専門家が分析するSCS評価制度・153項目　中小企業に最適な対策のアプローチは？

2026年08月25日 11時00分更新

文●大塚昭彦／TECH.ASCII.jp

提供: Dropbox

上氏が執筆した「SCS評価制度実務のためのハンドブック」（ダウンロードリンクは本記事末に掲載）

　「SCS評価制度の要求事項を見ると、たとえば『脆弱性管理をする』といった趣旨の項目が書かれています。ですが、ふだんのパッチ管理でも手一杯の中堅中小企業で、本当にそれができるでしょうか。だからと言って、新しい製品・サービスをあれもこれも導入して対応しましょうというのも、やはり現実的ではありません。よりミニマムで、中小企業の現場が実務として回せるかたちとはどんなものか？それを考えています」

　2026年度末頃からの運用開始が予定されている「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」。ただし、IT・セキュリティの担当者が少なく、IT予算にも限りのある中堅中小企業にとっては、SCS制度の要求事項は幅広く、その要件を満たすのはハードルが高いように思える。

　CISSP認定資格を保有するDropbox Japan ソリューション本部長の上雄記氏は、冒頭のとおりコメントしたうえで、中堅中小企業がSCS評価制度の★3・★4要件を満たしていくためのポイントを説明してくれた。

Dropbox Japan アジア太平洋・日本地域統括ソリューション本部長の上（かみ）雄記氏。情報セキュリティ専門職の国際認定資格であるCISSP認定資格も保有。「トレーニングを受ければSCS評価制度の監査人もできます」と語る

SCS評価制度の特徴は「証跡・説明責任」、製品導入よりも運用の仕組みが大切

　SCS評価制度は、サプライチェーン全体にわたるセキュリティ対策強化を促すことを目的としている。セキュリティ対策の水準（段階）を★3・★4（★5も今後検討）に区分し、自社が要求事項・評価基準を満たしているかどうかを、自己評価あるいは第三者評価でチェックする。

　自社のサイバーセキュリティ対策水準を、明解な“共通の物差し（★3～★5）”に基づいて取引先に示すことができるため、主な対象である中小企業においては、取引先からの信頼獲得、さらには取引拡大につながることが期待されている。

SCS評価制度の★3、★4、★5（検討中）の概要（出典：経済産業省）

★3、★4の要求事項・評価基準リスト。各項目を満たすことで評価が取得できる（出典：経済産業省）

　上氏は、経産省が公開している合計153項目（★3、★4）の評価基準は大きく「3つの軸」に整理できると語る。

（1）アクセス管理：誰が・どこから・何にアクセスできるか
（2）共有ルール：どの情報を・どう外に出すか
（3）証跡・説明責任：「何が起きたか」を後から証明できるか

★3、★4の評価基準、合計153項目は「3つの軸」に整理できる

　このうち、今回の制度でとりわけ特徴的なのは「（3）証跡・説明責任」だと述べ、監査人の観点で見ても合理的な要求事項になっていると説明する。

　「これまでのさまざまなガイドラインでも、アクセス管理や共有ルールの対応はパッチワーク的に求められてきました。一方で今回は、それらを継続的に運用できる仕組み・体制をきちんと作り、証拠を残して説明責任を果たすことに強く言及している点が特徴です。テクノロジーの導入だけでなく、体制を構築して運用に乗せ、証拠を残して説明責任を果たすというのは、監査人の観点から見てとてもリーズナブル（合理的）だと思います」

　ちなみに経産省では、同制度をめぐる「不適切な製品・サービスの勧誘」が行われているとして、「本制度の評価基準を達成するにあたっては、特定のセキュリティ対策製品の導入が必須とされているものではありません」とする注意喚起の発表を行っている^※注。上氏も、同制度の狙いは製品・サービスの導入を促すことではないと、繰り返し強調した。

※注：経済産業省・内閣官房「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に係る不適切な勧誘に御注意ください」（2026年4月）

　「要求項目・評価基準を1つずつ見ていくと、7割くらいは『セキュリティ運用を実現する体制とルールづくり』『説明責任を果たすための証跡』が求められているわけです。ベンダーの製品・サービスは、そうしたセキュリティ運用の実現をサポートするためのものという位置づけですから、まずは本質的な部分を誤解しないことが大切です」

　それでは、IT予算の少ない中堅中小企業にとっての「現実的アプローチ」とは、どのようなものになるのか。

前へ 1 2 3 次へ

ツイートする

Dropbox トップへ