SCS評価制度とリモートアクセス
サプライチェーン強化に向けたセキュリティ対策評価制度は、取引先から求められる水準を共通の基準で示す任意の制度である。制御システムそのものは直接の評価対象に入らない一方で、外部とつながる境界の機器は対象に含まれる。この線引きが、工場設備の保守にリモートアクセスを使う企業にとっての実務上の要点になる。
情報基準日 2026年7月22日 2026年7月時点で申請受付前 公表予定の時期は変更されうる
★はまだ誰も持っていない
2026年7月22日の時点で申請の受付は始まっておらず、★3または★4を取得した企業は存在しない。当社も同じ位置にいる。産業設備へ外部から接続する経路を提供する事業者は、顧客が★4を目指すときに対策状況の把握対象になるため、当社の現状を先に記しておく。
段階を名乗るには手続きが要る
★3はセキュリティ専門家の確認を経た自己評価、★4は指定された評価機関による第三者評価による。その専門家の公表が2027年1月以降、評価機関の公表が2026年12月末頃と案内されており、制度は名乗るための仕組みをまだ整えている段階にある。各評価基準を何をもって適合とするかを示す解説書も2026年10月頃の公表予定である。手続きを経ずに段階を名乗ることは、この制度の設計上できない。
当社としての取り組み
当社は顧客のサプライチェーンを構成する事業者として評価を受ける立場にあり、制度の運用が始まった段階での取得を検討している。時期については制度側の整備状況をふまえて判断する。それまでのあいだも、顧客が自己評価を進める場面での確認には個別に応じる。
制度の骨格
経済産業省と内閣官房国家サイバー統括室が制度を設計し、情報処理推進機構が運営する。委託元が取引契約などの場面で委託先に段階を示し、対策の実施状況を確認する使い方が想定されている。
任意の制度である
制度そのものが★の取得を事業者に義務づけるものではない。取得していないことを理由に商取引が規制されたり入札から除外されたりするという説明は、制度の趣旨と異なるとして所管省庁が2026年4月に注意喚起を出している。
組織を評価する
評価の対象は企業のIT基盤と組織的な対策であり、製品を認証する制度ではない。特定のセキュリティ対策製品を導入することが取得の要件になっているわけでもない。
格付けではない
事業者どうしのセキュリティ対策の水準を競わせる格付け制度ではないと制度構築方針に明記されている。★の取得は取得時または更新時に所定の水準を満たしていることを示すもので、その後の安全を保証するものではない。
二社間の取引を前提とする
委託元が委託先の対策を外から判断しにくいという課題と、委託先が取引先ごとに異なる要求を受けて負担が重くなるという課題を、共通の基準で同時に解こうとする仕組みである。
自社はどちらの立場か
同じ制度でも、取引先に水準を求める側と、求められる側では読むべき箇所が変わる。
委託元として取引先に求める
委託先にどの段階を求めるかを判断する材料として、制度は情報管理のリスクを挙げている。取引先が自社のシステムやネットワークへアクセスできるか、アクセスできる範囲はどこまでかという観点が、判断基準に明記されている。保守のために自社の設備へ接続してくる取引先は、この観点で高い段階を求める対象になりやすい。
委託先として求められる
装置メーカーや保守を担う事業者は、委託元から段階を提示される側に立つ。★4の要求事項には、取引先の環境から発注元の内部システムへアクセスできる場合に、その取引先を対策状況の把握対象に含めるという条件がある。客先へ接続する経路を持っていること自体が、名指しの条件になっている。
★3と★4の違い
現時点で具体化されているのは★3と★4であり、★5は今後の検討対象とされている。上位の段階は下位の段階を包括するため、★3を取得していなければ★4を取得できないという関係にはならない。
| 項目 | ★3 | ★4 |
|---|---|---|
| 水準 | 一般的なサイバー脅威に対処しうること | 初期侵入の防御にとどまらず被害拡大を防ぎ取引先のデータとシステムの保護に寄与すること |
| 要求事項数 | 26件 | 43件 |
| 評価の方法 | セキュリティ専門家の確認を経た自己評価 | 指定された評価機関による第三者評価と技術検証 |
| 評価の内容 | 文書確認 | 文書確認に実地審査と技術検証を加える |
| 有効期間 | 1年 | 3年 |
| 参照された基準 | 自工会・部工会ガイドラインのレベル1 | 同ガイドラインのレベル2 |
合格の基準は★3と★4のいずれも、原則としてすべての評価基準に適合していることとされている。要求事項の大分類は7つあり、ガバナンスの整備、取引先管理、リスクの特定、攻撃等の防御、攻撃等の検知、インシデントへの対応、インシデントからの復旧で構成される。
制御システムは対象外でも境界は対象になる
制度が評価するのは企業のIT基盤である。製造環境の制御システムと、発注元に提供する製品は直接の対象に入らない。ここだけを読むと工場には関係がないように見える。しかし制度が対象に含めるものの一覧には、適用範囲の外側との境界を形づくるネットワーク機器が挙げられており、ファイアウォール、ルータ、仮想プライベートネットワーク装置が例として示されている。他の組織の内部システムへ接続する際の境界を構成する機器も、そこに含まれる。
製造環境の制御システムと発注元に提供する製品
企業のITシステムと組織的な対策
中央の帯が制度の対象に含まれる境界である。制御システムを対象の外に置くという判断は、その境界が引けていることを前提にしている。制度は、対象の外に置いたものとの通信を必要最小限にすることも求めている。
★4の技術検証が見にいく先
★4では、インターネットに公開している機器のうち、脆弱性を悪用された場合に組織の内部へ侵入されるおそれが高い機器を対象として、既知の脆弱性を用いた一般的な攻撃パターンを試す技術検証が行われる。制度構築方針は、その例として仮想プライベートネットワーク装置とルータを挙げている。保守のために外から入る経路は、書類の上で説明するだけでなく、実際に検査される対象になる。
リモートアクセスに関わる要求事項
公開されている要求事項と評価基準のうち、外部からの接続に関わるものを抜き出すと次のようになる。★3の段階から求められている項目が多い。
| 項番 | 段階 | 内容 |
|---|---|---|
| 4-4-4-3 | ★3 | インターネットとの境界に置かれたネットワーク機器のOSとファームウェアに、CVSS基本値7.0以上の脆弱性がないこと |
| 4-4-4-2 | ★3 | 深刻度が高い脆弱性は14日以内に更新する。更新できない場合は機能の無効化や分離、遮断で影響を下げる |
| 4-5-1-1 | ★3 | すべてのファイアウォールとルータの管理用パスワードを初期値から変更する。またはリモートアクセスを完全に無効にする |
| 4-5-1-4 | ★3 | 認証されないインバウンドの通信を遮断する |
| 4-5-1-7 | ★3 | ファイアウォールのルールをインターネット経由で変更する場合は多要素認証か信頼できるIPアドレスからに限る |
| 4-1-3-5 | ★3 | インターネット経由で社内環境へ接続する場合と管理者がアクセスする場合は常に多要素認証を用いる |
| 4-1-1 | ★3 | 利用者IDの発行と変更と削除を申請と承認のうえで行う。共有IDは原則として使わない |
| 4-1-7 | ★3 | アクセス権を必要最小限にとどめ、年に1回以上棚卸しし、利用状況を監視する |
| 3-1-2-2 | ★3 | ネットワーク機器の把握する情報に保守事業者を含める。ネットワーク図を作成し年に1回点検する |
| 2-1-1-1 | ★3 | 自社以外が管理し自社の資産が接続しているシステムを把握する仕組みを整える |
| 4-4-3-1 | ★4 | ファイアウォールのログを6か月保管する。取引先と接続する閉域網の入口に置かれたものを含む |
| 2-1-5-1 | ★4 | 取引先との契約が終了したときに機密情報とアクセス権を回収し破棄する手順を整える |
現場の言葉に置き換える
並んだ項番が問うているのは、結局のところ次の5つである。誰が外から入っているか。いつ入ったか。どの設備まで届くか。どの権限で操作したか。その記録がどれだけ残っているか。制度は方式を指定していない。求めているのは、範囲を限ることと、個人を特定できることと、記録が残っていることである。
いまのやり方が詰まるところ
前の節に並んだ項目を、多くの現場でいま使われている構成に当ててみると、詰まる箇所がはっきりする。どれも珍しい話ではなく、長く運用されてきた仕組みが制度の問いに答えにくいというだけである。
一度つなぐと広く届く経路
拠点間をまるごとつなぐ構成では、接続した先から到達できる範囲が広い。どの設備まで届いているかを設備の単位で示すことが難しく、必要最小限に絞ったことを説明する材料も残らない。棚卸しをしようにも、棚卸しの対象が経路であって設備ではないため、粒度が合わない。
関係者で共有されたID
保守の現場では、事業者ごとに1つのIDを共有する運用が残っていることがある。この形では、実際に操作したのが誰かを後から特定できない。発行と変更と削除を申請と承認のうえで行うという求めにも、記録の側から応えられない。
散らばって短いログ
接続の記録が機器ごとに散らばり、保管される期間もまちまちであれば、6か月分をそろえて示すことができない。取引先と接続する閉域網の入口に置かれた機器の記録まで含めて求められると、そもそもどこに何が残っているかの把握から始めることになる。
台帳に載っていない接続
設備の導入時に事業者が引いた回線が、その後の台帳やネットワーク図に反映されないまま動いていることがある。把握できていない機器は、脆弱性の有無を確かめる対象にもならない。境界の機器に深刻な脆弱性を残さないという求めは、その機器の存在を知っていることを前提にしている。
4つに共通しているのは、対策そのものが足りないというより、実施していることを外から確かめられる形になっていないという点である。★4では、この状態のまま境界の機器が実際に検査される。
Secomeaの機能が担うところ
前の節で挙げた詰まりのうち、外部から設備へ接続する部分は、産業用のリモートアクセスの仕組みそのものを組み替えることで形が変わる。ここから先はSecomeaの機能が直接担う範囲である。
利用者は設備の単位で許可された先だけに到達する。接続はSecomeaクラウドで折り返す形をとり、外から中へ向けて待ち受ける口を設備側に用意しない。誰がどの設備へ接続したかは同じ場所に記録される。
つなぎ方を変える
待ち受ける口を設備側に作らない
設備の側に置いたゲートウェイは、外からの接続を待ち受けず、自ら外へ出てSecomeaクラウドで折り返す。保守のために設備側でポートを開ける必要がなく、インターネットに公開する機器が増えない。★4の技術検証はインターネットに公開している機器を対象として既知の脆弱性を用いた攻撃パターンを試すため、検査にさらす面そのものが小さくなる。経路は暗号化される。
届く範囲を設備の単位で限る
利用者ごとに、接続できる機器を指定する。拠点をまるごとつなぐのではなく、許可した設備だけに到達する。同じ利用者であっても、許可していない設備には届かない。ひとつの経路を開いたことが、そのまま内部の広い範囲への到達につながらない。
つなぎっぱなしにしない
接続を常時つないだままにせず、必要なときだけ開くことができる。作業が終われば閉じ、次に必要になればまた開く。経路が開いている時間そのものを短くできる。
誰が何をしたかを確かめられるようにする
操作した人を特定できるようにする
利用者ごとにIDを持たせ、多要素認証を組み合わせる。事業者ごとにひとつのIDを共有するのではなく個人の単位で接続するため、操作したのが誰かを取り違えない。
権限をすぐ止められるようにする
案件が終わったとき、担当が替わったとき、取引そのものが終了したときに、その利用者の接続を止める。設備を一台ずつ回るのではなく、クラウドの側で完結する。取引先との契約が終了したときにアクセス権を回収するという求めに、実務として応じられる。
記録を一箇所に残す
いつ誰がどの設備へ接続したかという記録が、機器ごとに散らばらず一箇所に残る。取引先の監査や自己評価の場面で、実施していることを説明する材料になる。ただし制度が求めるログの範囲はこれより広く、ファイアウォールや認証サーバの所定の記録を6か月保管し、月に1回以上確認することまでを含む。記録の一部を担うものであって、その項目全体に応えるものではない。
ここで示したのは、適用範囲と最新の制度文書を確認したうえで、リモートアクセスに関わる項目への対応を支援するというところまでである。制度は特定のセキュリティ対策製品の導入を求めていない。方針を定めること、対象となるすべてのシステムへ適用すること、棚卸しを実施することは、申請する組織の側の仕事として残る。
自社で整えるところ
機能で担えるのはいま述べた範囲までである。★の取得は組織が受ける評価であり、原則としてすべての評価基準に適合していることが求められる。要求事項は7つの大分類にわたり、その大半はリモートアクセスの外側にある。
★の取得に求められる範囲の全体のうち、Secomeaの機能が担うのは外部接続に関わる部分にとどまる。残る領域を引き受けるのは自社の体制であり、その内訳を次に示す。
Secomeaの機能が担う
外部から設備へ接続する経路の設計。接続できる範囲の限定。利用者ごとの認証と権限の管理。接続の記録。
自社とシステムインテグレータが整える
社内規程と体制の整備。従業員への教育と訓練。資産台帳とネットワーク図の作成と点検。機密情報の区分と管理。保管するデータの暗号化。バックアップと復旧の準備。修正プログラムの適用。マルウェア対策。サーバを置く場所の入退室管理。取引先との契約と対策状況の確認。事故が起きたときの対応手順。
自社とシステムインテグレータが整える側に並んだものは、製品を導入して片づく種類の仕事ではない。ここを引き受けるのは自社の体制であり、伴走するとすれば地域や業種に通じた事業者になる。Secomeaは70以上のパートナー網とともに、外部接続の部分から関わる。
顧客が評価を受けるときに変わること
顧客が制度に取り組む場面で、当社の関わる部分がどう変わるかを記しておく。
顧客の評価では説明の負荷が下がる
顧客がリモートアクセスに関わる項目を自己評価する場面では、誰がいつどの設備へどの権限で接続し記録がどれだけ残っているかを示すことになる。Secomeaを使っている範囲については、この5つがシステムの側から取り出せる。機器ごとに散らばった記録を集め直す作業が減る。減るのは対応そのものではなく、実施していることを示す作業である。
評価される側として確認に応じる
顧客のIT基盤に当社のクラウドが含まれる場合、外部の情報サービスをどう管理しているかという項目で、提供者側の対策状況を確認することが求められる。適用範囲の考え方、責任の分かれ目、運用の状況について、個別の構成に即して回答する。制度の運用開始を待たずに自己評価を進める企業からの確認にも同じように対応する。
これから公表される情報
制度の詳細は段階的に公表されている。次の予定は2026年7月22日時点のものであり、整備の状況によって変わることがある。
2026年8月頃から
制度規程（専門家と評価機関に関する規則を含む）
2026年秋頃
要求事項を満たす実装例をまとめた評価ガイド
2026年10月頃
要求事項の解説書と取得ガイド、申請方法
2026年12月末頃
評価機関の公表
2027年1月以降
セキュリティ専門家の公表
運用開始の時期
制度構築方針は2026年度下期の制度開始を目指すとしており、情報処理推進機構は★3と★4の運用開始を2027年3月頃と案内している。ここでいう制度開始は申請の受付が始まることを指す。2026年7月22日の時点では申請の受付は始まっておらず、★を取得した企業も存在しない。
よくある質問
SCS評価制度への対応は義務ですか。
任意の制度であり、制度そのものが★の取得を義務づけるものではありません。取得していないと商取引が規制される、入札から除外されるといった説明は制度の趣旨と異なるとして、経済産業省と内閣官房国家サイバー統括室が2026年4月27日に注意喚起を出しています。正確な情報は情報処理推進機構の公式サイトで確認してください。
Secomeaは★を取得していますか。
2026年7月22日の時点では申請の受付が始まっておらず、当社を含めて★を取得した企業は存在しません。★を名乗るには手続きが必要で、★3はセキュリティ専門家の確認を経た自己評価、★4は指定された評価機関による第三者評価によります。その専門家の公表は2027年1月以降、評価機関の公表は2026年12月末頃と案内されているため、申請が可能になるのはその後です。当社は評価を受ける立場にあり、制度の運用が始まった段階での取得を検討しています。顧客が自己評価を進める場面での確認には、適用範囲の考え方や責任の分かれ目について個別にご説明しています。
工場の制御システムも評価の対象になりますか。
製造環境などの制御システムは直接の評価対象には含まれません。ただし、適用範囲の外側との境界を形づくるネットワーク機器は対象に含まれます。ファイアウォール、ルータ、仮想プライベートネットワーク装置が例として挙げられており、他の組織の内部システムへ接続する際の境界を構成する機器も同様です。
製品を導入すれば★3や★4を取得できますか。
取得できません。★の取得は組織が受ける評価であり、原則としてすべての評価基準に適合していることが求められます。要求事項には社内規程、教育、バックアップ、物理的な入退室の管理など、製品では代替できないものが多く含まれます。制度も特定のセキュリティ対策製品の導入を求めてはいません。
★3を取ってからでないと★4は取得できませんか。
その関係にはなりません。上位の段階は下位の段階で求められる事項を包括するため、★3を事前に取得していなくても★4を取得することができます。
自工会と部工会のガイドラインとはどう関係しますか。
制度構築方針は、★3が自工会・部工会ガイドラインのレベル1に、★4がレベル2に対応すると記しています。自動車産業のサプライチェーンで同ガイドラインへの対応を進めてきた企業は、その内容が本制度の要求事項と重なる部分を持つことになります。
出典
サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（経済産業省・2026年3月27日）、要求事項・評価基準（2026年4月21日公開）、情報処理推進機構が公開する制度の詳細情報とよくある質問、およびサプライチェーン強化に向けたセキュリティ対策評価制度に係る不適切な勧誘に御注意ください（経済産業省・内閣官房国家サイバー統括室・2026年4月27日）に基づく。本ページの記述は2026年7月22日時点の公表内容による。
外部接続の棚卸しから始める
誰がいつどの設備へ接続しているかを一覧にする作業は、制度の有無にかかわらず必要になる。現状の構成をふまえた進め方について相談を受け付けている。