専門家が分析するSCS評価制度・153項目　中小企業に最適な対策のアプローチは？

2026年08月25日 11時00分更新

文●大塚昭彦／TECH.ASCII.jp

提供: Dropbox

IT予算の少ない中堅中小企業でも実現できる「現実的なアプローチ」とは

　SCS評価制度は、サプライチェーンに加わる企業、特に「受注側」に該当する中堅中小企業におけるセキュリティ対策の実施を促すことを目的の1つとしている。ただし、そうした規模の企業では、IT・セキュリティ予算の制約が大きいのが実態だ。

　「要求項目・評価基準を満たすために、たとえば『SIEMやSOARを導入する』『自社でSOCを構築する』といったアプローチもありますが、予算の少ない中堅中小企業では困難でしょう。もっと現実的なアプローチを考えないといけません」

　現実的なアプローチとしては、要求項目・評価基準が求めるものを理解したうえで、導入済みの製品・サービスで満たせる要件はなるべくそれでカバーし、残る項目について検討をするというものになる。

　たとえばDropboxを導入していれば、かなりの要件をカバーできるという。上氏の分析によると、Dropboxを情報基盤として活用することで、153項目中の47項目（30.72％）は直接カバーできる。

評価基準のうち、Dropboxが直接カバーできるのは約3割。「★3レベルの土台はおおむねここで固まる」という

　それに加えて、SCS評価制度で求められるセキュリティ運用を「サポートする」目的でもDropboxは活用できる。その対象は93項目（60.78％）に及ぶという。

　「予算の都合上、多数の製品・サービスを新規導入せず、なるべく手弁当で運用したいというお客さまも多いと思います。その運用において、たとえば作成したチェックリストを保存し共有すること、あるいはチェック工程を記録したファイルをバージョン管理して、改竄できないようにすることなどは、Dropboxでフォローできます」

セキュリティ運用をDropboxで支援できる項目数は約6割と分析

　このように、要求項目・評価基準を直接カバーする30％に加えて、望ましいセキュリティ運用を支援する60％までをカバーできることが、企業の情報インフラであるDropboxならではのアプローチだと上氏は説明した。

　「もちろん『Dropboxを導入すれば、それだけで要求項目・評価基準の90％がカバーできます』という話ではありません。それでも、しっかりとセキュリティを運用し、説明できるかたちで証跡を残していくうえで、Dropboxという基盤が役立つことは確実だと考えています」

★3、★4の要求項目・評価基準と、Dropboxが実現する具体的な対策（出典：Dropbox NAVI）

　ちなみに上氏は、同制度の要求項目・評価基準を満たすために整えるべきファイルをまとめたガイドブック（「SCS評価制度実務のためのハンドブック」）を制作し、無償で公開している。これを参考にさまざまなルールや記録のドキュメントを作成し、Dropboxに保管しておけば、SCS評価制度に沿った適切な運用管理ができる仕組みだ。

　「たとえば『証跡を残しましょう』とだけ言われても、具体的にどんなドキュメントを作ればいいのか分かりませんよね。そこでこのガイドブックでは、具体的に『こういう文書を備えてください』というものを、ファイル名や内容を示すかたちで説明しています。『Dropboxを導入したら、次に何をすればいい？』という問いにお答えするものです」