ESET/サイバーセキュリティ情報局
サプライチェーンの信頼性を左右する？ SCS評価制度★4取得に向けて今からできること
本記事はキヤノンマーケティングジャパンが提供する「サイバーセキュリティ情報局」に掲載された「運用開始が迫るセキュリティ対策評価制度への第一歩は、診断サービスで「自社の現在地」を知ることから」を再編集したものです。
「セキュリティ対策評価制度」は、企業のセキュリティ対策状況を共通基準で可視化する制度である。制度開始を見据え、今後は取引先から自社の対策状況について客観的な説明を求められる場面が増えていくと考えられる。特に、重要な業務や情報を扱う企業では、★4取得を視野に入れた準備が必要になる可能性がある。しかし、「自社がどの水準にあるのかわからない」「何から着手すべきか判断できない」という企業も少なくない。
本記事では、セキュリティ対策評価制度の概要と、 ★4取得を視野に入れるべき背景を整理した上で、自社の現在地を可視化する手段として「セキュリティ対策診断サービス SCS評価制度対応版」の有効性を解説する。
サプライチェーン強化に向けたセキュリティ対策評価制度とは
経済産業省および内閣官房国家サイバー統括室は、「サプライチェーン強化に向けたセキュリティ対策評価制度」（以下、SCS評価制度）の構築を進めている。同制度は、サプライチェーンを構成する企業のセキュリティ対策状況を、共通の基準で可視化する仕組みだ。
背景には、サプライチェーン攻撃の脅威がある。セキュリティ対策が十分でない中堅・中小企業などを足掛かりとして、取引関係のある大企業や、同じサプライチェーン上の企業へ被害が波及するリスクも高まっている。
企業取引では、委託元企業がサプライチェーンリスクを管理する上で、委託先企業のセキュリティ対策状況を把握する必要がある。しかし、委託元企業が各社の対策状況を個別に確認し、統一的な観点で評価するには、多くの時間と労力を要する。一方、委託先企業にとっても、取引先ごとに異なる確認や調査へ対応する負担は小さくない。SCS評価制度は、こうした双方の負担を軽減しながら、セキュリティ対策状況を共通基準で示す制度として位置付けられる。
SCS評価制度では、まず「★3」と「★4」を中心に制度設計が進められている。★3は、サプライチェーンに関わるすべての企業が最低限実装すべきセキュリティ対策の水準であり、専門家確認付き自己評価が想定されている。★4は、サプライチェーンに属する企業が標準的に目指すべき対策水準であり、第三者評価機関による評価が求められる。
★3・★4の申請受付開始が2026年度中に見込まれる中、企業は「いずれ対策すればよい」ではなく、「制度開始を見据えて準備を始める段階」に入っている。評価取得に向けては、社内体制の整備、技術的対策、運用プロセスの見直しが必要となり、一朝一夕で対応が完了するわけではない。
そのため、まずは現状の対策状況を把握し、不足する項目を洗い出しておくことが重要だ。
制度開始後に慌てて対応するのではなく、あらかじめ制度の要求事項や取得に必要な対策への理解を深め、自社の現状を把握しておきたい。
2026年度中に運用開始予定の「セキュリティ対策評価制度」とは？深刻化するサプライチェーン攻撃にどう備えるべきか
https://eset-info.canon-its.jp/malware_info/special/detail/260512.html
取引継続を見据え、★4取得を視野に入れる企業が増える可能性
SCS評価制度が導入されれば、委託元企業・委託先企業の双方が、共通の基準で対策状況を確認しやすくなる。委託元企業の立場では、SCS評価制度の★を取得状況や、取引上求められる水準を満たしているかどうかを、取引先選定や取引継続の判断材料として参照する場面が増える可能性がある。
特に、受発注、製造、物流、顧客対応といった重要業務をIT基盤上で行う企業では、サイバー攻撃による情報漏えいや業務停止の影響がサプライチェーン全体に広がる恐れがある。将来的な取引継続を見据えれば、取引先からセキュリティ対策状況について客観的な説明を求められるケースも想定される。
★3は、すべてのサプライチェーンに関わる企業が最低限満たすべき組織的対策やシステム防御策を示す水準である。一方、重要な業務や情報を扱う企業、あるいは大企業との取引が多い中堅・中小企業では、取引先からより高い水準の説明を求められる可能性もある。そのため、★3への対応にとどまらず、★4取得を視野に入れて準備を進めることが現実的な選択肢となる。
IPAが実施した「2024年度 中小企業における情報セキュリティ対策に関する実態調査」では、委託元企業から情報セキュリティ対策の要請を受けた企業のうち、SECURITY ACTIONの★1を宣言している企業では75.2％、★2を宣言している企業では74.4％が、「セキュリティ要請に応じたことが取引先との取引につながった」と回答している。
この結果からは、取引先から求められたセキュリティ対策に対応し、その状況を示せることが、取引機会や取引上の信頼に関係する可能性がうかがえる。SCS評価制度の運用が始まり、★3・★4の評価が可視化されれば、こうした傾向はさらに強まる可能性がある。ただし、SCS評価制度は任意の制度であり、★の取得が一律に取引条件として義務付けられるものではない。実際に求められる水準は、企業の役割や扱う情報、事業停止時の影響、取引先との契約などによって異なる。
サプライチェーン攻撃はなぜ起こる？中小・零細企業が講じるべき対策とは？
https://eset-info.canon-its.jp/malware_info/special/detail/220714.html
SCS評価制度への対応で企業が直面する課題
セキュリティ対策評価の取得に向けては、多くの企業で共通する課題が起こり得る。特に、予算や人員が不足しがちな中堅・中小企業では、次のような課題に直面する可能性がある。
1）何から着手すべきかわからない
セキュリティ対策が不足していると感じていても、何から始めればよいか優先順位をつけられない場合がある。評価制度の要求事項を確認しても、自社の業務や既存の運用に落とし込むには、専門的な判断が欠かせない。
従業員100人以上の企業でセキュリティ対策に関与する人を対象にしたSmartHR社の「サプライチェーンセキュリティ評価制度に関する実態調査」によると、自社のセキュリティ対策が不足していると感じる理由として、予算や人材不足に続き、「何から着手すべきかわからない（39.7％）」と「経営層と現場でセキュリティへの認識にギャップがある（33.3％）」が上位に挙がっている。
制度対応を進めるには、自社が置かれている現状を客観的に分析し、優先して取り組むべき対策を整理しておきたい。
2）情報資産やセキュリティ基盤の全体像を把握できていない
クラウドサービスやモバイル機器の普及にともない、社内システムは複雑化している。その結果、社内のIT資産や利用中のアカウントの全体像が見えにくくなっている企業もある。特に、顧客情報や機密情報に誰がアクセスでき、どのように保護されているかを確認できる体制は重要だ。
KPMG社による大企業を中心とした調査「サイバーセキュリティサーベイ2025」でも、重要な情報の管理やIT資産管理には課題が残っていることが示されている。具体的には、「重要な情報を適切に管理できている企業」は30.2％にとどまり、「重要な情報の特定ができていない企業」も30.6％に上った。中堅・中小企業では、専任人材や予算が限られる分、社内のIT資産、利用中のアカウント、重要情報の所在を体系的に把握することがさらに難しい場合も考えられる。
こうした状況では、自社のどこにリスクが潜んでいるのか、どの対策を優先すべきかを判断しにくい。
3）対策状況を客観的に説明できない
SCS評価制度への対応では、セキュリティ対策を実施するだけでなく、その内容を第三者や取引先に対して客観的に説明できる状態にしておく必要がある。特に★4では第三者評価機関による評価が求められるので、社内ルール、IT資産や機密情報の管理、運用プロセスについて、根拠を持って示せるようにしたい。
しかし実際には、対策の実施状況が部門ごとに異なっていたり、運用ルールが文書化されていなかったりするケースもある。このような場合、対策自体は実施していても、その実施状況や有効性を外部に十分説明できない可能性がある。そのため、社内の自己点検だけでなく、第三者の視点で対策状況を確認し、説明に必要な根拠や不足項目を整理しておくことが重要になる。
4）「自社は大丈夫」という思い込みに起因した対応の遅れ
サプライチェーン攻撃の増加などを背景に、企業規模を問わず脅威にさらされているにもかかわらず、サイバー攻撃を他人事と捉えてしまう企業は少なくない。
山梨県警が2025年に県内企業に実施した「サイバー犯罪被害・対策アンケート」でも、サイバー攻撃・被害のニュースなどを見ても「他人事、自社は大丈夫」と感じた経験がある企業が一定数存在（33.0％）することが示されている。また、インシデント発生時の社内マニュアルが「整備されていない、または把握していない」企業も69.7％に達している。こうした思い込みや準備不足は、制度対応の遅れだけでなく、実際にインシデントが発生した際の初動対応にも影響する。
★4の取得を見据えるなら、まず自社の対策状況を客観的に確認し、未達成の項目、優先して改善すべき対策、経営層や関係部門に説明すべき課題を整理しておきたい。こうした「自社の現在地」の把握こそが、制度対応の第一歩となる。
被害遭遇が致命傷になることも。改めて向き合うべきランサムウェア対策とは？
https://eset-info.canon-its.jp/malware_info/special/detail/251104.html
自社の現在地を可視化する「セキュリティ対策診断サービス SCS評価制度対応版」
SCS評価制度への対応を進めるには、自社の技術的対策、運用プロセス、組織体制の状況を把握する必要がある。その手段として有効なのが「セキュリティ対策診断サービス SCS評価制度対応版」だ。
同サービスは、SCS評価制度の要求事項・評価基準を踏まえ、専任エンジニアが企業の対策状況を客観的に診断するサービスだ。第三者評価機関による制度上の正式な★評価を付与するものではないが、★3・★4の取得に向けて、現在の達成状況や不足している対策を事前に把握するために活用できる。以下に、サービスの特長を紹介する。
1）専門的な知見に基づくヒアリング
豊富なノウハウを持つ専任エンジニアが、ヒアリングから診断、報告まで一貫して担当する。診断では定められたチェックシートを活用し、その結果を報告書として提供する。原則オンラインで実施されるため、全国どこからでも利用できるのも利点だ。
2）客観的な指標による評価
SCS評価制度対応版では、セキュリティ対策評価制度の要求事項・評価基準に基づき、対策状況を体系的に確認する。自社の対応状況に合わせて、★3評価または★4評価に向けた診断を受けられる。
★3診断では、制度対応状況に加え、セキュリティ対策を体系的に確認するための枠組みである「NIST サイバーセキュリティフレームワーク」に基づく観点からも評価を行う。また、★4診断では、制度に基づく分類に沿って、より広い範囲の対策状況を確認する。具体的には、「統治・識別・防御・検知・対応・復旧」といった領域を含め、組織体制から技術的対策、インシデント対応までを体系的に診断・評価する。
3）「何からやるべきか」を明確化
診断レポート作成後の報告会では、明らかになった課題を整理し、緊急度・重要度に応じて優先順位を示す。さらに、各セキュリティリスクに対して想定される対策も提示されるため、「何から着手すべきか」を判断しやすくなる。
評価報告書では、★3・★4取得に向けた達成状況や不足項目を確認できる。経営層を含めた関係部門と課題を共有し、予算確保や体制整備の必要性を説明する材料としても活用しやすい。
4）診断結果をもとに、実効性のあるセキュリティ対策へつなげる
セキュリティ対策の現在地を把握した後は、診断で明らかになった課題を具体的な改善策に落とし込む段階へ進む。ルール整備、運用改善、技術対策、教育、インシデント対応体制を段階的に整備していく流れだ。
キヤノンITソリューションズでは、診断結果を踏まえた対策の検討から、必要なセキュリティ製品・サービスの導入、運用・保守まで継続的に支援できる。単に不足項目を把握するだけでなく、実際の改善策へつなげられるため、制度対応と実効性のあるセキュリティ対策の強化を並行して進めやすい。
診断から改善策の実装支援や運用支援まで一貫して提供できる点は大きな特長である。
診断はゴールではなく、改善の出発点
現時点で自社がどの水準にあり、何が不足しているのかを把握することは、SCS評価制度への対応の第一歩となる。特に★4取得を見据える場合、社内ルール、IT資産や機密情報の管理、運用プロセスについて、第三者に説明できる状態を整えておく必要がある。
一方で、実際には「何から着手すべきかわからない」「IT資産や機密情報の全体像を把握できていない」といった課題を抱える企業は少なくない。自社の対策状況を客観的に確認できなければ、自社に必要な水準の判断や、★4取得を目指す場合の道筋も描きにくい。
そうした課題の解決を支援するのが「セキュリティ対策診断サービス SCS評価制度対応版」である。専任エンジニアによる診断・評価を通じて、自社の現在地と★4取得に向けたギャップを可視化できる。診断結果に基づいて対策の検討・実装・運用を進めれば、制度対応と実効性のあるセキュリティ対策を両立しやすい。何から着手すべきか判断できない企業こそ、まずは診断によって自社の対策状況を客観的に把握することが重要だ。
また、取引先に対してセキュリティ対策状況を客観的に示せる点は、ビジネスの観点からも重要だ。サプライチェーン上で信頼される企業になるには、セキュリティ対策を実施するだけでなく、その状況を客観的に説明できる体制を整える必要がある。
★4取得を見据えた準備は、新たな評価制度への対応であると同時に、取引継続や新規取引に向けて自社の信頼性を高める取り組みでもある。セキュリティ対策診断サービスを単なる制度対応のコストとしてではなく、将来の事業継続や取引機会の維持・拡大に向けた投資として活用したい。
自社の課題や★4取得に向けた準備状況を確認したい場合は、セキュリティ対策診断サービス SCS評価制度対応版の活用を検討してみてはいかがだろうか。
本記事はアフィリエイトプログラムによる収益を得ている場合があります