取引先のセキュリティを星で示すSCS制度 ★3と★4は何が違う

この記事のポイント

2026年10月29日にIPAの10月28日付発表と公開ガイドの概要を確認した。特定企業の取得可否を評価した記事ではない。画像は取引先のセキュリティ確認を行うイメージ写真である。

IPAは10月28日、サプライチェーン強化に向けたセキュリティ対策評価制度「SCS評価制度」のガイド3種と解説書を公開した。取引先を含む対策状況を共通の目安で示し、調達先の確認をしやすくする制度である。

★3は登録希望組織の自己評価と確認責任者による確認を軸にし、★4は評価機関による第三者評価と技術検証を含む。同じ「星」でも、確認方法と必要な手続きが異なる。

今回公開された4つの資料

自己評価と適用範囲を決める「★3・★4 自己評価等ガイド」、第三者評価を説明する「★4 第三者評価ガイド」、検証手続きを示す「★4 技術検証ガイド」、要求事項の考え方を補う解説書が公開された。

IPAは今後、登録申請の手引や制度ロゴを公開する。評価機関、技術検証事業者、研修事業者の指定・公表は2026年12月下旬の予定である。今回の発表は制度開始に向けた準備資料の公開で、取得完了企業の発表ではない。

企業が先にできること：自社がどの組織・事業・拠点を評価対象にするかを整理し、要求事項との不足を確認できる。取引先に一律の星取得を求める前に、対象範囲と★3・★4の確認方法を区別したい。