評価・可視化し、取引先同士で確認しやすくするための制度です。

制度の目的

取引先や委託先を起点として被害が広がるサイバー攻撃が課題となるなか、発注企業には、取引先がどのようなセキュリティ対策を行っているのか外部から判断しづらいという課題があります。

一方、受注企業にとっては、複数の取引先から異なる要求事項やチェックシートへの対応を求められることが負担です。

SCS評価制度は、こうした発注側・受注側双方の課題に対応するため、企業のセキュリティ対策状況を共通の基準で評価・可視化し、サプライチェーン全体のセキュリティ対策水準を高めることを目的としています。

経済産業省・IPAとの関係

SCS評価制度は、経済産業省と内閣官房国家サイバー統括室が公表した「制度構築方針」に基づいて整備されています。

制度の運営は、経済産業省と内閣官房国家サイバー統括室の監督のもと、IPAが担います。

そのため、経済産業省が企業を直接審査する制度ではありません。

参考：IPA「SCS評価制度の詳細情報」
参考：経済産業省「SCS評価制度」

SCS評価制度の評価レベル

関連するセキュリティ対策の段階は、既存制度の★1・★2と、SCS評価制度の★3・★4、今後具体化する★5に整理されています。

★1・★2に位置づけられているのは、既存の自己宣言制度「SECURITY ACTION」です。

★3・★4は2027年3月頃の運用開始が予定され、★5については要求事項や評価方法、開始時期などの検討が続いています。

すべての段階が新設されるわけではなく、既存制度と新たな評価制度を組み合わせた構成になっている点が特徴です。

レベル	かんたんな説明	主な手続き・評価方法	2026年9月7日時点の状況
★1	基本的な情報セキュリティ対策に取り組む段階	SECURITY ACTION「一つ星」を自己宣言	既存制度として運用中
★2	自社診断を行い、情報セキュリティ基本方針を公開する段階	SECURITY ACTION「二つ星」を自己宣言	既存制度として運用中
★3	一般的なサイバー脅威に対処し得る水準	専門家確認付き自己評価	2027年3月頃開始予定
★4	被害拡大の防止などを含む、より包括的な水準	評価機関による第三者評価・技術検証	2027年3月頃開始予定
★5	より高度なサイバー攻撃への対応を想定した水準	未定	要求事項・評価スキームとも検討中

表：★1〜★5の段階（IPA公開情報に基づく整理）
※SECURITY ACTIONは、IPAが運営する情報セキュリティ対策の自己宣言制度です。企業の対策状況について、IPAが審査や認定を行う仕組みではありません。
参考：IPA「SCS評価制度の詳細情報」

★1・★2とSECURITY ACTIONの関係

「★一つ星」は、基本的な情報セキュリティ対策に取り組むことを宣言する段階です。

「★★二つ星」では、自社の対策状況を診断したうえで、情報セキュリティ基本方針を策定し、外部へ公開します。

いずれもIPAによる審査や認定を受けるものではなく、企業が自ら取り組みを宣言する制度です。

IPAは、★3・★4の取得に向けた準備として、まずSECURITY ACTIONから取り組むよう案内しています。

すでに宣言している企業は、現在の対策状況を整理し、次の段階に向けた不足事項を確認するとよいでしょう。

★3で求められる水準

★3は、一般的なサイバー脅威に対処し得る水準として位置づけられています。

取得にあたっては、セキュリティ専門家による確認を経た自己評価（専門家確認付き自己評価）と、経営層による自己適合宣誓が必要です。

取得を希望する組織が要求事項・評価基準に基づいて自己評価を行い、制度の要件を満たす社内外のSCSセキュリティ専門家が内容を確認して署名します。

その後、経営層による自己適合宣誓とともに事務局へ提出する流れです。

要求事項・評価基準の件数は、公開資料の改訂によって変わる可能性があるため、最新情報はIPAの公開Excelで確認してください。

参考：IPA「要求事項・評価基準」

★4で求められる水準

★4は、初期侵入の防御に加え、組織内外への被害拡大防止や、取引先のデータ・システム保護まで含む、より包括的な水準です。

評価は、指定された評価機関による第三者評価を中心に行われます。

書類等の審査に加えて、技術検証も求められます。

自社評価を中心とする★3に対し、★4では第三者による評価・検証が行われる点が大きな違いです。

IPAの「段階別評価の概要」では、★4の取得にあたり、★3を事前に取得している必要はないと説明されています。

上位の段階には下位の段階で求められる事項が含まれるため、★3を先に取得しない場合でも、★4の要求事項・評価基準を満たす必要があります。

参考：IPA「SCS評価制度の詳細情報」

★5は今後具体化予定

★5は、より高度なサイバー攻撃への対応を想定した水準です。

ただし、2026年9月7日時点では、要求事項や評価基準、評価方法、開始時期などの詳細は固まっていません。

IPAのFAQでも検討中とされており、今後の公表を待つ段階にあります。

現時点では、まず公表済みの★3・★4の内容を確認しながら準備を進め、★5については公式情報の更新を確認するのが適切です。

参考：IPA「よくある質問」

SCS評価制度はいつから始まる？

SCS評価制度のうち、★3・★4は2027年3月頃の運用開始が予定されています。

IPAのFAQでは、★3・★4の申請方法などは2026年10月頃、★4の評価機関は2026年12月末頃、SCSセキュリティ専門家は2027年1月以降に公表予定と案内されています。

★5の開始時期は、2026年9月7日時点で未定です。

今後のスケジュールは制度運営基盤の整備状況などによって変更される可能性があるため、IPAの公式サイトで最新情報を確認してください。

参考：IPA「よくある質問」
参考：経済産業省「SCS評価制度」

時期	内容・公表状況
2026年3月27日	制度構築方針を公表済み
2026年4月21日	IPAが特設サイト・FAQ・要求事項Excelを公開済み
2026年8月28日	基本規程、評価機関・技術検証事業者・研修事業者の指定規則等を公開済み（制度規程ページは9月2日更新）
2026年10月頃	★3・★4の申請方法、要求事項・評価基準の解説書、取得ガイドを公表予定
2026年12月末頃	★4の評価機関を公表予定
2027年1月以降	SCSセキュリティ専門家を公表予定
2027年3月頃	★3・★4の運用開始予定

表：SCS評価制度の公表済み事項と今後の予定（2026年9月7日確認。予定は今後変更となる可能性があります）
参考：IPA「制度規程・委員会」
参考：IPA「よくある質問」

申請方法・費用などの詳細は今後公開予定

★3・★4の要求事項・評価基準を示すExcelは、IPA「要求事項・評価基準」のページで公開されています。

2026年8月28日には基本規程や評価機関指定規則などが公開されました。

一方、申請方法、申請・登録費用、解説書、取得ガイドについては、IPAの案内を引き続き確認する必要があります。

解説書や取得ガイド、申請方法については、2026年10月頃の公表が予定されています。

制度対応を検討する際は、古い資料や二次情報だけで判断せず、IPAの公式サイトで最新情報を確認してください。

参考：IPA「要求事項・評価基準」
参考：IPA「よくある質問」

SCS評価制度は義務化される？罰則はある？

2026年9月7日時点で、SCS評価制度は任意制度です。

★3・★4を取得していないことだけを理由に、制度上の罰則が科されたり、商取引が一律に規制されたりする仕組みではありません。

また、SCS評価制度そのものが、未取得の企業を一律に入札から除外する制度でもありません。

ただし、★の取得要否は発注企業と受注企業の取引契約などで決められるため、個別の取引条件として対策状況の提示を求められる場合があります。

経済産業省は、SCS評価制度を引き合いにした不適切な製品・サービスの勧誘について注意喚起を公表しています。

「SCSに対応しないと取引できなくなる」「今すぐ評価を取得しなければ入札から除外される」といった説明を受けた場合は、IPAや経済産業省の公式情報と照らし合わせて確認することが大切です。

参考：経済産業省「SCS評価制度に係る不適切な勧誘にご注意ください」

特定製品の導入が必須ではない

SCS評価制度では、特定のセキュリティ対策製品の導入を取得条件としていません。

求められるのは、公開された要求事項・評価基準に沿って、必要な対策を実施することです。

そのため、「この製品を導入すればSCS対応が完了する」といった説明は、制度の趣旨と異なる可能性があります。

まずは自社に求められる対策と現在の実施状況を整理し、不足がある場合に運用の見直しや製品・サービスの導入を検討する流れが適切です。

取引先から対策状況の提示を求められる場合はある

制度自体は任意ですが、発注企業が受注企業に必要な★の段階を示し、双方でセキュリティ対策の実施状況を確認する使い方が想定されています。

そのため、主要な取引先から★の取得や対策状況の提示を求められることは考えられます。

制度開始前に、自社の現状と要求事項との差を整理しておけば、確認を受けた際にも対応しやすくなるでしょう。

発注企業がセキュリティ対策を求める際の注意点

発注企業が合理的な必要性に基づいて取引先へセキュリティ対策を求めること自体は、独占禁止法上ただちに問題となるものではありません。

一方、対策によって生じるコストを考慮せず、一方的に著しく低い取引価格を定める行為などは、優越的地位の濫用として問題になるおそれがあります。

公正取引委員会は、価格交渉の機会を設けたうえで、対策の内容や費用負担について取引先と十分に協議することが望ましいと示しています。

参考：公正取引委員会「取引先とのパートナーシップの構築に向けた想定事例及び解説」

SCS評価制度の対象企業

SCS評価制度は、サプライチェーンを構成する幅広い企業・組織を対象としています。

企業規模や業種による一律の限定はなく、中小企業だけでなく大企業も対象になり得る制度です。

ただし、すべての企業に★の取得が一律に求められるわけではありません。

実際にどの水準への対応が必要になるかは、取引先との契約内容や、自社がサプライチェーンのなかで担う役割によって異なります。

中小企業も対象になり得る

SCS評価制度は、大企業だけを想定した仕組みではありません。

中小企業であっても、取引先から受注する立場であれば、★の取得やセキュリティ対策状況の提示を求められる可能性があります。

一方で、制度自体は任意であり、中小企業だから一律に取得しなければならないわけではありません。

まずは主要な取引先との契約や調達方針を確認し、自社に求められる水準を整理することが重要です。

発注側と受注側で確認する内容が異なる

SCS評価制度では、2社間の取引契約などにおいて、発注側が受注側に必要な★の段階を示し、対策の実施を促すとともに、その状況を双方で確認する使い方が想定されています。

発注側では、取引の重要性や取り扱う情報、委託する業務の内容を踏まえ、取引先にどの水準を求めるか整理しておく必要があります。

受注側で確認したいのは、自社の対策状況と、取引先から求められる水準との差です。

対象業種は限定されていない

SCS評価制度には、製造業や物流業など、特定の業種だけを対象とする指定はありません。

業種や事業規模を問わず、サプライチェーンを構成する幅広い事業者が対象になり得ます。

たとえば、部品や資材を調達する製造業、配送や倉庫業務を委託する物流業、複数の協力会社と取引する建設業なども、取引関係によっては対応状況の提示を求められる可能性があります。

施設管理業や店舗運営業も例外ではありません。

重要なのは、業種名だけで対象かどうかを判断しないことです。

取引先との関係、委託・受託している業務、取り扱う情報やシステムなどをもとに、自社が制度の対象となり得るかを確認する必要があります。

参考：経済産業省「SCS評価制度」

SCS評価制度の対象範囲

SCS評価制度の対象は、サプライチェーンを構成する企業等のIT基盤です。

自社内で運用するシステムだけでなく、クラウド環境や親会社が提供する共通ネットワークなど、他社と対策上の責任を分担している環境も含まれます。

一方、製造現場の制御を担うOTシステムや、取引先に提供する製品そのものなど、一般的にIT基盤に該当しない領域は、原則として直接の対象外です。

ただし、詳細な評価範囲は制度開始までに追加で具体化される可能性があるため、2026年9月7日時点の公表情報として捉える必要があります。

区分	SCS評価制度での扱い
公開サーバー（Web・メール等）	適用範囲に含まれる
認証基盤	適用範囲に含まれる
PC・スマートデバイス等のエンドポイント	適用範囲に含まれる
外部ネットワーク境界機器（ファイアウォール・ルーター・VPN装置等）	適用範囲に含まれる
クラウド環境・共通ネットワーク	責任共有モデルに基づいて、自社の対応範囲やサービス提供者の対策状況を確認する
製造環境等のOTシステム	原則として直接の対象外
取引先へ提供する製品等、自社の管理・運用下にない機器	原則として直接の対象外

表：SCS評価制度の適用範囲の考え方（経済産業省の制度構築方針に基づく整理）

クラウド環境も対象に含まれる

SCS評価制度の対象となるIT基盤には、クラウド環境も含まれます。

クラウドサービスを利用している場合、自社が管理するアカウントやアクセス権限、各種設定と、クラウド事業者が担う設備・基盤部分を分けて考えなければなりません。

制度構築方針では、責任共有モデルに基づき、自社で必要な対策を実施するか、サービス提供者の対策状況を確認する考え方が示されています。

確認方法の例として挙げられているのが、ISMAPへの登録状況やSOC 2レポートなどです。

クラウドサービスを利用しているからといって、すべてのセキュリティ対策を事業者へ任せられるわけではありません。

自社とサービス提供者の責任範囲を整理し、自社側で対応すべき設定や権限管理を確認する必要があります。

OTシステムや提供製品は原則として直接対象外

製造設備や機械を制御するOTシステムは、一般的なIT基盤とは求められる対策が異なるため、原則としてSCS評価制度の直接の対象外です。

取引先へ販売・提供する製品等のうち、自社の管理・運用下にない機器についても、同様に直接の対象外とされています。

これらの領域では、業界別の制度やガイドラインなどに基づいて対策を進めることが想定されています。

ただし、対象外としたOTシステムなどが、SCS評価制度の適用範囲となるIT基盤へ接続されている場合は注意が必要です。

制度構築方針では、VLANやファイアウォールなどを用いて、適用範囲内外の通信を必要最小限に抑える考え方が示されています。

「OTシステムは対象外だから確認しなくてもよい」という意味ではなく、対象となるIT基盤への影響を防ぐため、接続状況や分離方法を確認しておく必要があります。

参考：経済産業省「制度構築方針」（IPA掲載）

IT基盤を支える物理セキュリティも確認したい

SCS評価制度が主な対象としているのは企業等のIT基盤です。

サーバールームや管理室といった物理的な空間そのものは、制度構築方針の適用範囲として独立した区分には示されていません。

一方、サーバーや認証基盤、ネットワーク機器は、実際には施設内の物理的な場所に設置されています。

不正な立ち入りや機器の持ち出し、退職者・委託業者の入室権限が残るリスクなどを防ぐため、重要エリアの管理状況も補完的に確認しておきたいところです。

なお、入退室管理システムや監視カメラなど、特定の製品を導入することがSCS評価取得の必須条件ではありません。

制度への対応と製品導入を直接結びつけず、まずは自社の管理状況やリスクを確認したうえで、必要に応じて物理セキュリティの見直しを検討します。

重要エリアの入退室管理や映像記録については、記事の後半で詳しく解説します。

SCS評価制度への準備で確認したい主なチェック項目

SCS評価制度への準備では、まず自社のセキュリティ対策状況を把握する必要があります。

以下は、公開されている要求事項の主な領域をもとに、準備の入口として整理した確認項目です。

公式の要求事項を網羅したチェックリストではありません。

★3・★4の取得には、それぞれで定められたすべての要求事項・評価基準を満たす必要があるため、実際の申請ではIPAの最新版を確認してください。

参考：IPA「要求事項・評価基準」
参考：IPA「よくある質問」

IT資産の棚卸し

IT資産の棚卸しでは、自社が保有・利用する端末やシステムを正確に把握します。

端末やサーバー、ネットワーク機器、クラウドサービスを一覧化し、機密区分や管理責任者も整理しましょう。

PC台帳だけでなく、SaaSの利用状況や委託先が保有するデータの保管先まで確認すると、守るべき対象と対策の優先順位を明確にできます。

資産の追加・廃止を反映できるよう、定期的に更新する運用も必要です。

外部ネットワーク境界の管理

社外との接点となるネットワーク境界は、サイバー攻撃の侵入口になりやすい領域です。

ファイアウォールやVPN、公開サーバーなどを洗い出し、設定内容や不要な通信の制御状況を確認します。

特定製品の導入を先に考えるのではなく、自社の境界がどこにあり、どの機器やサービスが外部と接続しているかを整理することが重要です。

設定変更の記録や定期的な見直し方法も定めておきましょう。

アカウント・権限管理

アカウントやアクセス権限は、必要な人に必要な範囲だけ付与することが基本です。

発行・変更・削除の手順を定め、退職者や異動者、委託先の権限が残っていないか定期的に棚卸しします。

社内システムだけでなく、クラウドサービスや共有IDも対象に含め、誰がどの権限を持っているかを把握できる状態にしておきましょう。

管理者権限や長期間利用されていないアカウントも重点的に確認します。

ログ管理・監視体制

アクセスログや操作ログは、異常の早期発見や原因調査に欠かせません。

どのシステムのログを取得するか、どの程度の期間保管するか、誰が確認するかをあらかじめ定めておきます。

ログを残すだけでなく、改ざん防止の仕組みや定期的なレビュー方法も整理し、異常を検知した際に速やかに対応できる体制を整えることが大切です。

重要なログを見落とさないよう、確認頻度や通知条件も決めておきましょう。

インシデント対応体制

セキュリティインシデントが発生した際に迷わず動けるよう、検知から連絡、初動、復旧までの手順を整理します。

社内の連絡網や責任者を明確にし、必要に応じて経営層や外部機関、委託元へ報告する基準も決めておきましょう。

机上演習や定期的な見直しを行い、手順が実際に機能するか確認することも重要です。

証拠保全や再発防止まで含めて役割を整理すると、対応の抜け漏れを防ぎやすくなります。

委託先・取引先管理

委託先や取引先が扱う情報、利用するシステム、再委託の有無を把握し、必要なセキュリティ対策を契約時に確認します。

秘密保持や事故発生時の報告、監査の方法に加え、契約終了後の情報返却・削除まで整理しておくことが重要です。

一方的に条件を課すのではなく、対応内容や費用負担を双方で協議できる形にしておきましょう。

委託先の状況を定期的に確認し、変更があった場合の連絡方法も決めておく必要があります。

SCS評価制度に向けて企業が今からできる対策

SCS評価制度への準備は、自社の現状把握から始め、取引先が求める水準や要求事項との差を順に整理していくことが重要です。

ここでは、制度開始前に取り組める内容を5つのステップで紹介します。

STEP1 自社のセキュリティ対策状況を把握する

まずは、前章のチェック項目をもとに、自社で実施できている対策と不足している対策を整理します。

SECURITY ACTIONの宣言状況、IT資産台帳、アカウント管理表、インシデント対応手順、委託先管理台帳など、既存の資料も確認しましょう。

新たな調査を始める前に社内情報を集約すると、現状を把握しやすくなります。

STEP2 取引先が求める★レベルを確認する

SCS評価制度では、発注側が受注側に必要な★の段階を示し、対策状況を確認する使い方が想定されています。

主要な取引先の調達方針、契約条件、入札要件などを確認し、自社に求められる水準を整理しましょう。

社内の判断だけで目標を決めず、重要な取引や契約更新の予定も踏まえて検討することが大切です。

STEP3 要求事項と現状の差を整理する

目指す★レベルが決まったら、IPAが公開する要求事項・評価基準と自社の対策状況を照らし合わせます。

未対応の項目だけでなく、実施していても記録や規程で説明できない項目も整理が必要です。

要求事項は今後更新される可能性があるため、作業時にはIPAの公式ページで最新版を確認しておきましょう。

STEP4 不足しているサイバーセキュリティ対策を検討する

洗い出した不足事項について、体制整備、社内規程、運用改善、製品・サービスの順に対応方法を検討します。

SCS評価制度では、特定のセキュリティ製品の導入が必須とされているわけではありません。

「この製品を導入すれば対応完了」と考えず、要求事項を満たすために必要な手段を選ぶことが重要です。

中小企業向けには「サイバーセキュリティお助け隊サービス（新類型）」の創設に向けた検討や実証が進められています。

IPAは2026年7月13日に新類型の実証事業に係るサービス提供事業者の公募開始を案内しています。

一般向けの正式な提供条件や利用方法は、経済産業省・IPAの公表内容を確認してください。

参考：IPA「SCS評価制度」
参考：経済産業省「SCS評価制度」

STEP5 重要エリアの物理セキュリティも見直す

サーバールームやネットワーク機器の設置場所についても、不正な立ち入りや機器の持ち出しを防ぐ観点から、入室権限や記録方法を確認します。

物理セキュリティは、IT基盤を守る補完策として必要に応じて見直しましょう。

具体的なポイントは次章で紹介します。

重要エリアの入退室管理・映像記録を見直したい場合

防犯カメラや入退室管理システムは、SCS評価を取得するための必須製品ではありません。

SCS評価制度では、特定のセキュリティ対策製品の導入を評価基準の達成条件としていないためです。

一方、サーバールームやネットワーク機器の設置場所に誰でも立ち入れる状態では、機器の持ち出しや不正操作といったリスクが残ります。

SCS評価制度への対応とは切り分けたうえで、IT基盤を守る補完策として、重要エリアの入室権限や入退室記録、監視カメラ映像の管理状況も確認しておきましょう。

重要エリアの主な課題とセキュアの支援内容

サーバールームや管理室などに次のような課題がある場合は、IT基盤を守る補完策として、入退室管理や映像記録の見直しを検討できます。

主な課題	セキュアで支援できること	関連ソリューション
サーバールームの入退室履歴を残せていない	顔認証・ICカード・指紋認証などによる入退室管理の導入	SECURE AC
監視カメラ映像と入室ログを別々に確認している	入退室ログと映像記録を組み合わせた確認環境の構築	SECURE AC Cloud /VS Cloud
退職者や委託業者の入室権限を管理しづらい	権限の付与・変更・失効を行いやすい運用設計	SECURE AC Cloud
来訪者や保守業者の入室記録を紙で管理している	来訪者管理や一時権限発行の仕組みづくり	SECURE AC／受付システム連携
複数拠点の管理状況を把握しづらい	クラウド型の入退室管理・映像確認環境の提案	SECURE AC Cloud /VS Cloud

表：重要エリアの物理セキュリティに関する主な課題とセキュアの支援内容

サーバールームなどの入退室を管理する

サーバールームやネットワーク機器の設置場所では、入室できる人を限定し、誰が・いつ出入りしたのかを記録できる状態にしておくことが重要です。

物理鍵だけで管理している場合、鍵を使用した人物や入室時刻を正確に確認できないことがあります。

セキュアがご提案する入退室管理システム「SECURE AC」では、顔認証、ICカード、指紋認証、QRコード認証などを、施設の運用や管理要件に応じて検討できます。

オンプレミス型とクラウド型から選択できるため、サーバールーム単体から複数拠点まで、管理範囲に合わせた構成を比較しましょう。

参考：SECURE AC公式ページ
参考：SECURE AC Cloud公式ページ

認証方式や管理ソフトウェアの構成を比較したい方は、入退室管理の総合カタログをご覧ください。

※本ページに記載されている認証機器の製品名および型番は、©Suprema Inc. の登録商標です。

入退室ログと映像記録をあわせて確認する

入退室ログには、認証した利用者や時刻を記録できます。

ただし、認証した本人が実際に入室したか、別の人物が一緒に通過していないかまで、ログだけで判断するのは困難です。

たとえば、クラウド型入退室管理システム「SECURE AC Cloud」と「VS Cloud」の連携により、入退室ログから該当時間帯の録画映像を確認する構成を検討できます。

利用できる認証方式や連携機能は、機器・システム構成・契約内容によって異なるため、導入時に確認が必要です。

入退室の記録と映像をあわせて確認できれば、不審な入室やトラブルが発生した際の状況把握にも役立ちます。

参考：SECURE AC Cloud公式ページ

監視カメラやレコーダー、映像管理の選択肢は、監視カメラの総合カタログで確認できます。

退職者・委託業者・来訪者の権限を管理する

退職者や異動者、委託業者の入室権限が残ったままにならないよう、権限の付与・変更・失効に関する手順を定めておく必要があります。

不要になった権限を速やかに削除できる運用も欠かせません。

クラウド型の入退室管理では、管理画面から利用者情報や入室権限を変更できるため、複数拠点の権限もまとめて管理しやすくなります。

来訪者受付・予約システムとの連携や、QRコードによる一時的な入室権限の発行を利用すれば、紙台帳による来訪者管理を見直せます。

連携の可否や開発の要否は、対象システムと構成に応じて確認しましょう。

参考：SECURE AC Cloud公式ページ

顔認証を利用する場合は個人情報の取扱いにも配慮する

顔認証を利用する場合は、認証精度や利便性だけでなく、認証データの取扱いにも配慮が必要です。

顔の特徴を認証用に変換したデータのうち、特定の個人を識別できる水準を満たすものは、個人情報保護法上の個人識別符号に該当します。

利用目的の特定と通知・公表、保存期間、閲覧権限、安全管理措置などを導入前に整理しておきましょう。

参考：個人情報保護委員会「ガイドライン（通則編）」

重要エリアの物理セキュリティについて相談する

セキュアでは、入退室管理システム、監視カメラシステム、顔認証、セキュリティゲートなどを組み合わせ、施設の課題や運用方法に応じた構成を提案しています。

設計、導入支援、施工、導入後の保守まで、必要な支援内容を施設の条件に合わせてご案内します。

SCS評価制度への対応はサイバーセキュリティ対策が中心です。

そのうえで、IT基盤が置かれた場所の入退室管理や映像記録も見直したい場合は、現在の管理方法をもとにご相談いただけます。

SCS評価制度に関するよくある質問

制度の対象や取得条件について、よくある疑問を確認します。

SCS評価制度とは何の略ですか？

SCSは「Supply Chain Security」の略です。

制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、一般に「SCS評価制度」と呼ばれています。

セキュリティ対策評価制度は義務ですか？

2026年9月7日時点では任意制度であり、国が企業に★の取得を一律に義務づけるものではありません。

ただし、取引契約において発注側から取得や対策状況の提示を求められる可能性はあります。

罰則はありますか？

SCS評価制度そのものに罰則や商取引を規制する措置はありません。

一方、取引先との契約上の責任や、情報漏えいに関係する個人情報保護法などへの対応は、SCS評価制度とは別に考える必要があります。

中小企業も対象ですか？

中小企業も対象になり得ます。

企業規模や業種によって一律に除外される制度ではなく、取引上の役割や発注側が求めるセキュリティ水準に応じて、★の取得や対策状況の確認を求められる可能性があります。

補助金は使えますか？

補助金の利用可否は、対象となる経費や申請者の条件、募集期間によって異なります。

SCS評価の取得を検討しているだけで、補助対象になるとは限りません。

セキュリティ製品やサービスの導入費用が、別の補助制度の対象になる場合はあります。

利用を検討する際は、各制度の対象経費や申請要件、募集期間を経済産業省の公式サイトで確認しておきましょう。

ISMSやPマークを取得していれば十分ですか？

ISMSやPマークを取得していても、SCS評価制度の★3・★4を自動的に取得できるわけではありません。

ISMSはSCS評価制度と相互補完的な制度に位置づけられています。

プライバシーマーク（Pマーク）は個人情報の適切な取扱体制を評価する制度です。

対象や評価基準が異なるため、SCS評価制度の要求事項を別途確認する必要があります。

参考：経済産業省「SCS評価制度」
参考：JIPDEC「Pマークを知りたい方」

防犯カメラや入退室管理システムは必須ですか？

必須ではありません。

SCS評価制度では、評価基準を満たすために特定のセキュリティ対策製品を導入することは求められていません。

サーバールームなどの物理セキュリティを見直すことは、IT基盤を守る補完策として有効な場合がありますが、製品の導入自体がSCS評価取得の条件になるわけではありません。

まとめ

SCS評価制度は2026年9月7日時点では任意制度で、★3・★4は2027年3月頃の運用開始が予定されています。

主な対象はクラウド環境を含む企業等のIT基盤であり、製造環境などのOTシステムや取引先へ提供する製品等は、原則として直接の対象外です。

制度開始前に、まず自社のセキュリティ対策状況を把握し、主要な取引先から求められる可能性がある★レベルを確認しましょう。

そのうえで、公開されている要求事項と現状の差を整理し、不足する対策を順に検討することが準備の基本となります。

セキュアでは、入退室管理システム、監視カメラシステム、顔認証、セキュリティゲートなどを組み合わせ、重要エリアの入退室履歴や映像記録、権限管理の見直しを支援しています。

IT基盤が置かれた場所の物理セキュリティに課題がある場合は、現在の管理方法に応じた対策をご相談ください。

※QRコードは株式会社デンソーウェーブの登録商標です。
※PマークおよびISMSは、一般財団法人日本情報経済社会推進協会（JIPDEC）の登録商標です。
参考：JIPDEC「Pマークを知りたい方」
参考：JIPDEC「ISMS適合性評価制度におけるISO/IEC 27001：2022への対応について」