先に結論です。会社のセキュリティ対策を「星の数」で示す国の新しい仕組み「SCS評価制度」が、2026年度末から始まる予定です。そして中小企業が当面目指すべきは、今日の黒板に書いたとおり星3（★3）。これから「御社は星いくつですか？」が取引の場で聞かれる言葉になっていきます。
SCS評価制度とは？——セキュリティの「共通のものさし」
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」。経済産業省とIPA（情報処理推進機構）が作った制度で、詳細はIPAの公式ページで公開されています。
背景はシンプルです。いま多いサイバー攻撃は、大企業を直接狙わず、取引先の中小企業を踏み台にして侵入する手口。だから発注側は取引先のセキュリティ水準を知りたい。でも今までは会社ごとに独自チェックリストを送り合う世界で、受ける側も答える側も大変でした。それを国が「星の数」という共通のものさしに統一する——それがSCSです。
星3と星4は何が違う？
- ★3——26項目の要求事項について、セキュリティ専門家の確認を受けた自己評価で取得。有効期間は1年で、毎年更新します。基礎的な防御と体制づくりが中心で、すべての企業がまず目指す水準です
- ★4——★3の内容に加えて、組織の統治や取引先管理まで含む包括的な対策。第三者評価を受け、有効期間は3年（毎年の自己評価つき）です
- ★5——今後策定される予定の最上位です
実務では、委託元が「この取引は星3以上でお願いします」と提示する形が想定されています。つまり星3は、近い将来の「取引の入場券」になる可能性が高いんです。
中小企業が今からできる準備3つ
① 基本の徹底から始める
星3の中身は、魔法ではなく基本の積み重ねです。パスワード管理、ソフトの更新、バックアップ、ウイルス対策——セキュリティ対策まるごとガイドにまとめた基礎が、そのまま土台になります。
② 「ルールの明文化」を進める
対策を「やっている」だけでなく「決めて、書いてある」状態にするのが評価制度の世界です。誰が管理者か、事故が起きたら誰に連絡するか、退職者のアカウントはいつ消すか。1枚ずつで構いません。
③ 最新の脅威を年1回おさらいする
制度は毎年更新です。情報セキュリティ10大脅威のような定点観測を年中行事にしておくと、更新のたびに慌てずに済みます。
黒板に書いたとおり、セキュリティは自社を守るためであり、取引先を守るためのものでもあります。「星3、うちは何から手を付ければ？」——その最初の整理からで大丈夫です。制度開始前の今から少しずつ進めておくと、聞かれたときに胸を張って答えられますよ(≧∀≦)
