26件という数字は、7つの大分類にどう配られているか
★3の要求事項は、わずか26件です。経済産業省と内閣官房国家サイバー統括室が2026年3月27日に公表した「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（以下、構築方針）と、同時に公開された要求事項・評価基準のExcelで確認できます。上位の★4は43件で、★3の26件はすべて★4にも含まれます。
ただし、26件を「26個のチェック項目」と受け取ると見誤ります。要求事項1件の下に評価基準が複数ぶら下がっており、Excelを数えると評価基準は★3で81項目、★4で153項目ありました。合格には原則としてすべての評価基準への適合が求められるため、実際の作業量は81という数字のほうに近いと考えたほうが安全です。
大分類ごとに配分を並べたのが次の表です（当サイトが公開Excelの「★3」「★4」欄を集計）。
| 大分類 | ★3 要求事項 | ★4 要求事項 | ★3 評価基準 | ★4 評価基準 |
|---|---|---|---|---|
| ガバナンスの整備 | 3 | 6 | 8 | 19 |
| 取引先管理 | 3 | 5 | 4 | 7 |
| リスクの特定 | 4 | 6 | 11 | 29 |
| 攻撃等の防御 | 13 | 21 | 48 | 82 |
| 攻撃等の検知 | 1 | 3 | 3 | 8 |
| インシデントへの対応 | 1 | 1 | 6 | 6 |
| インシデントからの復旧 | 1 | 1 | 1 | 2 |
| 合計 | 26 | 43 | 81 | 153 |
★3の半分にあたる13件が「攻撃等の防御」に集まり、評価基準で見ると81項目中48項目、約6割を占めます。ID管理、パスワード、アクセス権、バックアップ、パッチ適用の手続、マルウェア対策、ネットワーク境界防護といった、IT部門が日常的に扱っている項目です。一方、インシデント対応と復旧はそれぞれ1件しかありません。★3は「起きたときにどう動くか」より「入られにくくする」側に重心を置いた設計だと読めます。
43件、5分野と並べると差の理由が見える
同じ数字を他の基準と並べると、26件がどの水準を狙っているのかが分かります。構築方針は★3の参考にした基準として、自動車工業会・部品工業会の「自工会・部工会サイバーセキュリティガイドライン」のレベル1と、英国の Cyber Essentials を挙げています。★4の参考は同ガイドラインのレベル2〜3（レベル3は一部）と分野別ガイドラインです。
| 比べる対象 | 要求の数・まとまり | 評価のしかた | 有効期間 | 登録料（2028年3月末までの申請） |
|---|---|---|---|---|
| SCS ★3 | 要求事項26件／評価基準81項目 | 専門家の確認を経た自己評価 | 1年 | 1万円（1年分） |
| SCS ★4 | 要求事項43件／評価基準153項目 | 評価機関による第三者評価＋技術検証（実地審査あり） | 3年（毎年自己評価を提出） | 6万円（3年分） |
| 英国 Cyber Essentials | 技術的コントロール5分野 | 自己評価と独立した審査の組み合わせ（Plusは技術テストで実効性を検証） | 本稿では未確認 | 組織規模に応じて£320+VATから |
登録料はIPAが2026年9月18日に公表した料金設定によります。Cyber Essentialsの5分野は、英国国家サイバーセキュリティセンター（NCSC）の説明ではファイアウォール、安全な構成、セキュリティ更新の管理、ユーザーアクセス制御、マルウェア対策です。
5分野と26件の差は、ほぼ「技術以外」の部分で説明がつきます。Cyber Essentialsの5分野は、★3でいえば「攻撃等の防御」の一部にほぼ収まります。★3はそこに、推進部門の決定や守秘義務のルールといったガバナンス3件、取引先との関係把握やインシデント時の役割分担といった取引先管理3件、インシデント対応手順と復旧準備を足しています。サプライチェーン上の取引で使う前提の制度なので、取引相手との約束事が数に入ってくるわけです。
★3から★4への17件の増分は性格が違います。増えるのは、サイバー攻撃の監視・分析体制、脆弱性の管理体制、ログの取得と定期レビュー、サポート期限切れのOS・ソフトウェアの更改、可搬媒体の制限、サーバ設置エリアの入退室管理、データ暗号化などです。「ルールがあるか」から「継続して回っているか」に問いが移るため、評価基準は81から153へとほぼ倍になります。
OTは対象外、ではMESサーバはどちら側か
構築方針は、制度の対象を「サプライチェーンを構成する企業等のIT基盤（クラウド環境で運用するものも含む）」としています。製造環境などの制御（OT）システムと、発注元に納める製品は、求められる対応が基本的に異なるという理由で直接の対象にせず、他の制度・ガイドラインで対策する想定です。MESの担当者にとって問題になるのは、この線がMESのちょうど上を通りかねないことです。
構築方針が示す「適用範囲に含むもの」は、全体の業務に共通するIT基盤を構成するサーバ群、人が使うパソコンやスマートデバイス、クラウドサービスなど他社と責任を共有するもの、そして外部ネットワークとの境界を定めるファイアウォール、ルータ、VPN装置です。インターネット公開サーバは必ず含めるとされています。「含めないもの」の例として挙がっているのは、一方向セキュリティゲートウェイで外部ネットワークと区切られた製造拠点の制御システムです。
MESという言葉は構築方針の対象範囲の説明に出てきません。ISA-95の階層でいえばMESはレベル3にあり、ERPとは社内ネットワークで、設備とはOTネットワークでつながっています。多くの工場では、MESサーバは「全社共通のIT基盤」とも「一方向ゲートウェイの内側の制御システム」とも言い切れない位置にあります。
ここから先は推測です。構築方針は、IT基盤とつながっているが適用範囲に含めないと判断したものについて、VLANやファイアウォールで範囲内外の通信を必要最小限にするよう求めています。したがってMESサーバを範囲から外すこと自体は選べるものの、その場合はERP連携や帳票出力などの通信を棚卸しして絞ったうえで、適用範囲の妥当性を★3ならセキュリティ専門家、★4なら評価機関に確認してもらう流れになると考えられます。逆に、MESベンダーのリモート保守に使うVPN装置は「他組織の内部システムへ接続する際の境界を構成する機器」として、MESサーバの扱いにかかわらず範囲に入る可能性が高いと見ています。MESとOTの守り方そのものは、IEC 62443の解説とMES／OTセキュリティの基礎で整理しています。
17件の増分は、MESの運用で何に当たるか
★3と★4の差17件を工場のMESに当てはめると、重くなりやすい項目がいくつかあります。代表はサポート期限の切れたOS・ソフトウェアの更改（要求事項4-4-2）です。MESの端末やサーバは設備と同じ年数使われることが多く、古いWindowsが残っている工場は珍しくありません。MESを適用範囲に含めて★4を目指すなら、この1件が更改計画そのものになります。
ログの取得と定期レビュー（4-4-3）も、MES周りでは手薄になりがちです。2026年10月にIPAが求めたログ点検を想定の工場に当てはめた前回の記事では、外部接点6つのうち3カ月分のログが残っていたのは2つでした。可搬媒体の制限（4-1-9）は、レシピや検査データをUSBメモリで運んでいる現場の手順と直接ぶつかります。
日程の面では、★3・★4の登録受付は2027年3月以降に始まる予定で、IPAの料金表もそれを前提にしています。要求事項の解説書と、自社で適合・不適合を判断するための取得ガイドは「2026年10月頃公開予定」とされていますが、本稿執筆時点（2026年10月21日）のIPAの要求事項ページはまだ予定の表記のままでした。中小企業向けには、IPAが認定した15事業者が★3・★4の取得を無償で支援する「お助け隊サービス（新類型）」の実証が2026年10月から2027年9月まで行われています（申込みは各事業者経由）。
構築方針の案に寄せられた意見は93者569件ありました。工場の範囲をどう扱うかは、解説書や評価ガイドでさらに具体化される可能性があり、出た時点で本記事の推測部分は更新します。MES利用企業側のインシデント経験の数字はMESユーザーの46%がインシデントを経験している記事にまとめています。
SCS評価制度の★を取らないと、取引できなくなりますか？
制度自体は取得を義務づけていません。構築方針は、2社間の取引契約などで発注元が委託先に適切な★を示し、対策を促す使い方を想定しています。格付け制度ではないとも明記しています。ただし発注元が契約条件に★を入れれば、その取引では事実上の要件になります。
★3を持っていないと★4は取れませんか？
取れます。IPAの説明では、上位の段階は下位で求められる事項を包括するため、★3を先に取得していなければ★4を取得できないという関係にはなりません。
工場の制御システムは一切見られないのですか？
構築方針は、製造環境などの制御（OT）システムを直接の対象にしないとしています。ただし、IT基盤とつながったまま範囲外とする場合は、ネットワーク機器で範囲内外の通信を必要最小限にすることが求められます。OTそのものの対策はIEC 62443など他の基準で考えることになります。
- サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（SCS評価制度の構築方針）を公表しました（経済産業省、2026年3月27日）
- サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針 本文PDF（経済産業省・内閣官房国家サイバー統括室、2026年3月27日／IPA掲載）
- ★3・★4 要求事項・評価基準（IPA、2026年4月21日公開）
- SCS評価制度の詳細情報（IPA、2026年5月29日更新）
- SCS評価制度 料金設定のお知らせ（IPA、2026年9月18日）
- 中小企業向け「サイバーセキュリティお助け隊サービス（新類型）」実証事業を開始します（経済産業省、2026年9月15日）
- サイバーセキュリティお助け隊サービス（新類型）実証事業（IPA、2026年10月20日更新）
- Cyber Essentials overview（英国 National Cyber Security Centre）
この記事に出てくる用語
この記事を書いた人
DELMIA Apriso を中核とした MES / 製造DX の導入・運用・人材育成を手がけるITコンサルティング企業。ISO 9001:2015 / ISO 27001:2022 認証取得。 日本・中国・米国で製造業のMES導入を手がけた実務者が、欧米・中国の一次情報にあたって書いています。
