일본의 SCS 평가가 협력사를 가른다: 3차 협력사까지 내려가는 ★ 요구와 충족하지 못한 기업에 생기는 일, 경영자가 알아야 할 것

2027년 3월, IPA(일본 정보처리추진기구, Information-technology Promotion Agency, Japan)가 운영하는 SCS 평가 제도(공급망 강화를 위한 보안 대책 평가 제도)의 신청 접수가 시작됩니다. 2026년 10월 28일 평가 가이드와 해설서가 공개되면서 제도의 내용이 확정되었습니다.

경영자에게 가장 중요한 점은 하나입니다. 이 제도는 대기업과 직접 거래하는 1차 협력사뿐 아니라 2차, 3차 협력사까지 연쇄적으로 내려가도록 설계되어 있습니다. 대기업이 조달 기준에 "★3 이상"을 명시하는 순간, 그 기준을 충족하지 못한 기업은 더 이상 협력사로 선정될 수 없습니다. 게다가 ★4를 원하는 1차 협력사는 요구사항에 따라 자사 협력사(2차 협력사)의 보안 상황을 파악해야 하므로, 요구는 공급망을 따라 계속 아래로 흘러갑니다.

이 글은 거래 조건으로 ★를 요구받을 쪽과 요구할 쪽, 양쪽의 경영자를 위한 것입니다. 1차 자료(IPA의 제도 문서)를 바탕으로 제도의 구조, 연쇄가 일어나는 이유, 충족하지 못한 기업에 생기는 일, 내려야 할 결정, 그리고 비용과 기간을 다룹니다. 기술적인 세부 사항은 엔지니어를 위한 해설에, 제도 입문은 일반인을 위한 해설에 있습니다.

이 글은 영어판(sitescouter.net, nkzw.jp)과 일본어판(sitescouter.net)으로도 게재되어 있습니다. 이 페이지는 영어판을 번역한 Site Scouter 한국어판입니다.

이미 정해진 것

• 경제산업성과 내각관방 국가사이버통괄실의 감독 아래 IPA가 제도를 운영합니다. 근거는 2026년 3월의 "제도 구축 방침"입니다
• 수준은 ★3, ★4, ★5 세 단계입니다. ★3은 요구사항 26개를 전문가가 확인하는 자기 평가로 증명하고, ★4는 요구사항 43개를 제3자 평가와 기술 검증으로 증명합니다. ★5는 아직 검토 중입니다
• 유효 기간은 ★3이 1년, ★4가 3년입니다. IPA에 내는 등록 수수료는 ★3이 연간 ¥10,000(2028년 3월 말까지, 이후 ¥20,000), ★4가 3년에 ¥60,000입니다
• 인증을 받은 조직은 IPA 웹사이트에 게재되며 로고 마크를 사용할 수 있습니다
• 신청 접수는 2027년 3월 시작 예정입니다. 등록 신청 안내는 2026년 11월 말, 평가 기관 목록은 12월 하순, 전문가 목록은 2027년 1월부터 공개될 예정입니다

왜 3차 협력사까지 닿는가

제도 설명에는 "위탁사가 협력사에 적절한 수준(★)을 제시하고, 대책 실시를 독려하며, 그 실시 상황을 확인한다"라고 되어 있습니다. 두 회사 사이의 문제처럼 들리지만, 요구사항을 읽어 보면 연쇄가 일어나도록 설계되어 있음을 알 수 있습니다.

• ★3 요구사항 2-1-1: 자사 자산과 다른 조직(고객사, 자회사, 관계사, 클라우드 사업자를 포함한 협력사)이 관리하는 시스템 사이의 관계를 파악하는 체계를 마련한다
• ★3 요구사항 2-1-4: 기밀 정보를 공유하는 협력사와 사고 발생 시의 역할과 책임을 정한다
• ★4 요구사항 2-1-3: 사업 연속성 리스크와 정보 관리 리스크의 관점에서 자사에 영향을 줄 수 있는 협력사의 보안 상황을 파악한다
• ★4 요구사항 2-1-5: 계약이 끝나면 협력사로부터 기밀 정보와 접근 권한을 회수하거나 폐기하게 한다

즉, 대기업에서 ★4를 요구받은 1차 협력사는 ★4를 유지하려면 2차 협력사의 보안 상황을 파악해야 하고, 이를 파악하는 가장 간단한 방법은 "2차 협력사에도 ★를 취득하게 하는 것"입니다. 2차 협력사가 ★3을 취득하면, 이번에는 요구사항 2-1-1에 따라 3차 협력사와의 관계를 파악할 의무가 생깁니다. 요구사항의 카테고리 2가 "협력사 관리"이기 때문에, 별은 공급망의 끝까지 전달되는 구조입니다.

충족하지 못하면 어떻게 되는가

IPA의 FAQ는 "★ 취득은 자율"이며 "모든 요구사항을 충족하지 못한다고 해서 곧바로 거래가 중단되는 것은 아니다"라고 말합니다. 제도의 법적 지위에 대한 정확한 설명입니다.

그러나 거래 현실은 다릅니다. 대기업은 자사 조달 기준을 충족하지 못하는 기업과 거래할 수 없습니다. 기준에 "협력사는 SCS 평가 제도의 ★3 이상을 보유해야 한다"라고 적히는 순간, 이를 갖추지 못한 기업은 협력사 후보 목록에서 빠집니다. 담당자에게는 재량이 없습니다. 기준을 충족하지 못한 협력사와 계약하면 담당자 본인과 회사가 컴플라이언스 위반에 노출되기 때문입니다.

제도의 설계가 이를 더욱 강화합니다. ★4를 보유한 기업은 협력사의 보안 상황을 파악할 의무가 있으므로, 상황을 파악할 수 없는 협력사를 계속 둘 수 없습니다. 신규 거래에서는 처음부터 조건이 되고, 기존 거래에서는 계약 갱신 때 조건이 추가됩니다. 공공 조달에 대해 IPA는 "입찰 요건으로 삼을지는 조달 기관이 정한다"라고 하지만, 정부가 만든 제도인 만큼 공공 부문의 조달이 먼저 움직일 것으로 보는 것이 합리적입니다.

한마디로 법적으로는 자율, 거래에서는 사실상 의무입니다. 고객사가 요구하기 전에 준비하는 기업과 요구받은 뒤에 허둥대는 기업의 격차는, 신청 접수가 시작되어 평가 기관과 전문가의 일정이 꽉 차면 더 벌어질 것입니다.

경영진이 내려야 할 다섯 가지 결정

대부분의 요구사항은 실무진이 진행할 수 있지만, 다음 다섯 가지는 경영진이 정하지 않으면 움직이지 않습니다.

1. 어느 별을 목표로 할 것인가. 주요 고객사가 무엇을 요구할지에 달려 있습니다. 현재로서는 대기업과 직접 거래한다면 ★4, 2차 협력사 이하라면 ★3이 기준이 됩니다. ★3 없이 ★4를 바로 신청할 수도 있습니다
2. 어느 단위로 인증받을 것인가. 평가 시트에서 법인 전체, 사업부 등 법인의 일부, 기업 그룹 가운데 하나를 선택합니다. 범위가 넓을수록 대책 비용이 커지고, 좁을수록 고객사에 "이 부서는 범위 밖입니다"라고 설명해야 하는 일이 잦아집니다
3. 누가 책임지는가. ★3 요구사항 1-2-1은 보안 담당 임원(CISO 등)과 담당 부서를 지정하고, 책임과 권한을 배분하도록 요구합니다. ★4는 여기에 더해 경영진이 참여하는 정보 보안 위원회처럼 경영 판단을 내릴 수 있는 기구를 요구합니다(1-2-1-4)
4. 누가 적합 자기 선언을 하는가. ★3과 ★4 모두 최종적으로 경영진이 "요구사항에 적합하다"고 선언합니다. 전문가나 평가 기관이 확인하지만, 선언의 책임은 경영진에게 있습니다
5. 언제까지 할 것인가. 신청 접수는 2027년 3월에 시작됩니다. 업계의 경험칙은 대책 구현에 2~3개월, 증거 준비에 1~2개월입니다. 고객사와의 계약 갱신일에서 거꾸로 계산해 시작 시점을 정하십시오

실제 비용과 기간

IPA에 내는 등록 수수료는 ★3이 연간 ¥10,000으로 저렴해 보이지만, 이는 비용의 일부일 뿐입니다.

시기와 관련해서는 평가 시트(자기 평가 양식)가 이미 공개되어 있으므로 지금 바로 현재 상태 평가를 시작할 수 있습니다.

IPA는 중소기업을 위해 ★3과 ★4 취득을 돕는 지원 서비스인 "사이버 시큐리티 Otasuketai 서비스(신형)"를 준비하고 있습니다(2026년 10월 기준 아직 시범 단계).

이번 달에 할 일

신청 접수를 기다릴 필요는 없습니다. 다음 네 가지는 이번 달부터 시작할 수 있습니다.

1. 주요 고객사에 방침을 묻는다. 영업 담당을 통해 "협력사에 SCS 평가 제도의 어느 수준을 요구할 계획입니까?"라고 물어보십시오. 고객사의 조달 부서도 준비 중이며, 빨리 물어볼수록 조건을 협상할 여지가 커집니다
2. 책임자를 지정한다. 요구사항 1-2-1이 요구하는 조직을 갖추고 평가 시트를 넘겨주십시오
3. 현재 상태를 자기 평가한다. 26개 항목에 충족·미충족 표시만 해도 어디에 돈이 들지 보입니다. 많은 기업이 걸려 넘어지는 항목은 지원이 끝난 OS와 소프트웨어, 다요소 인증 미도입, 업데이트 지연, 복구 절차 부재입니다
4. 외부에서 자사가 어떻게 보이는지 확인한다. 웹사이트나 서버가 오래된 버전을 드러내고 있는지는 Site Scouter의 서버 정보 조사에 URL을 입력하기만 하면 회원가입 없이 확인할 수 있습니다. 이 "외부에서 본 모습"은 고객사의 조달 부서가 가장 먼저 보는 것이기도 합니다

협력사에 별을 요구할 경영자에게

자사가 원청이 되어 협력사에 ★를 요구한다면, 다음 사항을 정해야 합니다.

• 어느 협력사에 어느 수준을 요구할 것인가. 제도는 필요한 대책을 "공급망에서 협력사가 차지하는 위치에 따라 제시"하는 것을 전제로 합니다. 자사 기밀 정보를 맡고 있는 협력사와 범용 부품을 납품하는 협력사에 같은 수준을 요구할 필요는 없습니다
• 계약 문구와 유예 기간. 신청 접수가 2027년 3월에 시작되므로 그 전에는 "인증 취득 완료"를 조건으로 삼을 수 없습니다. "2027 회계연도 중 ★3 취득"처럼 기한을 둔 조건이 현실적입니다
• 자사 ★4와의 연계. ★4 요구사항 2-1-3은 협력사의 보안 상황 파악을 요구합니다. 협력사에 ★를 요구하는 것은 자사 ★4의 증거도 됩니다
• 자사 체크리스트의 처리. 제도의 목적 가운데 하나는 위탁사마다 다른 체크리스트로 협력사가 지는 부담을 없애는 것입니다. 체크리스트 가운데 ★로 대신할 수 있는 부분을 바꾸면 협력사의 협조를 얻기가 쉬워집니다

강압적인 영업에 주의

2026년 4월, 경제산업성과 내각관방은 "평가가 없으면 거래할 수 없게 된다"거나 "저희는 공인 지원 기관입니다"라고 주장하는 부적절한 영업에 주의하라고 경고했습니다. 제도에 "공인 지원 기관"이라는 역할은 없습니다. 공식 역할은 IPA가 지정 또는 등록하는 네 가지, 즉 평가 기관, 기술 검증 사업자, 교육 사업자, SCS 보안 전문가이며, 그 목록은 2026년 12월부터 IPA 웹사이트에 공개됩니다. 요구사항은 특정 보안 제품의 도입도 요구하지 않습니다. "이 제품을 도입하면 ★를 받을 수 있다"는 제안은 제도와 맞지 않습니다.

이 글 3장에서 말한 "거래에서는 사실상 의무"와 이런 영업의 차이는 시기와 주체입니다. 고객사가 조달 기준에 명시하기 전까지는 누구도 이를 강제할 수 없으며, 신청 접수가 시작되기 전인 지금 "오늘 계약하지 않으면 늦는다"고 말할 근거는 없습니다.

방법에 관한 주석과 한계

이 글은 2026년 10월 30일 시점에 공개된 IPA의 제도 웹사이트, FAQ, 요구사항과 평가 기준(SCS-400 Ver.1.1), 해설서(SCS-620), 수수료 안내, 2026년 10월 28일 보도자료를 바탕으로 합니다. 요구사항 ID와 내용은 SCS-400 Ver.1.1에서 가져왔습니다. 3장의 "거래에서는 사실상 의무가 된다"는 서술은 요구사항의 구조와 대기업의 조달 관행에서 도출한 필자의 견해이며, IPA의 공식 입장(평가 취득은 자율)과 구별해서 읽어 주시기 바랍니다. 등록 신청 안내는 아직 공개되지 않았으므로 절차의 세부 사항은 바뀔 수 있습니다. 필자는 도메인·호스팅·보안 사업에 종사하고 있으며, 이 제도의 평가 기관도 전문가도 아닙니다.

자주 묻는 질문

3차 협력사도 정말 ★가 필요해집니까?

이 제도는 위탁사가 협력사에 수준을 제시하는 방식이며, 몇 단계 아래까지 내려가는지에 제한이 없습니다. ★4 요구사항 2-1-3이 협력사의 보안 상황 파악을 요구하므로, 상위 기업이 ★4를 많이 취득할수록 하위 기업에 ★를 요구할 동기도 강해집니다.

취득하지 않으면 거래를 잃습니까?

IPA는 "평가 취득은 자율"이며 "곧바로 거래가 중단되는 것은 아니다"라고 설명합니다. 한편 고객사가 조달 기준에 ★를 명시하면, 그 고객사는 기준을 충족하지 못한 기업과 계약할 수 없습니다. 법적으로는 자율, 거래에서는 사실상 의무라는 전제로 준비할 것을 권합니다.

적합 자기 선언은 누가 합니까?

경영진입니다. ★3은 전문가의 확인 후, ★4는 평가 기관의 보고서를 받은 후 경영진이 요구사항 적합을 선언하고 등록을 신청합니다.

ISMS가 있어도 필요합니까?

네. IPA의 FAQ는 ISMS와 이 제도를 상호 보완 관계로 설명합니다. 또한 평가가 다른 법 제도나 업계 기준의 준수를 보장하지도 않습니다.

총비용은 얼마입니까?

IPA 등록 수수료(★3은 연간 ¥10,000, ★4는 3년에 ¥60,000) 외에는 제도의 수수료표에 아무것도 없습니다. 전문가와 평가 기관은 시장 가격을 받으며, 대책 비용은 현재 상태에 따라 달라집니다. 자기 평가에서 충족·미충족을 표시해 보면 대책 비용의 대략적인 규모를 알 수 있습니다.

참고 자료

최종 확인일: 2026-10-30. 사양과 정책은 변경될 수 있으므로 조치하기 전에 원본 자료를 확인하십시오.

• IPA: Security Rating Scheme for Strengthening Supply Chains (SCS rating scheme)
• IPA: Overview of the level-based assessment
• IPA: Requirements and evaluation criteria (SCS-400 Ver.1.1), assessment guides and handbook
• IPA: Frequently asked questions
• IPA: Fee notice (2026-09-18, PDF)
• IPA: Press release on the assessment guides (2026-10-28)
• METI: SCS rating scheme special site (scheme design policy)