Microsoft 365も同様です。契約に含まれる機能と、実際に有効になっている対策は一致するとは限りません。
発注側にも難しさがあります。調査票に「実施済み」と書かれていても、対策の範囲や運用の実態までは分からない。受注側は、取引先ごとに異なる質問や資料の提出に対応しなければならない。こうした双方の負担を減らし、共通の基準で対策状況を確かめるために整備が進められているのが、SCS評価制度です。
なぜ取引先の対策を評価する制度が必要なのか
一社のセキュリティ上の問題が、その企業だけで収まるとは限りません。仕入先のシステムが止まれば納品が遅れ、共有アカウントや遠隔接続が悪用されれば、取引先の情報やシステムにも影響が及ぶ可能性があります。そのため、セキュリティ対策は社内のIT管理に加え、取引を続けるうえで互いに確認すべき事項になっています。
ただ、各社が独自の調査票で確認していては、回答する側に重複した作業が生まれます。確認する側も、回答内容が十分なのか、どの水準まで求めるべきなのかを判断しにくくなります。
SCS評価制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。企業の対策状況を共通の基準で評価・可視化する仕組みで、クラウドを含む企業等のIT基盤が対象です。製造設備などの制御システムや、提供する製品そのものを一律に認証する制度とは区別します。
★3と★4の対策水準と評価方法
Microsoft 365のセキュリティを含む取引先の対策を確認するには、「実施しているか」に加えて、「どの水準まで実施するか」を共有する必要があります。その目安となる段階が、★3・★4です。| 比較項目 | ★3 | ★4 |
| 位置づけ | 基礎的な組織的対策とシステム防御を中心とする水準 | ★3を基礎に、侵入後の被害拡大防止や取引先への影響抑制まで広げた水準 |
| 主な確認対象 | 基礎的な安全管理と防御策の実施状況 | 防御に加え、検知・対応やサプライチェーンを意識した対策の実施状況 |
| 評価方法 | セキュリティ専門家の確認を受けた自己評価 | 第三者評価と技術検証 |
★3も、自社でチェックを付ければ完了する仕組みではありません。専門家による確認が必要です。★4では要求される対策の範囲が広がり、第三者による評価を受けます。
「中小企業は★3、大企業は★4」という規模による区分でもありません。少人数の企業でも、取引先の重要情報を扱っていたり、供給の停止が相手の事業に直結したりする場合があります。
必要な準備を決めるには、まず取引先が求める段階と対象範囲を確認します。製品を先に購入し、その後で要求を満たせるか調べる順序で進めると、対策の過不足が生じかねません。

制度の開始予定と準備を進める時期
経済産業省は、★3・★4について2026年度末頃の制度開始と申請受付開始を目指すとしています。IPAも2026年10月9日公表の注意喚起で、2027年3月の制度開始に向けて準備中と案内しています。開始日が確定したという意味ではないため、申請を検討する際は最新の公表資料を確認してください。制度の開始日は、すべての企業に共通する取得期限ではありません。ただし、申請受付が始まってから準備すれば間に合うとも限りません。
SCS評価制度は任意の制度であり、取得を取引条件とするかどうかは、契約当事者間で決める事項です。未取得であれば自動的に取引できなくなる、というものではありません。
経済産業省は、★3・★4について2026年度末頃の制度開始と申請受付開始を目指すとしています。IPAも「SCS評価制度 FAQ」で、★3・★4は2027年3月頃の運用開始を予定していると案内しています。開始日が確定したという意味ではないため、申請を検討する際は最新の公表資料を確認してください。
例えば、契約更新までに対策状況の説明を求められ、そこで初めて調べ始めるとします。アカウント、PC、共有権限の管理担当がそれぞれ異なり、作業記録もそろっていなければ、現状を把握するだけで時間がかかります。設定変更に加え、社内承認や従業員への案内、委託先との契約調整が必要になることもあります。
準備が遅れると、次のような負担が生じます。
- 説明資料が期限までにそろわない。 対策を実施していても、その範囲や記録を示せず、追加確認が続く。
- 日常業務と是正対応が重なる。兼任担当者が問い合わせ対応を続けながら、設定や規程、記録を整えることになる。
- 追加費用を急いで判断してしまう。 既存機能を調べる余裕がなく、製品を追加しても運用上の不足が残る。
Microsoft 365の対策状況を確認する
制度への準備では、現在の設定、運用、記録を要求事項と照合します。Microsoft 365のセキュリティ設定・運用で対応できる項目と、組織として整える項目を分けて扱う必要があります。AdvangeのDeskMate Secureは、既存のMicrosoft 365環境の診断と継続管理を支援するサービスです。アカウントや端末、共有設定の管理など、具体的な対応範囲は利用環境と契約に応じて確認します。
これらは、SCSへの準備のうち、Microsoft 365に関わる技術対策や日常運用を支える取り組みです。DeskMate Secureの利用だけで制度全体への対応が完了したり、★3・★4を取得できたりするものではありません。 組織体制や取引先管理などは、制度の要求に沿って別途整える必要があります。
取引先から対策状況の説明を求められている場合は、確認票と現在の運用資料をご用意ください。Advangeでは、Microsoft 365に関わる設定・運用の見直しについてご相談いただけます。現在の設定と運用記録をそろえるところから、一緒に始めましょう。
参考資料
経済産業省 SCS評価制度(制度構築方針) https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html
IPA SCS評価制度の詳細情報 https://www.ipa.go.jp/security/scs/
IPA SCS評価制度 FAQ https://www.ipa.go.jp/security/scs/faq.html
IPA セキュリティ専門家・評価機関について https://www.ipa.go.jp/security/scs/
参照日 2026年10月27日



