「3つ星」「4つ星」獲得の“近道”はあるか？ SCS評価制度に向け、ノークリサーチが指標を公表

2026年度末からの制度開始が目標とされているSCS評価制度。数十項目に及ぶ要求事項に対し、中堅・中小企業はどう向き合えばよいのか。ツール導入と運用ルール整備の優先度を示す指標をノークリサーチが公表した。

[金澤雅子，ITmedia]

　2026年度末から、経済産業省や独立行政法人情報処理推進機構（IPA）が主導する「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）（注1）の「3つ星」と「4つ星」の申請受付開始が予定されている。

　ノークリサーチはこのほど、SCS評価制度の要求事項を、1300社のユーザー企業を対象にした調査で把握した課題やニーズと照合した分析結果を発表した。企業がセキュリティや運用管理、バックアップのツール導入を検討する際の指標になるとしている。

　サプライチェーンを構成する中堅・中小企業が認定レベルのいずれかを取得することは、取引先の信頼を獲得、維持する上でも重要だとノークリサーチはみている。

　認定を取得する過程でセキュリティや運用管理、バックアップを担うツールの導入を検討する企業も多いだろう。ただし、SCS評価制度で求められる要求事項は多岐にわたる。

　「3つ星」で計26項目、「4つ星」で計43項目に上る要求事項のうち、何から手を付ければよいのか。

「3つ星」26項目、「4つ星」43項目の要求事項、どこから手を付けるべき？

　セキュリティ対策レベルの評価には、SCS評価制度の前段階となる「SECURITY ACTION」も含めて「1つ星」〜「5つ星」の5段階が設定されている。その中でサプライチェーンを構成する中堅・中小企業に深く関連するのが、次の表に整理された3つ星と4つ星だ。

SCS評価制度で求められる要求事項の「3つ星」と「4つ星」（出典：ノークリサーチのプレスリリース）

　この表で「3つ星」のみにマルが付いている項目は、その内容がそのまま4つ星にも適用される。「3つ星」と「4つ星」の双方にマルが付いている項目は、同じ要求事項でも評価基準が異なる。

　例えば大分類「取引先管理」、中分類「サイバーセキュリティサプライチェーンリスクマネジメント」の要求事項「2-1-2. 機密情報の取扱い」は、3つ星のみにマルが付いている。機密情報の取り扱い方法を自社と共有先の間で明確にするというこの内容は、「3つ星」と「4つ星」の双方に適用される。

　一方、大分類「ガバナンスの整備」、中分類「役割、責任、権限」の「1-2-1. セキュリティ推進活動部門」は双方にマルが付いている。「3つ星」ではセキュリティを統括する役員やセキュリティ担当部署の役割や責任の明確化が求められる。「4つ星」ではそれらに加えて、セキュリティリスクへの対応について経営層が参加して経営判断を実施する体制（情報セキュリティ委員会など）の設置が必要になる。

課題やニーズと要求事項の連動が重要

　SCS評価制度を契機として製品やサービスの導入を進める際には、自社が抱えるどの課題やニーズが同制度の要求事項と関連するのかを把握することが重要になる。

　以下のグラフは、卸売業・小売業における課題項目の一部を抜粋したものだ。

卸売業・小売業における課題（出典：ノークリサーチのプレスリリース）

　上記のグラフの課題項目に対応する要求事項は下記の通りだ。

課題項目に対応するSCS評価制度の要求事項（出典：ノークリサーチのプレスリリース）

CISO人材をどう確保するか

　グラフの課題項目「セキュリティ対策を担う人材を採用／育成できていない」が示すように、中堅・中小企業がCISO（Chief Information Security Officer：最高情報セキュリティ責任者）を採用・育成することは容易ではない。しかし、要求事項1-2-1では、「3つ星」でもセキュリティを統括する役員とセキュリティ担当部署の役割・責任の明確化が求められている。このことからノークリサーチは、今後はIT企業がCISO相当の人材を派遣する動きなどが活発になる可能性もあるとしている。

インシデント対応手順を「作れない」壁

　サプライチェーンへのマルウェア被害拡大を防ぐ観点から、要求事項6-1-1はインシデント対応手順の整備を求めている。しかし、グラフの課題項目「情報漏えいが発生した時などの対策マニュアルがない」が示すように、中堅・中小企業では対策マニュアルの必要性を感じていても実践できないケースも多い。

教育・訓練は「発生時の対処」が先

　グラフの課題項目「標的型攻撃の被害や危険性が十分に周知されていない」に対しては、要求事項4-2-1（4つ星）が求める教育や研修が有効だとノークリサーチは分析している。注意すべきは、関連する要求事項「4-2-2. セキュリティインシデント発生時の教育・訓練」が3つ星になっている点だ。

　より多くの中堅・中小企業が該当すると予想される3つ星では、マルウェア感染の予防に寄与する4-2-1よりも、インシデント発生時の対処に当たる4-2-2が優先されていることになる。こうした点に、サプライチェーンを介したマルウェア被害の拡大を防止するというSCS評価制度の基本思想が表れているとノークリサーチはみている。

バックアップは「戻せるか」の確認も必要

　グラフの課題項目「バックアップを復元できるかの検証を実施していない」に対応する要求事項4-3-4では、「バックアップ対象ごとのリストア手順の整備」が求められている。ただし、リストアの検証までは明記されていない。ランサムウェア被害が増加する状況を踏まえると、保護されたバックアップデータを確実にリストアできる手段を日頃から確認しておくことが重要だと同社はみている。

（注1）サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）：経済産業省と内閣官房国家サイバー統括室が2026年3月27日に公表した「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」に基づく制度で、IPAが運営する。詳細はIPA「SCS評価制度の詳細情報」（https://www.ipa.go.jp/security/scs/details.html）を参照