贵公司的安全也要评“星级”了：通俗解读日本SCS评价制度（在客户问起之前需要了解的事）

“贵公司能不能也取得★3？”从2027年春季开始，日本会有越来越多的企业从客户那里听到这句话。这颗“星”来自SCS评价制度，由日本政府（经济产业省和内阁官房）制定，由IPA（日本信息处理推进机构）运营，正式名称为“面向强化供应链的安全对策评价制度”。2026年10月28日，评估指南和解说手册相继发布，制度的内容已基本确定。

本文尽量少用IT术语，介绍这项制度为什么诞生、星级代表什么、取得星级后会怎样、要花多少钱、何时开始。具体技术细节（究竟要做哪些设置）请参阅面向技术人员的指南，对业务的影响和管理层的决策请参阅面向经营者的指南。另有可以和孩子一起阅读的漫画版。

本文另有英文版（sitescouter.net、nkzw.jp）和日文版（sitescouter.net）。本页为 Site Scouter 简体中文版，由英文版翻译而成。

为什么是“供应链”？

近年来接连发生这样的事件：遭到攻击的不是大企业本身，而是它的某家供应商或子公司，结果大企业的工厂停工、物流中断。无论是供应零部件、维护系统还是保管数据的企业，只要链条中有一家被攻破，损害就会波及与之相连的所有企业。这就是“供应链攻击”。

过去，大企业通过向供应商发送各自的检查清单来进行核查。对于接收清单的中小企业来说，这意味着要按照每个客户的不同格式反复回答类似的问题，负担很重。而发送方也无法确定自己的清单是否足够。这项制度的目的，就是用政府制定的统一标准同时解决这两个问题。

关键在于，这一标准不仅覆盖与大企业直接交易的企业，还会延伸到更下游的二级（Tier 2）和三级（Tier 3）供应商。取得★4的企业有义务掌握自己供应商的安全状况（要求2-1-3）。而掌握这一情况最简单的办法就是“请供应商也去取得星级”，于是对星级的要求会沿着供应链一层层向下传递。

星级表示“防护做得怎么样”

星级分为★3、★4、★5三个级别，没有★1和★2（IPA另一个项目“SECURITY ACTION”中的一星、二星宣言是其基础）。★5仍在研究之中，因此目前实际使用的是★3和★4。

这26项和43项要求分属7大领域：“指定负责人”“掌握与供应商的关系”“掌握拥有哪些电脑和服务器”“防范攻击”“察觉攻击”“发生问题时应对”“恢复业务”。听起来很专业，但★3的很多内容其实是用文件证明公司制定了规则、告知了员工，并且每年复查一次。

★3具体要求举例

从面向专业人员的文件中，挑选出与普通企业经营者关系最密切的项目：

• 指定负责人。明确负责安全的高管和主管部门，并备好联络名单
• 建立电脑和服务器台账：共有多少台、各自运行什么操作系统
• 密码规则。初始密码必须修改，禁止使用容易猜到的词，不重复使用密码。至少8个字符（如果没有锁定功能或两步验证，至少10个字符）
• 处理重要信息的云服务必须使用两步（多因素）验证
• 更新程序在发布后14天内安装（针对严重问题）。停止使用已终止支持的旧软件，或将其与互联网隔离
• 所有电脑和服务器都要安装杀毒软件
• 备份数据，重要信息还要在另一个地点保存一份，并写明恢复方法
• 修改路由器和防火墙的管理密码，防止有人从外部侵入
• 事先确定发生事故时该做什么、联系谁（包括客户、警方和主管部门）

制度并不要求购买任何特定的安全产品。“没有这款产品就拿不到星级”之类的推销说法与制度规定不符。

如何取得星级

★3的流程

1. 确定以整个公司、某个事业部门还是整个集团为单位申请
2. 在IPA提供的评估表（Excel文件）中填写对26项要求的自查结果
3. 请在IPA登记的SCS安全专家确认并签名
4. 由社长等管理层作出“我们满足要求”的符合性自我声明
5. 向IPA申请注册。经审查后，公司将被列入IPA网站的名单，并可使用标志

★4的流程

在第2步之后，不是请专家确认，而是委托评估机构。评估机构审查文件，进行为期1至2天的现场审核，随后再用1至2天对可从互联网外部访问的设备（VPN设备、路由器等）进行弱点测试。如果发现严重弱点，需要在14天内修复并再次接受测试。拿到评估报告后，再进入自我声明和注册申请环节。

要花多少钱？

向IPA缴纳的注册费见上表：★3为每年¥10,000。但付给专家和评估机构的费用另计。这部分费用不在制度的收费表中，由市场决定。

另一个常被忽视的是安全措施本身的费用和时间。导入两步验证、更换旧电脑和旧软件、建立备份机制，根据企业规模可能需要几个月。业内常提到一个经验值：“技术措施需要2至3个月，文件和证据准备需要1至2个月”。

针对中小企业，IPA正在筹备“网络安全Otasuketai服务（新型）”，这是一项帮助企业取得★3和★4的支援服务（截至2026年10月仍处于试点阶段）。

什么时候开始？

距离开始受理申请还有大约5个月，但各项措施需要几个月时间，因此可能被客户问到的企业最好现在就开始盘点现状，才能刚好赶上。评估表现在已经可以下载。

不取得会怎样？

一旦客户的采购标准写明“★3以上”，没有星级的企业就不会再被选为供应商。大企业不能与不符合自身采购标准的企业签约。经办人也没有通融的余地，因为与不达标的企业签约就属于违规。新业务从一开始就以此为条件，现有业务则会在续签合同时加上这一条。而且正如第1节所述，这项要求不会止于一级（Tier 1）供应商，而是一直传递到二级（Tier 2）和三级（Tier 3）供应商。

从法律上讲，这项制度是自愿参加的。IPA的常见问题解答写明“是否取得星级由企业自愿决定”，并且“未满足全部要求并不意味着业务会被立即叫停”。是否将其作为公共招标的条件，由各采购机构自行决定。尽管如此，现实的做法是按照“法律上自愿，商业上实际必需”的前提来做准备。现在就弄清楚自己公司已经满足了多少要求，无论是谈判还是准备，都比等客户开口后再手忙脚乱要从容得多。

当心强行推销

2026年4月，经济产业省和内阁官房发布了关于不当推销的警示，针对的是“没有星级就做不成生意”或“我们是认证支援机构”之类的说法。制度中根本不存在“认证支援机构”这一角色。正式的角色只有IPA指定或登记的四类：评估机构、技术验证机构、培训机构和SCS安全专家。相关名单将从2026年12月起在IPA网站上公布。

某个名称或头衔是否属实，可以对照IPA网站上的名单进行核实。在名单公布之前的现阶段，没有任何企业可以正当地自称“已获认证”。

首先，看看贵公司从外部看是什么样子

要求中包括在14天内安装更新、不使用已终止支持的软件。贵公司的网站或服务器是否向外界暴露了旧版本信息，只需在Site Scouter的服务器信息查询中输入网址即可查看，无需注册。不妨在开始准备申请星级之前，把它当作花一分钟就能完成的初步检查。

方法说明与局限

本文依据的是截至2026年10月30日公开的IPA制度网站、常见问题解答、要求及评价标准（SCS-400 Ver.1.1）、手册（SCS-620）、技术验证指南（SCS-430）、收费通知以及2026年10月28日的新闻稿。注册申请指南尚未发布，因此手续细节可能会有变化。作者从事域名、主机托管和安全业务，既不是该制度下的评估机构，也不是专家。

常见问题

小企业也适用吗？

不论行业和规模都适用。IPA认为，在安全方面人手和预算有限的中小企业受益最大。

不与大企业直接交易的三级（Tier 3）供应商也受影响吗？

是的。取得★4的企业有义务掌握供应商的安全状况，因此上游取得星级的企业越多，下游被要求取得星级的企业也就越多。向下传递多少层并没有限制。

没有★3可以直接申请★4吗？

可以。较高的星级包含较低星级的全部要求，因此可以直接申请★4。

已经取得ISMS或PrivacyMark，还需要吗？

需要。IPA的常见问题解答将ISMS与该制度定位为互补关系。

取得星级的企业会被公开吗？

会。已注册的组织会列入IPA网站的名单，并可使用标志。

可以向哪里咨询？

IPA安全中心的安全认证小组通过电子邮件受理咨询，不接受电话咨询。

参考资料

最后确认日期：2026-10-30。规范和政策可能会发生变化，采取行动前请查阅一手资料。

• IPA: Security Rating Scheme for Strengthening Supply Chains (SCS rating scheme)
• IPA: Overview of the level-based assessment
• IPA: Requirements, evaluation criteria and assessment guides
• IPA: Frequently asked questions
• IPA: Fee notice (2026-09-18, PDF)
• IPA: Press release on the assessment guides (2026-10-28)
• METI: SCS rating scheme special site
• IPA: SECURITY ACTION