漫畫看懂公司的資安「星星」：日本SCS評等制度（兒童版）

一家大公司寄了一封信到美緒爺爺的工廠：「請在明年之前取得★3。」星星？像飯店的星級那樣嗎？國小女生美緒，和她聰明的朋友颯太、遙香，一起去弄清楚公司的資安星星是怎麼一回事。她們就是漫畫〈店的大門與後門〉裡的那三個好朋友。

共6話、18格。每一話下面，也用文字寫出同樣的故事。看完之後，也請看看下面的「給家長與老師」。星星是真實存在的制度：詳細內容由政府機關IPA（日本資訊處理推進機構，Information-technology Promotion Agency, Japan）在2026年10月公布。

本文另有英文版（sitescouter.net、nkzw.jp）與日文版（sitescouter.net）。本頁為 Site Scouter 繁體中文版，由英文版翻譯而成。

第1話：請取得星星？

• 爺爺（在工廠辦公室看著一封信，一臉煩惱）：「三顆星…？」美緒：「爺爺，怎麼了？」
• 爺爺（把信拿給美緒看）：「這是重要客戶寄來的信。上面寫著『請在明年之前取得★3』。」美緒：「星星？像飯店的星級那樣嗎？」
• 遙香（和颯太一起走進來）：「不是喔。那是代表公司『保護能力』的星星。我來告訴你們吧。」颯太：「我也查過了！」

第2話：什麼是供應鏈？

• 遙香（指著白板上畫的工廠 → 汽車 → 商店）：「爺爺的工廠做螺絲，再送到汽車公司。公司和公司就像鏈子一樣連在一起。這就叫『供應鏈』。」
• 颯太（指著一個戴黑色兜帽、晚上偷偷靠近工廠的人）：「大公司保護得很好。所以壞人會改從小工廠偷偷溜進去。」
• 美緒（嚇了一跳）：「什麼？他們可能會盯上爺爺的工廠？！」遙香：「所以政府才做了星星制度，讓大家互相保護。」

第3話：星星代表什麼？

• 遙香（指著三層的頒獎台）：「一共有三個等級：★3、★4和★5。大家都從★3開始。」
• 颯太（打開一卷長長的卷軸）：「★3有26個『約定』。例如…」美緒：「26個？！」
• 遙香：「① 密碼要設長一點，而且不要重複使用 ② 更新要在14天內安裝 ③ 重要資料也要在別的地方留一份 ④ 先決定出事時要打電話給誰」美緒：「跟我們在學校學的『上網約定』好像喔！」

第4話：星星是誰給的？

• 遙香（爺爺正在檢核表上打勾）：「首先，要自己在檢核表上打勾。」
• 颯太（專家正在蓋章）：「向政府登錄的『資安專家』檢查過、說『OK』之後，公司的董事長就宣告『我們真的有做好保護』，再向IPA登錄。★3到手！」
• 美緒：「那★4呢？」遙香（拿著放大鏡檢查工廠的門鎖）：「★4的話，會有檢查員從外面檢查工廠的網路入口。就像確認門鎖有沒有壞掉一樣。」

第5話：錢和時間

• 爺爺（拿著一枚硬幣）：「要花錢嗎？」颯太：「★3付給IPA的是每年¥10,000。不過付給專家的錢、換掉舊電腦的錢要另外算。而且要花好幾個月。」
• 美緒（拿著月曆）：「什麼時候可以申請？」遙香：「從2027年3月開始！所以現在開始準備剛剛好。」
• 遙香（對著舉牌子的推銷員舉手）：「要小心那種催你說『現在不馬上拿到星星，生意就沒了』的推銷員。政府已經發出警告了。」美緒：「原來如此！」

第6話：爺爺的工廠

• 爺爺（指著辦公室的電腦）：「首先，來數數看辦公室裡有幾台電腦吧。」美緒：「我來幫忙！」
• 美緒（指著貼在螢幕上的便利貼）：「爺爺，密碼用『1234』不行啦！」爺爺：「哎呀！」
• 幾個月後。牆上掛著一顆金色的星星。客戶（鞠躬）：「謝謝。這樣我們就能放心和你們合作了。」遙香：「星星代表『我們真的有做好保護』。只要大家互相保護，鏈子就不會斷！」美緒：「完！」

給家長與老師

漫畫裡的制度是真實存在的。正式名稱是「供應鏈強化資安評等制度」（SCS評等制度），由IPA在日本經濟產業省與內閣官房的監督下營運。評鑑指南與手冊已於2026年10月28日公布，★3與★4預定於2027年3月開放申請。

以下是漫畫中省略的重點：

• 等級共有三種：★3、★4、★5；沒有★1或★2。★5仍在研議中
• ★3有26項要求事項，★4有43項。★3是由向政府登錄的專家確認公司的自我檢查結果；★4則要接受評鑑機構稽核，並接受外部弱點掃描（就是第4話裡的「門鎖」）
• 登錄費：★3每年¥10,000（至2028年3月底；之後為¥20,000），★4為3年¥60,000。支付給專家與評鑑機構的費用另計
• 對星級的要求會一路傳到第3層供應商。取得★4的公司有義務掌握供應商的資安狀況（要求事項2-1-3），所以就像漫畫中美緒爺爺的工廠一樣，不直接和大企業往來的公司也會被要求取得星級。一旦客戶把星級寫進採購標準，沒有星級的公司就不會被選為供應商
• 在法律上，這個制度是自願性的，IPA也表示「沒有星級，並不代表交易會立即停止」。是否把它列為交易條件，由企業之間在契約中決定。日本經濟產業省與內閣官房已針對以「現在不馬上取得，生意就會沒了」催促企業的不當推銷發出警告
• 第3話的四個約定，是從實際的要求事項中挑出來的：密碼至少8個字元（若沒有兩步驟驗證或帳號鎖定，則至少10個字元）、嚴重的更新在發布後14天內套用、重要資料在異地備份，以及事先決定好發生事故時的聯絡名單與處理程序

向孩子說明時，可以把它形容成學校教的上網規則（例如「門要鎖好」、「不要把密碼告訴陌生人」、「不要打開奇怪的電子郵件」）的「公司版」，會比較容易理解。

給大人的詳細說明請見一般版指南；設定與程序請見工程師版指南；如果您經營公司，請見經營者版指南。

方法說明與限制

漫畫中的人物與公司均為虛構。制度的說明依據截至2026年10月30日公開的IPA制度網站、常見問答、要求事項與評估標準（SCS-400 Ver.1.1）、手冊與費用公告。為了讓孩子容易理解，用語已經簡化，正確定義請參閱原始文件。我們也為不同讀者分別撰寫了文章，請一併參考工程師版、一般讀者版與經營者版。

常見問題

誰都可以取得星星嗎？

星星是給公司和組織的，不論產業或規模。

取得星星有什麼好處？

可以向客戶證明「我們真的有做好保護」。取得星星的公司會刊登在IPA網站上，並可使用標章。

公司沒有取得會怎樣？

法律上沒有罰則。但如果客戶決定「只和有星星的公司往來」，沒有星星的公司就不會被選上。

★5什麼時候開始？

還沒有決定。IPA已宣布會再繼續研議。

參考資料

最後確認日期：2026-10-30。規格與政策可能變更，採取行動前請查閱原始資料。

• IPA: Security Rating Scheme for Strengthening Supply Chains (SCS rating scheme)
• IPA: Frequently asked questions
• IPA: Requirements, evaluation criteria and assessment guides
• IPA: Fee notice (2026-09-18, PDF)
• METI: SCS rating scheme special site