SCS評価制度とは？取引に関わる会社の対策を、共通の基準で確かめる仕組みです

SCS評価制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。サプライチェーンとは、商品やサービスを届けるまでに関わる会社や事業者のつながりです。外部のシステム会社、保守会社、業務の委託先なども、そのつながりに含まれます。

自社が対策していても、利用している外部サービスが使えなくなれば、自社の業務にも影響が出ます。反対に、自社の事故が、業務を任せている取引先に影響することもあります。対策の状況を共通の基準で確認しやすくするのが、この制度の狙いです。

IPAは2026年10月28日、★3・★4の自己評価等に関するガイド、★4の第三者評価や技術検証に関するガイドなどを公開しました。評価を検討するときは、星の数だけで比較せず、どの範囲にどの対策が求められ、どのように確認されるのかを、IPAの要求事項・評価基準とガイドで確かめましょう。

評価取得が必要かどうかと、日常の備えは分けて考えましょう

制度があることだけを理由に、すべての中小企業や医療・介護事業者に、評価取得が一律に義務付けられるわけではありません。ただし、取引先が調達や委託の条件として、特定の評価や対策を求める場合は、自社の取引にどう関係するかを確認する必要があります。

取引先から「SCSに対応できますか」と聞かれたら、すぐに「できます」と答える前に、次の点を確認してみてください。

• 求められているもの：正式な評価の取得なのか、現時点の対策状況を回答することなのか。
• 対象となる範囲：どの契約、拠点、業務、システムが対象なのか。
• 期限と確認方法：いつまでに、どの水準の対応や、どのような資料の提出が必要なのか。
• 未対応の項目：改善計画の提示でよいのか、取引開始や契約更新までに対策が必要なのか。

この確認ができれば、どこから手を付けるべきか判断しやすくなります。正式な取得を求められていない場合でも、不要なアカウントの停止や、バックアップからの復元確認は進められます。また、SCS評価を取得しても、医療・介護に適用される指針や、個人データの取扱い、事故時の報告に関する確認が不要になるわけではありません。

「対策しています」を、確認した事実で説明できるようにしましょう

取引先への説明に使えるのは、製品名や手順書の有無だけではありません。何を対象に、誰が、いつ確認したか。どこまでできていて、何が残っているか。この情報があると、相手にも自社の担当者にも状況が伝わります。

この表は日常の記録を整理する例です。正式な評価で求められる資料は、評価の対象範囲や基準に沿って確認してください。また、社外に伝える際は、相手が確認する目的に合わせて内容を絞ります。パスワード、患者・利用者の個人情報、詳細な接続情報を、そのまま回答に添える必要はありません。

医療・介護の具体例：クラウドの利用状況と、自施設の対応を分けて伝える

たとえば、訪問介護事業所が、連携先から「介護記録のシステムが停止した場合、どう対応しますか」と聞かれたとします。これは説明用の仮想ケースです。

「クラウドを使っているので大丈夫です」と答えるだけでは、連携先は、訪問が続くのか、予定変更がどこから届くのかを判断できません。説明するときは、自施設で決めていることと、提供会社に確認していることを分けます。

介護記録が使えない場合は、管理者または代わりの責任者が、承認済みの資料で訪問予定と安全に必要な情報を確認します。確認できない訪問については、責任者が対応を判断し、必要に応じて連携先へ連絡します。提供会社の緊急窓口は確認済みですが、データの復元にかかる時間は現在確認中です。

ここで大切なのは、できていないことを取り繕うことではありません。「復元時間は未確認」と分かれば、次に誰に何を聞くかが決まります。確認できたことをBCPに反映し、職員が実際に使える手順へつなげましょう。

診療所でも考え方は同じです。電子カルテの保守を委託していても、停止中の診療をどこまで続けられるか、通常運用へ戻す判断を誰が行うかは、施設側で整理する必要があります。

評価を検討するときは、取得後も続けられるかを確かめます

正式な評価を求められたら、まず対象業務と要求水準を確認し、現在の対策と照らし合わせます。足りない対策が分かったら、設定や機器にかかる費用だけでなく、記録、点検、職員への周知を続ける時間も見積もりましょう。

小規模な職場なら、経営者が取りまとめ役と代役を決め、現場は止まると困る業務を伝え、技術面は保守会社と確認する形から始められます。複数拠点を運営している場合は、一つの拠点で実施している対策を、全拠点で実施済みとして回答しないようにしましょう。

すぐに解消できない課題は、「いま取っている対策」「残っている課題」「次に確認する日」を分けて記録します。評価の取得を検討している段階なら、その状態を正確に伝え、取得済みと受け取られる表現は避けましょう。

5日間の内容を、一つの業務の見直しにつなげましょう

たとえば「介護記録が停止した場合」を選ぶと、保守会社に復元範囲を聞く、現場で代替手順を試す、結果をBCPに反映する、という一連の作業に落とし込めます。別々に見える対策も、一つの業務を軸にすると進めやすくなります。

今日の一歩：「確認できたこと」と「次に確かめること」を一行ずつ残します

止まると困る業務を一つ選び、次のように書いてみてください。

• 対象業務：訪問前に当日の予定と申し送りを確認する。
• 確認できたこと：保守会社の緊急窓口と受付時間を確認した。
• 次に確かめること：記録をどの時点まで復元できるか、検証用のデータで試せるか。
• 担当と予定：管理者が今週中に問い合わせ、回答を次回の会議で共有する。

回答が来たら、日付と確認結果を残し、必要なら手順や契約を見直します。担当が変わったとき、事故を想定して訓練するとき、取引先に説明するときに、同じ記録を使えます。

よくある質問

Q1．取引先から求められていなくても、評価を取得したほうがよいですか？

今後の取引で求められる可能性や、評価を通じて改善したい課題、必要な費用と人員を確認して判断しましょう。現時点で取得を予定していなくても、公式の評価基準を参考に、対策の不足を点検することはできます。

Q2．保守会社が評価を取得していれば、自施設の対策も説明できますか？

保守会社の評価で確認されている範囲と、自施設の運用は別です。自施設の職員の権限管理、緊急連絡、紙での代替手順などは、施設側でどう管理しているかを確認しましょう。

Q3．SCS評価制度への対応と、サイバーBCPの見直しはどちらを先に進めますか？

取引上の期限がある場合は、その条件を先に確認します。同時に、安全に関わる業務の停止や、緊急時の連絡先が分からないといった課題は、評価を待たずに見直しましょう。BCPの点検や訓練の記録は、取引先への説明にも役立ちます。

まとめ＋要約

• SCS評価制度は、取引に関わる事業者同士で、セキュリティ対策の状況を共通の基準で確認するための仕組みです。
• 取引先から対応を求められたら、正式な評価の要否、対象範囲、必要な水準、期限を確認しましょう。
• 日常の対策は、実施した内容、対象、確認日、残った課題を記録すると説明しやすくなります。
• 医療・介護では、委託先の技術対応に加え、自施設が診療やケアをどう続けるかをBCPに反映しましょう。

まず一つ、止まると困る業務を選び、「今の手順でどこまで動けるか」を現場と一緒に確かめてみてください。そこで見つかった課題に、担当者と確認日を付けるところから始められます。

取引先への回答や、今のBCPの見直しで迷っている方へ