SCS評価制度とは？★3・★4の違いと電話環境で確認したいセキュリティ対策
取引先からセキュリティ対策の強化を求められた場合、自社のシステムや情報管理体制をどこから見直せばよいか、悩む担当者もいるのではないでしょうか。
企業のサイバーセキュリティ対策を共通の基準で評価・可視化する仕組みとして、現在注目されているのが「SCS評価制度」です。
本制度では、企業のセキュリティ対策状況を段階的に評価します。対応を検討する際には、社内のパソコンやネットワークだけでなく、業務で利用しているクラウドサービスや電話システムについても、セキュリティ対策の状況を把握しておくことが重要です。
本記事では、SCS評価制度の概要や★3・★4の違い、SECURITY ACTIONとの関係を解説するとともに、電話環境で確認したいセキュリティ対策と、クラウドPBX「RemoTEL」の取り組みをご紹介します。
※本記事は2026年10月20日時点の公開情報をもとに作成しています。制度の詳細やスケジュールは変更される可能性があるため、最新情報は経済産業省・IPAの公式サイトをご確認ください。
見出し
1. SCS評価制度とは？
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）とは、サプライチェーンを構成する企業のセキュリティ対策状況を、共通の基準で評価・可視化する制度です。
経済産業省および内閣官房国家サイバー統括室の監督のもと、独立行政法人情報処理推進機構（IPA）が運営します。
なぜSCS評価制度が注目されているのか？
近年、ランサムウェアなどのサイバー攻撃が高度化し、自社だけでなく、取引先や委託先を経由したセキュリティリスクへの対策も重要になっています。
例えば、自社のセキュリティ対策が十分であっても、取引先のシステムが攻撃を受けることで、業務の停止や情報漏えいなどの影響を受ける可能性があります。
一方、取引先ごとにセキュリティ対策の確認方法や基準が異なると、対策状況を確認する企業にも、確認を受ける企業にも負担が生じます。
SCS評価制度は、こうした課題に対応するため、共通の基準によって企業のセキュリティ対策状況を評価・可視化し、サプライチェーン全体のセキュリティ水準を高めることを目指しています。
SCS評価制度はいつから始まる？
2026年10月20日時点で、★3・★4は2027年3月頃（2026年度末頃）の運用開始・申請受付開始を予定しています。
制度の具体的な運用方法や手続きなどについては、公式情報で最新の内容を確認することが重要です。
また、SCS評価制度は、すべての企業に一律に取得を義務付ける制度ではなく、任意の制度です。取引先との契約などで求められるセキュリティ水準に応じて、取得の必要性を検討することになります。
2. SCS評価制度の★3・★4の違い
SCS評価制度では、セキュリティ対策状況を段階的に評価します。ここでは、制度の★3・★4について、評価水準と評価方法の違いを整理します。
比較項目 | ★3 | ★4 |
評価水準 | 一般的なサイバー脅威に対処しうる水準 | 初期侵入の防御に加え、被害拡大の防止やサプライチェーンの強靱化も考慮した水準 |
評価方法 | セキュリティ専門家による確認を経た自己評価 | 評価機関による第三者評価 |
技術検証 | ★3の評価スキームでは、専門家による自己評価結果の確認を実施 | 文書確認・実地審査に加え、技術検証を実施 |
★3では、企業が自社のセキュリティ対策状況を自己評価し、セキュリティ専門家による確認を受けます。
★4では、第三者評価に加えて技術検証が行われ、より高度な対策水準が確認されます。
なお、★4の取得にあたって、事前に★3を取得しておく必要があるわけではありません。各評価段階で定められた要求事項・評価基準に基づき、取得を検討することになります。
どの評価段階が必要となるかは、自社の事業上のリスクや取引先から求められる内容などを踏まえて検討する必要があります。
3. SECURITY ACTIONとSCS評価制度は何が違う？
情報セキュリティ対策に関連する制度として、IPAが推進する「SECURITY ACTION」もあります。
両制度は、それぞれ目的や仕組みが異なる別の制度です。
SECURITY ACTION：情報セキュリティ対策への自己宣言
SECURITY ACTIONは、中小企業等が情報セキュリティ対策に取り組むことを自己宣言する制度です。
取り組み目標として、次の2つの段階があります。
★一つ星： 「情報セキュリティ6か条」に取り組むことを宣言する
★★二つ星： 情報セキュリティ自社診断を実施し、情報セキュリティ基本方針を策定・公開する
自社の情報セキュリティ対策を見直し、基本的な取り組みを進める際に活用できます。
SCS評価制度：セキュリティ対策状況の評価・可視化
一方、SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を、共通の基準で評価・可視化する制度です。
★3・★4では、それぞれ定められた要求事項・評価基準に基づき、自己評価や専門家による確認、第三者評価、技術検証などが行われます。
SECURITY ACTIONとSCS評価制度は、★1・★2から★3・★4へ進む一つの制度ではありません。それぞれの目的や仕組みを理解し、自社の状況に応じて活用することが重要です。
4. SCS評価制度への対応を考える際、電話環境も確認してみよう
セキュリティ対策というと、パソコンや社内ネットワーク、業務システムなどを思い浮かべる方も多いのではないでしょうか。
しかし、企業の業務で日常的に利用しているクラウドサービスや電話システムについても、どのような環境で運用され、どのようなセキュリティ対策が講じられているかを把握しておくことが大切です。
SCS評価制度では、企業が利用するIT基盤のうち、各組織が定める適用範囲を対象として評価が行われます。自社の電話システムやクラウドPBXがどのように関係するかについても、対象範囲や利用状況を整理して確認しましょう。
電話環境で確認したい3つのポイント
① サーバー環境・運用体制
電話サービスを支えるサーバーがどのような環境で運用されているか、他社の利用環境と分離されているか、障害や異常に備えた監視体制があるかなどを確認します。
② 音声通信の保護
クラウドPBXでは、ネットワークを介して音声データをやり取りします。利用している通信方式や暗号化の適用範囲など、通話内容を保護するための対策を確認しましょう。
③ 管理画面へのアクセス管理
電話システムの管理画面では、設定変更や利用者管理などを行います。不正アクセスを防ぐため、アクセス制限、認証方法、パスワード管理、操作履歴の記録などを確認することが重要です。
これらは電話環境を見直す際の確認ポイントです。各項目がSCS評価制度のどの要求事項に該当するかは、制度の評価基準と自社の適用範囲に照らして判断する必要があります。
5. 自社の電話環境のセキュリティチェックリスト
現在利用している電話システムについて、次の項目を確認してみましょう。
サーバーの構成や運用体制を把握している
音声通信の保護方法や暗号化の適用範囲を把握している
管理画面へのアクセス制限が設定されている
認証方法やパスワード管理の仕組みを把握している
管理画面の操作履歴やログを確認できる
すべての項目を把握できているでしょうか。
利用中のサービスの仕様や契約内容によって、確認できる情報や利用できる機能は異なります。不明な点がある場合は、サービス提供事業者に確認し、自社の電話環境の現状を整理することから始めましょう。
※本チェックリストは、電話環境を見直すための自主確認項目であり、SCS評価制度の公式チェックリストではありません。
6. クラウドPBX「RemoTEL」のセキュリティ対策
クラウドPBXを導入するうえで重要なのが、サーバー環境の安全性や通信の保護、管理画面への不正アクセス対策です。
クラウド型ビジネスフォンサービス「RemoTEL」では、シングルテナント方式による専用サーバー環境、24時間365日のサーバー監視、音声通信の暗号化など、電話環境のセキュリティに配慮した仕組みを採用しています。
ここでは、RemoTELが備えるセキュリティ上の特長をご紹介します。
シングルテナント方式による専用サーバー環境
RemoTELでは、お客様ごとに専用のサーバー環境を構築するシングルテナント方式を採用しています。
他のお客様とサーバー環境を共有しない構成により、利用環境を分離した運用が可能です。
企業の電話環境を支える基盤として、サーバー構成にも配慮したサービスを提供しています。
24時間365日のサーバー監視体制
RemoTELでは、データセンターにおいて24時間365日のサーバー監視体制を整えています。
サーバーの状態を継続的に監視することで、異常の検知や必要な対応に備え、安定した電話環境の維持をサポートします。
日々の業務に欠かせない電話だからこそ、サービスを支えるサーバーの運用体制も重要なポイントです。
音声通信の暗号化による通話内容の保護
RemoTELでは、音声通信の暗号化によって通話内容を保護するための対策を行っています。
WebRTCの音声暗号化は標準機能として提供しており、通信の保護に配慮した電話環境を実現します。
なお、暗号化の適用範囲や利用条件は通信方式によって異なります。その他のセキュリティ機能についても、利用する構成や契約内容に応じてご確認ください。
管理画面のセキュリティ機能
RemoTELでは、管理画面への不正アクセスや不適切な利用のリスクを低減するため、アクセス制御や認証、操作履歴の管理などのセキュリティ機能を備えています。
主な機能は以下のとおりです。
セキュリティ機能 | 概要 |
IPアドレスによるアクセス制限 | 指定したIPアドレスからのアクセスに制限し、不正アクセスのリスク低減を図る |
管理画面の暗号化通信（HTTPS） | 管理画面との通信を暗号化し、通信の盗聴や改ざんの防止を図る |
パスワードポリシー | 安全性に配慮したパスワード設定を求め、不正ログインのリスク低減を図る |
二段階認証 | ID・パスワードに加え、登録メールアドレスに届く6桁の認証コードで本人確認を行う |
管理画面のアクセス履歴 | ログインや各種操作の履歴を記録し、不正利用の早期発見や運用状況の確認に役立てる |
これらの機能により、管理画面のアクセス管理や利用状況の把握を支援します。
※各機能の適用条件や利用可否は、契約内容や利用する構成によって異なる場合があります。導入時に詳細をご確認ください。
7. まとめ｜電話環境のセキュリティも見直してみよう
SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化し、サプライチェーン全体のセキュリティ水準を高めることを目指す制度です。
制度への対応を検討する際には、★3・★4の評価水準や評価方法を理解するとともに、自社のIT基盤や運用体制を把握することが重要です。
その一環として、日常業務で利用している電話システムやクラウドPBXについても、サーバー環境、音声通信の保護、管理画面へのアクセス管理などを確認してみましょう。
RemoTELでは、シングルテナント方式による専用サーバー環境、24時間365日のサーバー監視、音声通信の暗号化、管理画面のセキュリティ機能などを通じて、電話環境のセキュリティ対策を支援しています。
現在利用している電話環境のセキュリティ対策を確認してみませんか？
クラウドPBX「RemoTEL」のサービス内容やセキュリティ対策について、詳しくはサービスページをご覧ください。
※RemoTELの機能は、利用企業のセキュリティ対策を支援するものであり、SCS評価制度の評価取得や特定の要求事項への適合を保証するものではありません。制度への対応にあたっては、最新の公式情報と自社の適用範囲をご確認ください。
