우리 회사 보안에도 '별' 등급이 매겨진다: 일본 SCS 평가 제도 쉬운 해설(고객에게 질문받기 전에 알아 둘 것)

"귀사도 ★3을 받을 수 있을까요?" 2027년 봄부터 일본에서는 고객사로부터 이런 말을 듣는 기업이 점점 늘어날 것입니다. 이 별은 일본 정부(경제산업성과 내각관방)가 만들고 IPA(일본 정보처리추진기구)가 운영하는 SCS 평가 제도에서 나옵니다. 정식 명칭은 '공급망 강화를 위한 보안 대책 평가 제도'입니다. 2026년 10월 28일 평가 가이드와 해설 핸드북이 공개되면서 제도의 내용이 거의 확정되었습니다.

이 글에서는 IT 전문 용어를 가능한 한 쓰지 않고, 제도가 왜 생겼는지, 별이 무엇을 뜻하는지, 별을 받으면 무엇이 달라지는지, 비용은 얼마인지, 언제 시작되는지를 설명합니다. 기술적인 세부 사항(구체적으로 무엇을 설정해야 하는지)은 엔지니어용 해설에, 경영에 미치는 영향과 경영 판단은 경영자용 해설에 정리했습니다. 자녀와 함께 읽을 수 있는 만화판도 있습니다.

이 글은 영어판(sitescouter.net, nkzw.jp)과 일본어판(sitescouter.net)으로도 게재되어 있습니다. 이 페이지는 영어판을 번역한 Site Scouter 한국어판입니다.

왜 '공급망'인가?

최근 몇 년 사이 대기업 자체가 아니라 그 협력사나 자회사가 공격을 받아 대기업의 공장이나 물류가 멈추는 사고가 잇따랐습니다. 부품을 납품하든, 시스템을 유지 보수하든, 데이터를 맡고 있든, 연결된 회사 가운데 단 한 곳만 뚫려도 피해는 연결된 모든 회사로 번집니다. 이것이 '공급망 공격'입니다.

지금까지 대기업은 자체 체크리스트를 보내 협력사를 점검해 왔습니다. 이를 받는 중소기업 입장에서는 고객사마다 형식만 다른 비슷한 질문에 몇 번이고 답해야 하므로 부담이 큽니다. 보내는 쪽도 자사 체크리스트가 충분한지 확신하지 못합니다. 이 제도의 목적은 정부가 정한 공통의 잣대로 두 문제를 함께 해결하는 것입니다.

중요한 점은 이 잣대가 대기업과 직접 거래하는 기업뿐 아니라 그 아래의 2차·3차 협력사까지 닿는다는 것입니다. ★4를 받은 기업은 자사 협력사의 보안 상황을 파악할 의무를 집니다(요구 사항 2-1-3). 이를 파악하는 가장 쉬운 방법은 '협력사에도 별을 받아 달라고 요청하는 것'이므로, 별에 대한 요구는 공급망을 따라 점점 아래로 흘러 내려갑니다.

별은 '얼마나 잘 지키고 있는가'를 나타낸다

등급은 ★3, ★4, ★5의 세 단계입니다. ★1과 ★2는 없습니다(IPA의 별도 프로그램인 'SECURITY ACTION'의 별 하나·별 두 개 선언이 그 토대 역할을 합니다). ★5는 아직 검토 중이어서 당분간 실제로 쓰이는 것은 ★3과 ★4입니다.

26개와 43개 항목은 '책임자를 정한다', '협력사와의 관계를 파악한다', '보유한 컴퓨터와 서버를 파악한다', '공격을 막는다', '공격을 알아차린다', '문제가 생기면 대응한다', '업무를 복구한다'의 7개 큰 분야로 나뉩니다. 전문적으로 들릴 수 있지만, ★3의 상당 부분은 규칙을 정하고 직원에게 알리며 1년에 한 번 재검토하고 있다는 것을 문서로 보여 주는 일입니다.

★3이 실제로 요구하는 것의 예

전문가용 문서에서 일반 경영자와 특히 관련이 깊은 항목을 골랐습니다.

• 책임자를 정한다. 보안 담당 임원과 담당 부서를 지정하고 연락처 목록을 마련한다
• 컴퓨터와 서버의 대장을 만든다: 몇 대가 있고 각각 어떤 운영체제를 쓰는지
• 비밀번호 규칙. 초기 비밀번호는 반드시 바꾸고, 쉽게 추측되는 단어는 금지하며, 비밀번호를 재사용하지 않는다. 8자 이상(잠금 기능이나 2단계 인증이 없으면 10자 이상)
• 중요한 정보를 다루는 클라우드 서비스에는 반드시 2단계(다중 요소) 인증을 쓴다
• 업데이트는 공개 후 14일 이내에 적용한다(심각한 것). 지원이 끝난 오래된 소프트웨어는 사용을 중단하거나 인터넷에서 분리한다
• 모든 컴퓨터와 서버에 백신 소프트웨어를 설치한다
• 데이터를 백업하고, 중요한 정보는 다른 장소에도 보관하며, 복구 방법을 적어 둔다
• 외부에서 아무도 들어오지 못하도록 라우터와 방화벽의 관리용 비밀번호를 바꾼다
• 사고가 났을 때 무엇을 하고 누구에게 연락할지(고객, 경찰, 감독 부처 포함)를 미리 정해 둔다

특정 보안 제품을 사야 하는 것은 아닙니다. '이 제품이 없으면 별을 받을 수 없다'는 영업 권유는 제도의 내용과 맞지 않습니다.

별을 받는 방법

★3의 경우

1. 회사 전체로 신청할지, 한 사업부로 신청할지, 그룹으로 신청할지 정한다
2. IPA가 제공하는 평가 시트(Excel 파일)에 26개 항목을 스스로 점검한 결과를 기입한다
3. IPA에 등록된 SCS 보안 전문가의 확인과 서명을 받는다
4. 사장 등 경영진이 '요구 사항을 충족한다'는 적합 자기 선언을 한다
5. IPA에 등록을 신청한다. 심사를 거치면 회사 이름이 IPA 웹사이트에 게재되고 로고 마크를 사용할 수 있다

★4의 경우

2단계 다음에 전문가의 확인 대신 평가 기관에 의뢰합니다. 평가 기관은 문서를 검토하고 1~2일간 현장 심사를 한 뒤, 다시 1~2일에 걸쳐 인터넷을 통해 외부에서 접근할 수 있는 기기(VPN 장비, 라우터 등)에 약점이 없는지 테스트합니다. 심각한 약점이 발견되면 14일 이내에 고치고 다시 테스트를 받습니다. 평가 보고서를 받으면 자기 선언과 등록 신청으로 넘어갑니다.

비용은 얼마나 드나?

IPA에 내는 등록 수수료는 위 표와 같으며, ★3은 연 ¥10,000입니다. 다만 전문가와 평가 기관에 내는 비용은 별도입니다. 이 비용은 제도의 수수료표에 없고 시장에서 정해집니다.

또 하나 놓치기 쉬운 것이 보안 대책 자체에 드는 비용과 시간입니다. 2단계 인증 도입, 오래된 컴퓨터와 소프트웨어 교체, 백업 체계 구축에는 회사 규모에 따라 몇 달이 걸릴 수 있습니다. 업계에서는 '기술적 대책에 2~3개월, 문서와 증빙에 1~2개월'이라는 경험칙이 자주 언급됩니다.

IPA는 중소기업을 위해 ★3과 ★4 취득을 돕는 지원 서비스인 '사이버 시큐리티 Otasuketai 서비스(신형)'를 준비하고 있습니다(2026년 10월 현재 시범 단계).

언제 시작되나?

신청 접수까지 약 5개월이 남았지만, 대책에 몇 달이 걸리므로 고객사로부터 요구받을 가능성이 있는 기업은 지금 현황 점검을 시작해야 겨우 시간에 맞출 수 있습니다. 평가 시트는 이미 내려받을 수 있습니다.

별을 받지 않으면 어떻게 되나?

고객사의 조달 기준에 '★3 이상'이 들어가면 별이 없는 기업은 더 이상 협력사로 선택되지 않습니다. 대기업은 자사 조달 기준을 충족하지 않는 기업과 계약할 수 없습니다. 기준을 충족하지 않는 기업과 계약하면 컴플라이언스 위반이 되므로 담당자에게도 재량이 없습니다. 신규 거래에서는 처음부터 조건이 되고, 기존 거래에서는 계약 갱신 때 추가됩니다. 그리고 1장에서 보았듯이 이 요구는 1차 협력사에서 멈추지 않고 2차·3차 협력사까지 그대로 내려옵니다.

법적으로 이 제도는 임의입니다. IPA의 FAQ는 '별 취득은 임의'이며 '모든 요구 사항을 충족하지 못한다고 해서 곧바로 거래가 중단되는 것은 아니다'라고 밝히고 있습니다. 공공 입찰의 요건이 될지는 각 발주 기관이 정합니다. 그럼에도 '법적으로는 임의, 비즈니스에서는 사실상 의무'라는 전제로 준비하는 것이 현실적입니다. 자사가 이미 요구 사항을 어디까지 충족하고 있는지 지금 알아 두면, 고객의 요구를 받은 뒤 허둥대는 것보다 협상도 준비도 훨씬 수월해집니다.

무리한 영업 권유에 주의

2026년 4월, 경제산업성과 내각관방은 '별이 없으면 거래를 할 수 없게 된다', '우리는 인정 지원 기관이다' 같은 말을 하는 부적절한 영업 권유에 대해 주의를 환기했습니다. 제도에는 '인정 지원 기관'이라는 역할이 없습니다. 공식 역할은 IPA가 지정하거나 등록한 평가 기관, 기술 검증 사업자, 교육 사업자, SCS 보안 전문가의 네 가지뿐입니다. 목록은 2026년 12월부터 IPA 웹사이트에 공개됩니다.

명칭이나 직함이 진짜인지는 IPA 웹사이트의 목록과 대조해 확인할 수 있습니다. 목록이 공개되기 전인 현시점에서는 어떤 회사도 정당하게 '인정받았다'고 주장할 수 없습니다.

먼저 우리 회사가 외부에서 어떻게 보이는지 확인하기

요구 사항에는 업데이트를 14일 이내에 적용하는 것과 지원이 끝난 소프트웨어를 쓰지 않는 것이 포함되어 있습니다. 웹사이트나 서버가 외부에 오래된 버전을 드러내고 있는지는 Site Scouter의 서버 정보 조사에 URL을 입력하기만 하면 회원 가입 없이 확인할 수 있습니다. 별 취득 준비를 시작하기 전, 1분이면 끝나는 첫 점검으로 활용해 보세요.

방법에 관한 메모와 한계

이 글은 2026년 10월 30일 시점에 공개된 IPA의 제도 웹사이트, FAQ, 요구 사항 및 평가 기준(SCS-400 Ver.1.1), 핸드북(SCS-620), 기술 검증 가이드(SCS-430), 수수료 안내, 2026년 10월 28일 보도 자료를 바탕으로 작성했습니다. 등록 신청 안내는 아직 공개되지 않았으므로 절차의 세부 사항은 바뀔 수 있습니다. 필자는 도메인, 호스팅, 보안 사업에 종사하고 있으며, 이 제도의 평가 기관도 전문가도 아닙니다.

자주 묻는 질문

소규모 기업에도 적용되나요?

업종이나 규모와 관계없이 적용됩니다. IPA는 보안에 쓸 인력과 예산이 한정된 중소기업이 가장 큰 혜택을 볼 것으로 기대하고 있습니다.

대기업과 직접 거래하지 않는 3차 협력사에도 관계가 있나요?

있습니다. ★4를 받은 기업은 협력사의 보안 상황을 파악할 의무가 있으므로, 위쪽 기업이 별을 많이 받을수록 아래쪽 기업도 별을 요구받게 됩니다. 몇 차 협력사까지 내려가는지에 제한은 없습니다.

★3 없이 ★4를 신청할 수 있나요?

네. 상위 별은 하위 별의 요구 사항을 모두 포함하므로 ★4를 바로 신청할 수 있습니다.

ISMS나 PrivacyMark가 있어도 별이 필요한가요?

네. IPA의 FAQ는 ISMS와 이 제도를 서로 보완하는 관계로 설명합니다.

별을 받은 기업은 공개되나요?

네. 등록된 조직은 IPA 웹사이트에 게재되고 로고 마크를 사용할 수 있습니다.

질문은 어디에 하면 되나요?

IPA 보안센터 보안인증그룹이 이메일로 문의를 받습니다. 전화 문의는 받지 않습니다.

참고 자료

최종 확인일: 2026-10-30. 사양과 정책은 변경될 수 있으므로 조치하기 전에 원본 자료를 확인하십시오.

• IPA: Security Rating Scheme for Strengthening Supply Chains (SCS rating scheme)
• IPA: Overview of the level-based assessment
• IPA: Requirements, evaluation criteria and assessment guides
• IPA: Frequently asked questions
• IPA: Fee notice (2026-09-18, PDF)
• IPA: Press release on the assessment guides (2026-10-28)
• METI: SCS rating scheme special site
• IPA: SECURITY ACTION