SCS評価制度が示すリスクマネジメントの方向性：データとクラウドサービスへの統制が深めるサプライチェーンの信頼：★の本質――SCS評価制度の裏を読む

SCS評価制度の個別の要求事項を確認すると、複数の主体が関わるビジネスサプライチェーン全体におけるリスクマネジメントの体制構築が、その方向性の一つとして示されています。中でも、データとクラウドサービスへの統制がその要素として示されていることは特筆すべき事項です。本稿では、これらの要素を分析し、★取得を目指す上で活用すべき文書とセキュリティ認証について触れます。

[中村 悠，株式会社アイ・ティ・アール]

　前回は、「サプライチェーン強化に向けたセキュリティ対策評価制度」（以下、SCS評価制度）を全体的に俯瞰（ふかん）し、その制度設計から読み取ることができるメッセージを紹介しました。

　今回から数回にわたって、要求事項と評価基準の各項目に注目し、それらに込められたメッセージをより具体的に探っていきます。

　要求事項を個別に確認すると、大分類：取引先管理では、★取得を目指す企業に対し、子会社や取引先、利用する外部サービスの管理を求める内容が確認できます。これらの項目から、SCS評価制度における単一の取引関係にとどまらず、複数の主体が関わる多層化したビジネスサプライチェーン全体を俯瞰し、網羅的に統制しようとする意図を読み取ることができます。

　特に、国内機関から公表された文書でも言及されているデータガバナンスへの言及、そして、取引先の1つとして、国内企業でも利用が定着しているクラウドサービスの提供事業者が記載されている点には留意すべきです。

取引先管理におけるデータガバナンスの位置付け

　「大項目：取引先管理」では、「要求事項2-1：サイバーセキュリティサプライチェーンリスクマネジメント」として以下の項目が示されています。

「取引先管理」に分類される要求事項（出典：経済産業省の資料を基にITRが加工）

　さらに、取引先管理として注目すべきは、「大分類：攻撃等の防御／要求事項4-3：データセキュリティ」において、データガバナンスを求める要件が示されている点です。

データガバナンスに通じる要求事項（出典：経済産業省の資料を基にITRが加工）

　データガバナンスとは、「データを正しく扱うことを確実にする仕組み」を指します。この仕組みを実現するためには、まずは技術的対策の実装が必要です。加えて、経営の重要な情報資産であるデータを戦略的に管理・活用するためのルール整備や責任の明確化、それらを継続的に運用する体制の構築も求められます。日本国内でも、デジタル庁およびIPA（独立行政法人情報処理推進機構）からデータガバナンスに関する文書が公表され、企業の事業継続に直結する課題として注目が集まっています。

発行元	公表時期	文書名
デジタル庁	2025年6月	データガバナンス・ガイドライン
IPA（情報処理推進機構）	2025年1月	信頼できるパートナーになるためのデータガバナンス読本

国内機関が公表したデータガバナンス関連の文書とその公開時期（出典：ITR）

　こうした背景を受け、SCS評価制度においても、データガバナンスに踏み込んだ要件が設けられたと想定されます。つまり、データを自社の重要な情報資産として暗号化やバックアップなどの対策を講じる対象としてだけでなく、ビジネスサプライチェーン上で必要な重要な情報資産として位置付け、その統制を求めていると捉える必要があります。

　データガバナンスは、セキュリティの観点で広く取り上げられる機会がこれまであまり多くなかったため、実装方法が明確でないと感じる担当者も多いと耳にします。そのような方々にとって、上述の文書は、データガバナンスの具体的な実装を検討する上で有用な資料となります。

取引先管理におけるクラウドサービスの位置付け

　「大項目：攻撃等の防御」では、複数の要求事項／評価基準において、クラウドサービスを単なるITサービス基盤ではなくビジネスサプライチェーン上のリスクマネジメントの対象として位置付けています。

クラウドサービスに対する主な評価基準（出典：経済産業省 ★3・★4要求事項及び評価基準案）

　また、「大項目：取引先管理／評価基準 2-1-1-1」の記載において、クラウドサービスの提供事業者を管理すべき取引先の一つとして位置付けている点は、クラウドサービスが強固なビジネスサプライチェーンを構築する上で、その管理対象として重要であることをより明確に示しています。

クラウドサービス提供者に関する評価基準（出典：経済産業省 ★3・★4要求事項及び評価基準案）

　この項目では、利用しているクラウドサービスを把握するための仕組みを整備することを求めています。その趣旨を踏まえると、クラウドサービスを把握する仕組みの構築だけにとどまらず、クラウドサービスのセキュリティ水準が一定以上であることを確認し、実効性のあるリスクマネジメントを実現すべきと読み取ることができます。

　クラウドサービスのセキュリティ水準の確認において、その客観性を高める有効な情報が、クラウドサービスに向けて国内で展開されるセキュリティ認証です。クラウドサービスに関する国内組織で活用されている主な認証制度としては、以下の2つが挙げられます。

クラウドサービスに関連する認証制度（出典：ITR）

　クラウドサービスが取得しているセキュリティ認証は、自社が求めるセキュリティ水準を満たしたクラウドサービスを選択する際の判断材料の一つになります。また、クラウドサービスに個人情報を保存する場合には、当該サービスにおけるプライバシーマーク（Pマーク）認証取得の確認も同様に実効性があります。

まとめ

　SCS評価制度では、単一の取引先管理の枠組みにとどまらず、複数の主体が関わるビジネスサプライチェーン全体におけるリスクマネジメント体制の構築を目指すために、データとクラウドサービスへの統制がその要求事項／評価基準として組み込まれています。

　しかし、データガバナンスやクラウドサービス提供事業者を取引先の一つとして位置付けるという考え方は、取引先管理の文脈でこれまで十分に語られてこなかったため、具体的な進め方が見えにくいという印象を持たれることが多いです。

　上述した国内機関から公表されている文書や広く展開されているセキュリティ認証は、取引先管理の実効性を高めるための具体的な手段として位置付けることができます。これらを効果的に活用することで、SCS評価制度の★取得に近づくことができるはずです。

筆者紹介：中村悠（アイ・ティ・アール　アナリスト）

ユーザー企業の情報システム部門および外資系セキュリティベンダーでの実務経験を経て、2023年より現職。情報セキュリティ分野の市場分析を担当し、執筆や講演を通じた啓蒙活動にも取り組む。CISSP／CEH保有。