サプライチェーン強化に向けたセキュリティ対策評価制度とは：★3・★4で取引先に求められること

発注する企業が取引先に必要なセキュリティ対策の水準を★で示し、取引先はその水準を満たしていることを評価で示す、国の新しい制度です。★3は専門家の確認つきの自己評価（要求事項26件、有効期間1年）、★4は評価機関による第三者評価（要求事項43件、有効期間3年）で、★5は今後検討されます。

取引先から「セキュリティ対策の状況を示してほしい」と求められる場面が増えています。国はこれに応える共通のものさしとして、「サプライチェーン強化に向けたセキュリティ対策評価制度」 の整備を進めています。

何のための制度か

取引先（委託先）がサイバー攻撃を受けると、発注する側の事業が止まったり、預けた機密情報が漏れたりします。この制度は、発注する企業が取引先に必要な対策の水準を ★の段階 で示し、取引先が対策の状況を評価で示すことで、サプライチェーン全体の対策の水準を上げることを目指しています。

経済産業省と内閣官房の国家サイバー統括室が監督し、IPA が制度を運営します。

★3・★4・★5の違い

	★3	★4	★5
評価の方法	セキュリティの専門家による確認つきの自己評価	評価機関による第三者評価と技術的な検証	今後検討
想定する攻撃	広く知られた脆弱性を悪用する、一般的なサイバー攻撃	サプライチェーン全体に影響する企業や、機密情報を持つ企業を狙う攻撃	未知の攻撃を含む、高度なサイバー攻撃
要求事項の数	26件	43件	今後検討
有効期間	1年	3年（期間中も毎年の自己評価が必要）	今後検討

★4の技術的な検証では、インターネットに公開している VPN 装置やルーターなど、侵入の入口になりやすい機器の脆弱性を調べます。合格には、原則としてすべての評価基準を満たす必要があります。

これからの予定

この制度は整備の途中です。2026年10月時点で IPA が示している予定は次のとおりです。

運用開始：★3・★4は2027年3月頃の予定。具体的な申請受付の開始日は、今後の案内を確認してください
申請方法・取得ガイド：★3・★4の申請方法と、要求事項・評価基準の解説書、自社で適合を判断するための取得ガイドが、2026年10月頃に公開される予定
★5：評価の方法、要求事項、時期とも今後検討されます

SECURITY ACTION との関係

IPA の SECURITY ACTION（一つ星・二つ星）は、中小企業が対策に取り組むことを自ら宣言する制度です。IPA は、★3・★4を取得する 準備の段階として、まず SECURITY ACTION の自己宣言から始める ことを勧めています。なお、宣言が★3・★4の申請の必須条件とはされていません。

中小企業への支援

IPA は、中小企業が★3・★4を目指しやすくするため、「サイバーセキュリティお助け隊サービス（新類型）実証事業」を行っています。診断・助言、IT ツールの導入、コンサルティングや教育などを組み合わせた伴走支援です。

実証への参加は無償。ただし、実証事業者ごとの参加条件と募集枠があり、複数の事業者への重複参加はできない
実証は2026年10月から2027年9月までの予定で、支援を受けられる期間や内容は事業者によって異なる
実証が終わった後に続けて使う場合は有償

詳しくは IPA の案内で確かめてください。

いまから準備できること

制度の開始を待たなくても、どの★でも土台になる対策は今から進められます。

取引先に、求められる★の段階と時期を確かめる
インターネットに公開している機器（VPN 装置・ルーター・リモートデスクトップなど）を洗い出し、更新と設定を見直す
規程や手順を定め、従業者への教育と、入退社のときの権限の付与・停止を記録に残す
バックアップを取り、実際に戻せるかを確かめる

評価では「決めたとおりに運用していること」を示す必要があります。日々の運用を記録として残しておくことが、どの★を目指す場合にも役に立ちます。

出典

よくある質問

いつから評価を受けられますか？

IPA は、★3・★4の運用開始を2027年3月頃と予定しています。申請方法や取得ガイドは2026年10月頃に公開される予定です。具体的な申請受付の開始日は、IPA の制度サイトで最新の案内を確認してください。

取引先から★を求められたら、必ず取らなければいけませんか？

★を取引の条件にするかどうかは、取引する企業どうしの合意で決めるものとされています。ただし、取引先が求める水準を満たせないと取引に影響するおそれがあるため、早めに求められている★の段階と時期を確かめてください。

ISMS 認証を持っていれば、★4は不要ですか？

2026年10月時点で確認した IPA の公表資料には、ISMS 認証を持っていれば評価を免除する、という決まりは見当たりません。共通する対策は多いため、ISMS の運用の記録は準備に役立ちます。扱いは IPA の今後の案内で確認してください。