セキュリティ対策評価制度とは？★3・★4の準備と使える補助金

取引先から「セキュリティ対策評価制度に対応できますか」と聞かれた、またはこれから聞かれそうだと感じている方に向けた記事です。制度のしくみ、★3と★4のちがい、始まる時期、取引先から求められたときの考え方、準備に使える補助金を順に整理します。

セキュリティ対策評価制度とは？

セキュリティ対策評価制度は、経済産業省が作る「サプライチェーン強化に向けたセキュリティ対策評価制度」の略で、SCS評価制度とも呼ばれます。取引先ごとにばらばらだったセキュリティの確認項目を共通の基準にそろえ、発注する会社と受ける会社の両方の手間を減らすことが目的です。

経済産業省は、この制度を会社の「格付け」ではなく、対策の状況を見えるようにするものだと説明しています。評価の対象は社内のパソコンやサーバー、クラウドなどのIT基盤で、工場の制御システムや取引先に納める製品は、この制度の直接の対象から外れます。

制度が作られた背景には、取引先を入口にした攻撃の広がりがあります。警察庁の「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」では、2026年1〜6月のランサムウェア（データを暗号化して身代金を求める攻撃）の被害報告は123件で、半期として統計を取り始めてから最多でした。被害の約6割が中小企業で、業種では製造業が約3割と最も多く、侵入の入口は社外から社内につなぐVPN機器が約5割を占めました。

復旧に1,000万円以上かかった組織が約6割、1か月未満で復旧できた組織は5割弱にとどまっていて、取引先の1社が止まると発注する側の生産や出荷も止まります。発注する会社が取引先の対策を確かめたい理由はここにあります。

サイバー攻撃への備えに使える補助金の全体は、デジタル化・AI導入補助金のセキュリティ対策推進枠で取り上げています。

★3と★4のちがい

今決まっているのは★3と★4の2段階で、★5は要求事項も始まる時期も検討中です。経済産業省の制度構築方針にある★3と★4の要点を並べると、次のとおりです。

★3は、責任者を決める、パソコンやサーバーの弱点をふさぐ、事故が起きたときの報告の流れを決めるといった、基礎的な体制と防御が中心です。★4はそこに、取引先の管理、攻撃の早い発見、事故のあとの対応、事業を続けるための備えまで加わります。

IPAのよくある質問では、★を取るには、その段階のすべての要求事項と評価基準を満たす必要があり、一部だけ満たしても取れないと説明しています。また経済産業省は、★の取得に特定のセキュリティ製品を入れることは必須ではないとしています。

IPAのSECURITY ACTION（自分で宣言する制度）はこの制度とは別のものですが、補助金の要件や加点では使われ続けています。くわしくはDX認定・SECURITY ACTIONの補助金加点で整理しています。

始まる時期と今の状況

IPAのSCS評価制度のページとよくある質問では、★3と★4の受付を2027年3月ごろに始める予定としています。2026年11月時点で公表済みのものと、これから公表されるものは次のとおりです。

• 公表済み：★3・★4の要求事項と評価基準（2026年10月28日付の第1.1版）
• 2026年12月末ごろの予定：評価を行う評価機関の公表
• 2027年1月以降の予定：★3の確認を行うセキュリティ専門家の公表
• 未定：申請と登録にかかる費用（IPAは「今後公開予定」としています）

★を取った会社の公表は2027年4月以降の予定で、受付が始まってすぐに取引の場で使われるとは限りません。一方で、★3の26項目は今の時点で読めるため、自社でどこが足りないかを先に確かめておくことはできます。

受付の前にできることは、要求事項の一覧と自社の今の対策を見比べ、足りない項目に順番をつけることです。パソコンの見守りや駆け付けをまとめたお助け隊サービスの中身は、お助け隊サービスに使える補助金で取り上げています。

会社のURLを入れるだけで、御社がデジタル化・AI導入補助金の対象になるかAIが確かめます。

取引先から求められたら

経済産業省の制度構築方針では、発注する会社が取引先に合った段階の★を示して対策を促し、その状況を確かめる使い方を想定しています。早くから使われる業種として、取引のつながりが強い自動車や半導体などの製造業、流通、金融が挙げられています。

取引先から求められたときは、次の3つを先に確かめると、準備の量と時期がはっきりします。

1. どの段階か：★3か★4かで、要求事項の数も評価のしかたも変わります。
2. いつまでか：受付は2027年3月ごろからの予定で、それより前に取ることはできません。
3. どの範囲か：会社全体か、その取引に使うIT基盤だけかで、手を入れる場所が変わります。

経済産業省は、対策にかかる費用について発注する会社と受ける会社が話し合えるよう、取引先への求め方の考え方を整理するとしています。費用を誰が持つかは、★の話と同時に取引先と相談しておくと進めやすくなります。

経済産業省のページの冒頭には、この制度を口実にした不適切な勧誘への注意も載っています。「★を取らないと取引がなくなる」と言って特定の製品を勧められたときは、要求事項の一覧で本当に必要な対策かを確かめてから決めます。ソフトの選び方はウイルス対策・EDRに使える補助金で整理しています。

準備に使える補助金

★3の準備でまず使いやすいのは、デジタル化・AI導入補助金のセキュリティ対策推進枠です。IPAの「サイバーセキュリティお助け隊サービスリスト」に載り、事務局に登録されたサービスの利用料（最大2年分）が補助の対象で、補助率は１／２以内、小規模事業者は２／３以内、補助額は５万円～１５０万円です¹。

お助け隊サービスは、パソコンやネットワークの見守り、困ったときの相談と駆け付け、事故のときの保険をひとまとめにした民間のサービスです。サイトに登録されたお助け隊サービスのうち、扱う会社の多いものの例です。

経済産業省は、中小企業が★3・★4を安く手軽に取れるように、お助け隊サービスの新しい類型を作るとしていて、2026年9月から試しの提供を始めています。新しい類型が補助の対象になるかはまだ決まっていないため、申請の前に事務局の登録を確かめます。

ウイルス対策やEDR（パソコンの不審な動きを見つけて止めるソフト）、ログイン管理などを入れるときは、通常枠の登録ソフトとして申請する方法もあります。枠ごとの条件と申請の順番はデジタル化・AI導入補助金の詳しい条件にまとめています。今の公募の交付申請の締切は2026年12月1日（火）17:00です。

今からできる準備の順番

受付まで時間があるうちに、費用のかからない作業から進めると、補助金の申請と★の準備を同じ流れで進められます。

1. 要求事項を読む：経済産業省が公開している★3・★4の要求事項と評価基準の一覧で、自社の対策と見比べます。
2. SECURITY ACTIONを宣言する：一つ星か二つ星の宣言は、デジタル化・AI導入補助金のすべての枠で申請の要件です。
3. 足りない対策に順番をつける：VPN機器の更新、パソコンの見守り、バックアップなど、被害の多い入口から手を入れます。
4. 補助金で入れるものを決める：お助け隊サービスは推進枠、ソフトは通常枠と、枠を分けて考えます。
5. 取引先と時期をすり合わせる：求められている段階と時期、費用の持ち方を確かめます。

推進枠では、SECURITY ACTIONの二つ星を宣言していると加点になります。二つ星には自社診断と基本方針の公開が必要なため、★3の準備と一緒に進めると手間が重なりません²。加点の取り方はDX・セキュリティの加点でも整理しています。

間違えやすい点

1. すぐに★を取れると思う：★3・★4の受付は2027年3月ごろからの予定で、今は要求事項を読んで準備する段階です。
2. 宣言の制度と同じと思う：SECURITY ACTIONは自分で宣言する制度で、★3・★4はすべての要求事項を満たしたうえで確認や評価を受けます。
3. 決まった製品が必要だと思う：経済産業省は、特定の製品を入れることは必須ではないとしています。
4. 交付決定の前に契約する：推進枠では、交付決定の前にサービスを契約・発注すると補助の対象になりません。
5. 推進枠に何度も申請する：推進枠は1法人・1個人事業主につき1回だけで、過去にお助け隊サービスで交付決定を受けた会社は申請できません。

推進枠に申請できるかの条件は、セキュリティ対策推進枠の対象と申請条件で取り上げています。

専門家から見たポイント

セキュリティ対策評価制度は始まる前の制度ですが、取引先からの要望はそれより先に来ることがあります。補助金は「★を取るための費用」ではなく「足りない対策を埋める費用」として使うと、制度の細かい部分が決まる前でもむだになりません。

向いている会社

自動車や半導体などの部品を納めている製造業、流通や金融と取引がある会社は、早めに★3の要求事項を読んでおく意味があります。デジタル化・AI導入補助金の採択率は26年4次で44.4%で、推進枠は通常枠と同じ期間に別に申請できるため、ソフトとお助け隊サービスを分けて申請する組み立ても取れます。

急がなくてよい会社

取引先からまだ何も言われていない会社は、★を取ること自体を急ぐより、SECURITY ACTIONの宣言とパソコンの見守りなど、どの段階でも必要になる対策から入るほうが順番として自然です。

取引先の求めに合わせて、どの枠で何を入れるかの組み立ては会社ごとに変わります。御社の場合の進め方は、専門家に無料で相談して確かめられます。

専門家に無料で相談する

よくある質問

セキュリティ対策評価制度は義務？

いつから申請できる？

★3を取るのに費用はかかる？

SECURITY ACTIONを宣言していれば★3になる？

工場の機械もセキュリティ対策評価制度の対象？