制度の全体像と★の段階構成、申請受付までのスケジュールを整理したうえで、公式の要求事項のうちID・パスワード・PCログインに関わる項目を番号つきで抜き出します。
SCS評価制度とは
SCSとは「Supply Chain Security」の略称です。正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、経済産業省と内閣官房国家サイバー統括室が検討を進め、2026年3月27日に「制度構築方針」を公表しました。制度を運営するスキームオーナーは情報処理推進機構（IPA）です。
狙いは、企業のセキュリティ対策状況を共通の基準で評価・可視化し、委託元・委託先双方の負担を減らしながら、サプライチェーン全体の水準を底上げすることです。経済産業省は、対策レベルを競わせる格付け制度ではないとも明記しています。
なぜこうした制度が必要とされているのか
制度が必要とされる背景
これまで
- 取引先・委託先を踏み台にするサプライチェーン攻撃で、被害が連鎖する
- 取引先の対策状況を外から判断しにくい
- 委託先は取引先ごとに違うチェックシートに回答してきた
SCS評価制度
- 共通の評価基準で対策状況を示せる
- 委託元・委託先双方の負担を減らす
攻撃の手口はサプライチェーン攻撃で解説しています。
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
★3・★4の段階構成（★5は今後検討）
対策の段階は★3と★4です。★5は、要求事項や評価の仕組みを今後検討するとされています。
★3：一般的なサイバー脅威への対処
- 要求事項：26件
- 評価方法：セキュリティ専門家による確認を経た自己評価
- 有効期間：1年
- ID・パスワードの管理、OSやソフトウェアの更新、ウイルス対策、従業員への周知など、基礎的な対策が中心
★4：被害拡大の抑止とサプライチェーン強靭化
- 要求事項：43件（★3の項目を包含）
- 評価方法：第三者評価機関による評価
- 有効期間：3年
- 初期侵入への対策だけでなく、侵入された後の被害拡大の抑止、ログの取得と監視、組織的なガバナンスまで踏み込む
どちらも、特定のセキュリティ製品の導入が必須とされているわけではありません。要求事項を満たす実装例などをまとめた評価ガイドは、2026年秋頃を目途に公表される予定です。
制度はいつから始まるのか
経済産業省が示している予定
- 1
2026年3月27日
制度構築方針と、★3・★4の要求事項・評価基準を公表
- 2
2026年秋頃
評価ガイド（実装例などをまとめた資料）を公表予定
- 3
2026年度末頃（2027年1月〜3月頃）
★3・★4の制度開始（申請受付の開始）を予定
現在は要求事項はすでに読める一方で、申請はまだできない期間です。受付を待たずに、公開済みの要求事項と自社の現状を照らし合わせておけます。
取引先との関係：委託元が★を提示する仕組み
委託元（発注側）が委託先（受注側）に適切な★の段階を提示し、示された対策を促すとともに実施状況を確認することが想定されています。
ただし制度自体は任意です。★をどのような要件として契約で扱うかは、取引の当事者同士で合意するものとされています。経済産業省は、要求事項・評価基準を共通のチェックリストとして使い、必要な水準を満たしているかを確かめる使い方も想定しています。
実務では、★の取得より先に、要求事項に沿った質問やチェックシートが届く形で関わることが多くなると考えられます（取引先からセキュリティチェックシートが届いたら）。なお経済産業省は、この制度に便乗した不適切な勧誘への注意喚起も出しています。
ID・パスワード・PCログインに関わる要求事項
「★3・★4要求事項及び評価基準」のうち、ID・パスワード・PCログインに直接関わるのは主に4-1（アクセス管理）です（要約です。正確な文言は公式の資料で確認してください）。
| 番号 | 段階 | 求められていること（要約） |
|---|---|---|
| 4-1-1 | ★3 | ユーザIDの付与・変更・削除を申請・承認制にする。IDは共有しない（やむを得ず共有する場合は、誰が使ったかを特定できるようにする）。不要になったID・権限は速やかに削除または無効化する |
| 4-1-2 | ★3 | 管理者権限を持つ人を限定し、管理者IDも共有しない（やむを得ない場合は利用者を特定できるようにする）。誰が管理者IDを持っているかを把握する仕組みを整える |
| 4-1-3 | ★3 | すべてのIDをパスワード等で認証する。重要な機密情報を扱うクラウドサービスには、常に多要素認証を使う。多要素認証で使うパスワードは8文字以上 |
| 4-1-3 | ★4 | 上記に加え、重要な機密情報を扱うシステムで、インターネット経由で社内に接続する場合・管理者がインターネット経由でアクセスする場合などにも多要素認証を使う |
| 4-1-4 | ★3 | PCへのログオンは、失敗するたびに試行間隔が長くなる設定か、10回以上の失敗でロックする設定にする。PCのログオンには6文字以上のパスワードまたはPINを使う |
| 4-1-5 | ★3 | 初期パスワードの変更、推測されやすい単語の禁止、使い回しの禁止を社内ルールにする。多要素認証か10回失敗でのロックを行う場合は8文字以上、どちらもできない場合は英大文字・小文字・数字を含む10文字以上 |
| 4-1-6 | ★3 | パスワードを安全に保管するルール（施錠保管した紙やパスワード管理アプリなど）と、漏洩またはその疑いがあるときに速やかに変更する手順を定める |
| 4-1-7 | ★3 | システムやPCのアクセス権の発行・変更・削除のルールを定める（★4では年1回以上の棚卸しも求められる） |
このほか、ファイアウォールやルーターの初期パスワードの変更（4-5-1、★3）、★4では認証サーバーのログを月1回以上確認して不審な認証試行を見つけること（4-4-3）や、退職時にIDや鍵を含むアクセス権を回収すること（3-1-4）も求められています。
パスワードの文字数の条件（6文字・8文字・10文字）
★3の評価基準では、文字数は場面と組み合わせる対策によって変わります。
| 場面・条件 | 求められる長さ | 評価基準 |
|---|---|---|
| PCへのログオン・スマートデバイスのロック解除 | 6文字以上のパスワードまたはPIN | 4-1-4-2 |
| 多要素認証か、10回失敗でのアカウントロックを併用する場合 | 8文字以上 | 4-1-5-3 |
| 多要素認証も試行回数の制限もできない場合 | 英大文字・小文字・数字を含む10文字以上 | 4-1-5-3 |
| 多要素認証の知識情報として使うパスワード | 8文字以上 | 4-1-3-4 |
| ファイアウォール・ルーターの認証 | 4-1-5の基準を満たす | 4-5-1-3 |
PCのロックアウトを設定できない場合は、4-1-5で求められるよりも強いパスワードを使うなどの代替策が求められます（4-1-4-1）。自社の設定はADのパスワードポリシーを確認するコマンドで確かめられます。長さの基準を上げるほど「忘れました」の問い合わせは増えやすく、その対策はPCのログインパスワードを忘れた社員への対応で扱っています。
誤解されやすい点
| 誤解 | 要求事項・評価基準では |
|---|---|
| ★3では社内PCにも多要素認証が要る | ★3で多要素認証が常に求められるのは、重要な機密情報を扱うクラウドサービス。社内PCへのログオンは試行回数の制限と6文字以上のパスワードまたはPIN。★4ではインターネット経由で社内に接続する場合などにも求められる（詳しくは後述） |
| 共有IDは禁止 | 一律に禁止ではない。やむを得ず共有する場合は、誰が使ったかを特定できるようにする（共有アカウントの廃止） |
| パスワードは定期変更が必要 | 求められていない。漏洩またはその疑いがあるときに速やかに変更する手順が求められる |
| パスワードの長さは1つの基準 | 多要素認証か10回失敗でのロックを行うなら8文字以上、どちらもできない場合は英大文字・小文字・数字を含む10文字以上 |
社内で確かめる方法は、Windowsの管理者ユーザーを一覧にする方法、ADのパスワードポリシーを確認する方法、アカウントロックアウトの原因を特定する手順、入社・退職時のアカウント管理で扱っています。
誤解されやすい点
対応の進め方（3ステップ）
対応の進め方
- 1
現状を書き出す
公開済みの要求事項に沿って、できている項目と手つかずの項目を書き出す
- 2
優先順位をつける
重要な機密情報を扱うクラウドサービス、顧客情報が集まるサーバー・PCなど影響が大きいところから
- 3
説明できる状態にする
取引先に問われたとき、設定や手順を資料で示せるよう記録を残す
優先順位の付け方は中小企業がやるべき不正アクセス対策チェックリストでも解説しています。
3つ目の「説明できる状態」は、全PC・サーバーの状態とログイン記録が1か所にあれば、取引先に問われたときに画面とCSVでそのまま示せます。更新漏れやサポート切れのOSも深刻な順に並ぶので、2つ目の優先順位づけで「どのPCから直すか」に迷いません（アプリップリキー）。さらに、PC・サーバーのログインを本人のスマホを鍵にしたワンタッチログインにすれば、★4を見据えた多要素認証にも1台から進められます（PC版・サーバー版）。毎回の操作はスマホでワンタッチなので、社員の手間はほとんど増えません。
★3で社内PCのログインに多要素認証は必須か
★3の要求事項（4-1-3・4-1-4）で多要素認証が常に求められるのは、重要な機密情報を扱うクラウドサービスへのアクセスです。社内PCへのログオンで求められるのは次の2つで、多要素認証は必須ではありません。
- 試行回数の制限：失敗するたびに試行の間隔が延びる設定か、10回以上の失敗でのロック
- 6文字以上のパスワードまたはPIN
社内PC・サーバーへのログインと多要素認証
★3
- 多要素認証が常に求められるのは、重要な機密情報を扱うクラウドサービス
- 社内PCのログオンは試行回数の制限と6文字以上のパスワードまたはPIN
★4
- 重要な機密情報を扱うシステムにインターネット経由で社内から接続する場合にも多要素認証
- 管理者がインターネット経由でアクセスする場合にも多要素認証
自宅や出張先からVPNやリモートデスクトップで社内のPC・サーバーにログインする運用があるなら、★4を見据えて検討しておく分かれ目になります。社内のWi-Fiも、VPNと同じく社内への入口です。なお、★3の要件を満たしていても、パスワードを知っている人なら誰でもそのPCに入れる状態は残ります。要件への対応とは別に、自社のログインがどうなっているかを把握しておくと、取引先にも落ち着いて説明できます。
取引先や保険会社に答えられるようにするチェック表
SCS評価制度の準備と並行して、取引先の調査票やサイバー保険の質問票でも、ログインの状態を聞かれることがあります。範囲ごとに現状を書き出しておくと、どちらにも答えやすくなります。
| 範囲 | 書き出すこと |
|---|---|
| クラウド（Microsoft 365など） | 多要素認証の設定状況と、例外のアカウント |
| 社外からの接続（VPN・リモートデスクトップ） | パスワードだけで接続できる経路の有無、機器の更新状況 |
| 社員のPC | ログインの方式、試行回数の制限、管理者権限を持つ人 |
| 社内のサーバー | 管理者・保守業者のアカウントと、ログインの方式 |
社員のPC・社内のサーバーの欄は、全PC・サーバーを1画面で管理できれば、1台ずつ見て回らずに埋められます（アプリップリキー）。
普段の管理が楽になると、何が変わるか
チェックシートや★の準備は、一度書いて終わりではなく、毎年のように聞かれます。PCの台数・OS・利用者、ログイン記録（日時・利用者・接続元のPC名とIPアドレス）が1か所にあれば、聞かれたその日にCSVで出せます。ログは10年間残るので、「去年はどうだったか」と聞かれても探し回りません。担当者が兼任でも、回答のたびに各部署へ確認して回る時間が減ります。
保険の質問票の整理はサイバー保険の申込みで聞かれる多要素認証、導入済みの対策の隙間はEDR・UTM・Microsoft 365の多要素認証を入れても不正アクセスが起きる理由で解説しています。
よくある質問
Q. ★3や★4の取得は義務ですか？取得しないと取引を打ち切られますか？
A. 経済産業省は任意の制度と説明しています。★をどのような要件として契約で扱うかは、取引の当事者同士で合意するものとされています。また、制度の開始は申請受付の開始を意味するため、開始時点で★を取得している企業は存在しません。
Q. ★3では、社内PCへのログインにも多要素認証が必要ですか？
A. 要求事項・評価基準では、★3で多要素認証が常に求められるのは、重要な機密情報を扱うクラウドサービスへのアクセスです。社内PCへのログオンについては、試行回数の制限（10回以上の失敗でロックなど）と6文字以上のパスワードまたはPINが求められています。★4では、インターネット経由で社内に接続する場合などにも多要素認証が求められます。
Q. パスワードの定期変更は求められていますか？
A. ★3・★4の要求事項・評価基準に、パスワードを定期的に変更する項目はありません。求められているのは、推測されやすい単語の禁止、使い回しの禁止、初期パスワードの変更、漏洩またはその疑いがあるときに速やかに変更する手順です。
Q. ★3は社内の情報システム担当者が確認すればよいですか？
A. ★3は自己評価ですが、「セキュリティ専門家」による確認が必要とされています。社内の情報システム担当者であればよいというものではありません。専門家の要件は制度構築方針で示されています。
Q. まず何から手をつければよいですか？
A. 公開されている要求事項・評価基準を見ながら、自社の現状を項目ごとに書き出すことから始めるのが現実的です。ID・パスワードまわりは社内の設定を確かめれば答えが出る項目が多く、着手しやすい領域です。
認証に関する制度としては、プライバシーマークやISMS認証もあります。対象範囲や認証を受ける単位の違いは PマークとISMSの違い、Pマークで認証がどう問われるかは Pマークで二要素認証は必須かで解説しています。
全PC・サーバーを1か所で管理して1台ずつ見て回る手間をなくす方法はADなしで社内のPC・サーバーをまとめて管理する方法にまとめています。さらに、社内のPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
いまの運用を棚卸ししてみる
要求事項と自社の現状を照らし合わせるには、まず現状を書き出す必要があります。applippliの無料棚卸しでは、10問・約3分に答えるだけで、ログインまわりでいま何をやっていて、何が手つかずのまま残っているかが項目ごとの一覧になります。制度への適合を判定するものではありませんが、上の表のうちID・パスワード・PCログインの項目について、自社の現在地を書き出す出発点としてお使いいただけます。
実際にID・パスワードが漏洩した場合にどのような被害につながるかは、 ID・パスワード漏洩の実例と対策で詳しく解説しています。
参考・出典
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」（制度の概要・開始時期・よくあるお問い合わせ）
- 経済産業省「★3・★4要求事項及び評価基準」（Excel）
- 経済産業省「制度構築方針の公表について」（2026年3月27日）
- IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
※ 本記事は2026年9月時点で公表されている情報（経済産業省ページの最終更新 2026年5月20日）に基づいています。制度の詳細は今後変更される可能性がありますので、最新情報は上記の公式ページをご確認ください。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。