【決定版】「SCS評価制度、御社は★いくつ？」に慌てないための、いちばん優しいセキュリティの基本の「き」
はじめに
最近、取引先から「SCS評価制【決定版】「SCS評価制度、御社は★いくつ？」に慌てないための、いちばん優しいセキュリティの基本の「き」度」について聞かれたり、「これからは★（星）で格付けされる時代」といった言葉を広告やセミナーで見かけたりして、不安に思っていませんか？
特に製造業や地域を支える中小企業の皆様から、「うちは何もしていないけれど、取引を切られたりしないだろうか」という切実なご相談をいただくことが増えました。
先に、いちばん大事な結論をお伝えします。
慌てる必要は、まったくありません。
不安をあおる情報はこれからも増えると思いますが、落ち着いて「これは何の話なのか」を一緒に整理すれば、やるべきことはとてもシンプルです。
お時間を5分だけください。コーヒーでも飲みながら、リラックスして読んでみてくださいね。
1. SCS評価制度って、結局なんですか？
ひとことで言うと、取引先に対して、自社のセキュリティ対策の状況を「★」でわかりやすく示すための、国の新しい仕組みです。経済産業省と内閣官房の国家サイバー統括室が主導し、IPA（情報処理推進機構）が運営しています。
背景にあるのは、「サプライチェーン」── つまり、元請けから下請け、協力会社に至るまでの取引のつながり全体を、みんなで少しずつ底上げしていこうという考え方です。
どれほど大きな親会社が強固なセキュリティ対策をしていても、つながっている小さな会社のどこかに「鍵のかけ忘れ」があれば、そこからウイルスが侵入し、サプライチェーン全体が止まってしまいます。実際、近年のサイバー攻撃は、防御の甘い中小企業を「入口」にして本丸の大企業を狙う「サプライチェーン攻撃」が常連となっています。
だからこそ、「お互いに対策の状況を共通のものさしで見えるようにしておきましょうね」という目的で生まれたのが、このSCS評価制度なのです。学校の通知表のように、「うちはここまでやっています」と、正直に示すための制度だと捉えてください。
2. なぜ今、世の中こんなにざわついているのでしょう？
理由は単純で、制度の中身が、だんだんと具体的に決まってきたからです。
2026年3月に、国（経済産業省）がこの制度の進め方の方針（制度構築方針）を公表したことで、関連する情報が一気に増えました。
ここで、冷静に知っておくべき事実があります。
この制度は、2026年度末（2027年3月ごろ）の開始を目指して準備が進められている段階で、まだ始まっていません。
つまり、「今日いきなり★がないと、すぐに取引を切られる」という話ではないのです。準備のための時間は、ちゃんとあります。まずは、ここで一度ホッとしてくださいね。
3. 「★」の中身と、その背骨にある「世界共通のものさし」
★という言葉が、「国から一方的に審査されて点数をつけられる」ような、なんだか怖い印象を与えているかもしれません。ネジを巻き直すようにその段階（グレード）を正しく紐解くと、印象はガラリと変わります。
★1・★2：自己宣言（無料・審査なし）
国（IPA）が用意している「SECURITY ACTION（セキュリティ・アクション）」に登録し、自ら「うちはこの基本対策をやります」と宣言するものです。専門の機関による審査はなく、費用もかかりません。
★3：専門家確認付き 自己評価（基本は自社で点検）
国が定めた「83項目」のチェックリストをもとに、基本は自分たちで点検していきます。そこに専門家の確認を組み合わせた段階です。
★4以上：第三者評価（外部機関による審査）
ようやく外部の機関による評価という段階になります（★5は検討中となっています）。
ここがポイントです。少なくとも最初の段階は、「高いセキュリティ製品を買わないと★が取れないわけではない」のです。むしろ出発点は、自分たちの状況を自分で正直に確認すること。そこに、特別な製品はいりません。
📊 知っておくと背筋が通る「背骨の話」
このSCS評価制度の評価軸は、世界共通のセキュリティフレームワークである「NIST CSF 2.0」に準拠しています。
NIST CSF 2.0では、セキュリティを「特定・防御・検知・対応・復旧」、そして新設された「統治（Govern）」という6つの機能で整理しています。
「統治」が入ったことの意味は、「セキュリティは現場（情シス担当者）に丸投げするものではなく、経営そのものの仕事（経営判断）である」という宣言に他なりません 。世界の標準が、ようやくこの「基本」に追いついてきたのです。
4. AIだ、新制度だと騒がしい今、なぜ「基本」は古びないのか？
「生成AIが悪用される時代だ」「新しい制度ができた」と聞くと、「もう今までの基本対策だけでは足りないのでは？」と不安になりますよね。
実際、IPAが公表した「情報セキュリティ10大脅威 2026」では、1位の「ランサム攻撃（11年連続）」、2位の「サプライチェーン（8年連続）」に続き、3位に「AIのサイバーリスク」が初登場しました。さらに、金融庁や日本銀行、政府横断パッケージでも、AIの脅威を踏まえた対策が要請されています。
しかし、ここで本質を見誤ってはいけません。
AIは、まったく新しい「脅威の扉」を作り出したわけではありません。ただ、すでにある「開けっぱなしの扉」を、超高速かつ大量に通り抜けるようになっただけです。
だからこそ、国が大企業に求めているのも、「全部を完璧に守る」ことではなく、「重要なものを見極めて、優先して守る」という姿勢です。
初期設定のままのパスワード、サポート切れの古い機器、用途不明のサーバー、放置された退職者のアカウント、、こうした「鍵のかけ忘れ（基本の抜け）」ほど、AI時代には致命的になります。だからこそ、基本の徹底が最優先です。
5. 自社を「定期健康診断モデル」で整えよう
では、何から始めればいいのでしょう？
そこで、セキュリティを人間の健康維持と同じように捉える「定期健康診断モデル」（私が前からオススメしてる基本のお話）です。
人間ドックは毎日受ける必要はありません。年に一度でも定期的に受けて、もし異常があれば改善する。それで病気を未然に防げます。
セキュリティも全く同じです。完璧な管理を毎日続けるのは、人手不足の中小企業には不可能です。だからこそ、「定期的に現状を診て、直して、また診る」というサイクル（習慣）を社内に組み込むことが、最大の防御になります。
🩺 診断のあとの「3つの処方箋（Cut・Shift・Watch）」
診断によって自社のIT資産やリスクが「見える化」されたら、次の3つのボックスに整理していきます。
1. Cut（捨てる）
いらない・古い・用途不明のものは思い切って撤去・削除します。使っていない古いパソコン、誰の管理か分からない「幽霊資産」のプリンタやネットワーク機器、退職者のアカウント、昔のキャンペーンページなどは潔く捨てます。いらないものを手放すだけで、侵入される隙は劇的に減り、電気代の削減（SDGs）などコスト面でもメリットが生まれます。
2. Shift（預ける／移す）
自社でアップデートやパッチ適用を追いかけ続けるのが難しいシステムは、信頼できるクラウドサービス（SaaS）に「移す」、あるいはサポートが継続される最新の機器へリプレースします。古いVPN装置やサポート切れのサーバなどを新世代の環境に移行し、MFAや端末認証と連携させる。セキュリティの重たい部分を専門の事業者に「預ける」ことで、現場は本業に集中できるようになります。
3. Watch（見守る／残す）
工場の生産ラインの制御PCなど、「古いけれど、業務上どうしても今すぐには止められない・移せないもの」は「残す」と決めて構いません。ただし、放置するのではなく、定期的に健診を続ける。人間で言えば「持病の経過観察」です。
この「見える化して、3つの処方箋に分ける」というプロセスこそが、SCS評価制度や世界基準（NIST CSF）が求めている対策の土台そのものなのです。
6. 今日からできる、お金をかけない「最初の2ステップ」
「よし、じゃあうちも始めてみよう！」と思ったあなたへ。
今日、この瞬間からお金をかけずに始められる、確実な第一歩はこれだけです。
ステップ①：紙に書き出す（見える化の第一歩）
まずは、社内にあるパソコンやネットワーク機器、使っているクラウドサービスを、一枚の紙に書き出してみましょう。
どこに、何台、誰が使っているか。これだけで「見える化」の第一歩になります。意外と、「これ何だっけ？」という機器が出てくるものです。
ステップ②：無料で宣言する（SECURITY ACTION）
国（IPA）の公式サイトから、「SECURITY ACTION（★1または★2）」を無料で自己宣言しましょう。
これは自分でできる取り組みで、審査も購入も不要です。これだけでSCS評価制度の「★1・★2」にそのまま対応します。
7. セキュリティは「買うもの」ではなく、まず「見えるようにするもの」
AIだ、新制度だ、★による格付けだと聞くと、どうしても「高価なセキュリティ製品を買い込まなければいけないのでは」と焦ってしまいがちです。
しかし、本質はいつもシンプル。
「セキュリティは、高いシステムを買うことではありません。まず、自分たちの足元を『見えるようにする』ことです」
慌てず、やれることから。玄関の鍵が開けっぱなしの家に、どれほど立派な防犯カメラを取り付けても意味がありません。新しいものが増えるほど、足元の基本ができているかどうかが、ますます効いてくるのです。
慌てなくて大丈夫。新しい制度におびえる前に、まずは自社の足元を一枚の紙に書き出すところから。基本のき から、ゆっくり始めていきましょう。
ご参考
定期健康診断モデル、Shift＆Cut＆Watchメソッドはこちらの動画をご覧ください。（静岡県庁公式チャンネルより）
引用元・参考文献
著者・関連著作
『はらたくおじさんのセキュリティ日記 Vol.1 セキュリティ対策の基本の「き」 - 健康診断モデルから始めよう -』SilverworX Books、2025年
『はらたくおじさんのセキュリティ日記 Vol.2 サプライチェーンの守り方（ケース1:工場編）』SilverworX Japan、2025年
『はらたくおじさんのセキュリティ日記 Vol.3 本当にセキュリティ人材は足りない？』SilverworX Japan、2025年
『はらたくおじさんのセキュリティ日記 Vol.4 開院編（ゆかりちゃんと、都田工業）』SilverworX Japan、2026年
『今見直す セキュリティ対策の基本のき』2024年
『2030年を生き残るための生存戦略「Shift & Cut」』SilverworX Japan、2025年
公的機関・政府方針
経済産業省・内閣官房 国家サイバーセキュリティ統括室「SCS評価制度 制度構築方針」（2026年3月公表）
金融庁・日本銀行「フロンティアAIによる脅威変化を踏まえた短期的な対応」要請（2026年5月）
独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」（2026年1月公表）
経済産業省「サイバーセキュリティ経営ガイドライン Ver.3.0」
中小企業庁・総務省「中小企業の情報セキュリティ対策ガイドライン 第3版」
国際セキュリティ基準
米国国立標準技術研究所（NIST）「NIST Cybersecurity Framework (CSF) 2.0 / 1.1」
欧州連合サイバーセキュリティ庁（ENISA）「Threat Landscape」
PCI Security Standards Council「PCI DSS v4.0」
業界団体・専門文献
一般社団法人 JPCERTコーディネーションセンター（JPCERT/CC）「インシデント対応ハンドブック」
日本ネットワークセキュリティ協会（JNSA）「中小企業のための実践的セキュリティ対策集」
#セキュリティ #サイバーセキュリティ #情報セキュリティ #SCS評価制度 #サプライチェーン #中小企業 #経営者 #経営判断 #ガバナンス #DX #経済産業省 #IPA #SECURITYACTION #NIST #AI #はらたくおじさん #定期健康診断モデル #SilverworX #原子拓