日本SCS評級將篩選供應商：經營者必須知道的、會一路傳遞到3階供應商的★要求，以及未符合的企業會面臨什麼
2027年3月，由日本IPA（the Information-technology Promotion Agency, Japan，資訊處理推進機構）營運的SCS評級制度（強化供應鏈之資安對策評級制度）將開始受理申請。2026年10月28日，評鑑指南與說明手冊已經公布，制度內容至此底定。
對經營者而言，最重要的只有一點：這套制度的設計，是讓要求不只傳遞到直接與大企業往來的1階供應商，還會一路往下傳到2階與3階供應商。一旦大企業在採購標準中寫入「★3以上」，不符合標準的企業就再也無法被選為供應商。而且，想取得★4的1階供應商，依要件必須掌握自己的供應商（2階）的資安狀況，因此這項要求會沿著供應鏈持續往下流動。
本文寫給兩邊的經營者：被要求以★作為交易條件的一方，以及提出要求的一方。我們依據一手文件（IPA的制度文件），說明制度如何運作、為何會層層傳遞、未符合的企業會面臨什麼、需要做的決策，以及所需的費用與時間。技術細節請見工程師指南，制度入門請見一般讀者指南。
本文另有英文版（sitescouter.net、nkzw.jp）與日文版（sitescouter.net）。本頁為 Site Scouter 繁體中文版，由英文版翻譯而成。
已經確定的事
- IPA在經濟產業省與內閣官房國家網路安全統括室的監督下營運本制度。其依據是2026年3月的「制度設計方針」
- 等級共三種：★3、★4與★5。★3以經專家確認的自我評估證明26項要件；★4以第三方評鑑加上技術驗證證明43項要件。★5仍在研議中
- ★3有效期1年，★4為3年。支付給IPA的登錄費：★3為每年¥10,000（至2028年3月底；之後為¥20,000），★4為3年¥60,000
- 取得認證的組織會刊登在IPA網站上，並可使用標章
- 預定2027年3月開始受理申請。登錄申請指南預定2026年11月底公布，評鑑機構名單預定12月下旬公布，專家名單預定自2027年1月起公布
為什麼會傳到3階供應商
制度說明寫道：「委託方向供應商提示適當的等級（★），促其實施對策並確認實施狀況」。聽起來像是兩家公司之間的事，但細讀要件就會發現，這套制度本來就是設計成層層傳遞的。
- ★3要件2-1-1：建立機制，掌握自家資產與其他組織（供應商，包括客戶、子公司、關係企業與雲端業者）所管理之系統之間的關係
- ★3要件2-1-4：與共享機密資訊的供應商，事先界定發生事件時的角色與責任
- ★4要件2-1-3：從營運持續風險與資訊管理風險的角度，掌握可能影響自家公司之供應商的資安狀況
- ★4要件2-1-5：合約終止時，向供應商收回機密資訊與存取權限，或要求其銷毀
換句話說，被大企業要求★4的1階供應商，為了維持★4，必須掌握2階供應商的資安狀況，而最簡單的掌握方式就是「也請2階供應商取得★」。一旦2階供應商取得★3，其要件2-1-1又會要求它掌握與3階供應商的關係。由於要件的第2大類是「供應商管理」，這套制度的結構就是：★會一路傳到供應鏈的最末端。
未符合會怎樣
IPA的FAQ表示「取得★屬自願」，且「未符合全部要件並不代表會立即停止交易」。就制度的法律地位而言，這樣的描述是正確的。
商業現實則不同。大企業無法與不符合其採購標準的企業往來。採購標準一旦寫明「供應商須持有SCS評級制度的★3以上」，沒有★的企業就會從供應商候選名單中消失。承辦人員沒有裁量空間：與不符合標準的供應商簽約，會讓承辦人員與公司本身面臨違反法令遵循的風險。
制度的設計更強化了這一點。持有★4的企業有義務掌握供應商的資安狀況，因此無法繼續與無從掌握狀況的供應商往來。新業務從一開始就會列為條件；既有業務則會在合約續約時加入。至於公共採購，IPA表示「是否列為投標要件由採購機關決定」，但既然這是政府的制度，合理的預期是公部門採購會率先行動。
總之，這是法律上自願、商業上實質強制。在客戶提出要求前就做好準備的企業，與事後才手忙腳亂的企業之間的差距，會在開始受理申請、評鑑機構與專家的檔期全部排滿之後進一步拉大。
經營者要做的五項決策
大多數要件可以交由承辦人員推動，但以下五點在經營層做出決定之前不會有任何進展。
- 以哪個★為目標。這取決於主要客戶會要求什麼。就目前的經驗法則而言，直接與大企業往來就選★4，2階以下的供應商則選★3。也可以不經★3，直接申請★4
- 以哪個單位取得認證。在評估表中，你要選擇整個法人、其中一部分（例如事業部），或企業集團。範圍越大，對策成本越高；範圍越小，就越常需要向客戶解釋「這個部門不在範圍內」
- 由誰負責。★3要件1-2-1要求指派負責資安的高階主管（例如CISO）與負責部門，並分配責任與權限。★4另外要求設置能做出經營決策的組織，例如有經營層參與的資訊安全委員會（1-2-1-4）
- 由誰做符合性自我宣告。無論★3或★4，最後都是由經營層宣告「我們符合要件」。專家或評鑑機構負責確認，但宣告的責任在經營層
- 在什麼時候之前完成。2027年3月開始受理申請。業界的經驗法則是實施對策需要2至3個月、準備證據需要1至2個月。請從客戶的合約續約日回推，訂出開始日期
實際的費用與時間
支付給IPA的登錄費，★3每年¥10,000，看起來很便宜，但這只是成本的一部分。
| 項目 | ★3 | ★4 | 備註 |
|---|---|---|---|
| 支付給IPA的登錄費 | 每年¥10,000（至2028年3月底；之後為¥20,000） | 3年¥60,000 | 列於收費表 |
| 專家、評鑑機構與技術驗證 | 由SCS資安專家確認 | 由評鑑機構進行文件審查、實地稽核（1至2天）與技術驗證（1至2天） | 不在收費表中；由市場決定 |
| 對策本身 | MFA、汰換支援終止的設備、備份與復原程序、邊界設備設定、規則與教育訓練 | 左列全部，再加上日誌收集、閘道對策、網路分段與供應商管理 | 通常是最大宗，視現況而定 |
時程方面，評估表（自我評估範本）已經公布，現在就可以開始評估現況。
針對中小企業，IPA正在準備「Cyber Security Otasuketai Service（新型）」，這是一項協助企業取得★3與★4的支援服務（截至2026年10月仍處於試行階段）。
這個月就該做的事
不必等到開始受理申請。以下四件事這個月就可以著手。
- 詢問主要客戶的規劃。透過業務團隊詢問：「貴公司打算要求供應商達到SCS評級制度的哪個等級？」客戶的採購部門也在準備，越早詢問，協商條件的空間就越大
- 指派負責人。建立要件1-2-1所要求的組織，並把評估表交給負責人
- 自我評估現況。光是把26個項目標記為符合或不符合，就能看出錢會花在哪裡。多數企業最容易卡關的項目，是支援終止的作業系統與軟體、未導入多因素驗證、更新延遲，以及沒有還原程序
- 檢查貴公司從外部看起來的樣子。網站或伺服器是否對外顯示舊版本，只要在Site Scouter的伺服器資訊查詢輸入URL，免註冊就能確認。這種「從外部看到的樣子」，也正是客戶採購部門最先檢視的地方
給將要求供應商取得★的經營者
如果貴公司是主要承包商，將要求供應商取得★，就需要決定以下事項：
- 對哪個供應商要求哪個等級。制度的前提是「依供應商在供應鏈中的位置提示所需的對策」。對持有貴公司機密資訊的供應商，與供應通用零件的供應商，不需要要求相同的等級
- 合約文字與緩衝期。2027年3月才開始受理申請，因此在那之前無法把「已取得認證」列為條件。附期限的條件，例如「於2027年度內取得★3」，才是務實的做法
- 與自家★4的連動。★4要件2-1-3要求掌握供應商的資安狀況。要求供應商取得★，同時也會成為自家★4的證據
- 如何處理自家的檢核表。本制度的目標之一，是終結供應商必須面對各家委託方不同檢核表的負擔。把自家檢核表中★能涵蓋的部分替換掉，會更容易取得供應商的配合
小心強迫推銷
2026年4月，經濟產業省與內閣官房提醒注意不當推銷，例如宣稱「沒有評級就無法做生意」或「我們是認定支援機構」。本制度中並沒有「認定支援機構」這種角色。正式的角色是由IPA指定或登錄的四種：評鑑機構、技術驗證業者、培訓業者與SCS資安專家，名單將自2026年12月起在IPA網站上公布。要件也沒有要求導入任何特定的資安產品。「導入這項產品就能取得★」之類的提案，與制度並不相符。
本文第3節所說的「商業上實質強制」與這類推銷的差別，在於時機與主體。在客戶把它寫進採購標準之前，沒有人能強制執行；而在開始受理申請前的現在，「今天不簽就來不及」的說法毫無根據。
方法說明與限制
本文依據IPA截至2026年10月30日公布的制度網站、FAQ、要件與評估基準（SCS-400 Ver.1.1）、說明手冊（SCS-620）、收費公告，以及2026年10月28日的新聞稿撰寫。要件ID與內容取自SCS-400 Ver.1.1。第3節所稱會成為「商業上實質強制」，是筆者根據要件結構與大企業的採購實務所做的判斷；請將其與IPA的官方立場（取得評級屬自願）區分閱讀。登錄申請指南尚未公布，程序細節可能變動。筆者從事網域、主機與資安業務，既非本制度的評鑑機構，也非專家。
常見問題
3階供應商真的需要★嗎？
本制度的運作方式是委託方向供應商提示等級，往下傳遞幾層並無限制。由於★4要件2-1-3要求掌握供應商的資安狀況，上游取得★4的企業越多，向更下游企業要求★的誘因就越強。
不取得會失去生意嗎？
IPA表示「取得評級屬自願」，且「不會立即停止交易」。另一方面，一旦客戶把★寫進採購標準，該客戶就無法與不符合標準的企業簽約。我們建議以「法律上自願、商業上實質強制」為前提進行準備。
由誰做符合性自我宣告？
經營層。★3在專家確認後、★4在取得評鑑機構的報告後，由經營層宣告符合要件並申請登錄。
已有ISMS還需要嗎？
需要。IPA的FAQ將ISMS與本制度描述為互補關係。評級也不保證符合其他法律架構或產業標準。
總費用是多少？
除了IPA的登錄費（★3每年¥10,000，★4為3年¥60,000）之外，其餘都不在制度的收費表中：專家與評鑑機構依市場行情收費，對策成本則視現況而定。把自我評估標記為符合或不符合，就能大致掌握對策成本。
參考資料
最後確認日期：2026-10-30。規格與政策可能變更，採取行動前請查閱原始資料。
- IPA: Security Rating Scheme for Strengthening Supply Chains (SCS rating scheme)
- IPA: Overview of the level-based assessment
- IPA: Requirements and evaluation criteria (SCS-400 Ver.1.1), assessment guides and handbook
- IPA: Frequently asked questions
- IPA: Fee notice (2026-09-18, PDF)
- IPA: Press release on the assessment guides (2026-10-28)
- METI: SCS rating scheme special site (scheme design policy)