意思決定層1032人調査で見えた、対応のリアルと実装の勘所：SCS評価制度、企業は何から始めるべきか

「セキュリティ対策は取引条件」の回答は6割――。ソリトンシステムズが国内企業に実施した独自調査を基に、SCS評価制度と正しく付き合うための道筋を探る。

[PR／ITmedia]

　2026年度末頃、「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の運用が始まる。経済産業省と内閣官房国家サイバー統括室が2026年3月に公表した制度構築方針に基づき、情報処理推進機構（IPA）が制度を構築中で、まず「★3」と「★4」の二段階でスタートする。企業のセキュリティ対策状況を共通の基準で可視化し、発注企業と受注企業がセキュリティ要件を分かりやすくやり取りできるようにする仕組みだ。

　最初に押さえておきたいのは、この制度の性格だ。SCS評価制度は任意の制度であり、企業を格付けして選別するためのものではない。発注側がリスクに応じた段階の★を提示し、受注側の実施状況を双方で確認しながら進めることが想定されている。

　注意も必要だ。両機関は2026年4月、評価を取得しないと取引から排除されるといった営業活動が制度の趣旨と異なるとして注意喚起を出した。評価基準の達成に特定製品の導入は必須ではない。出発点は、IPAが公開する一次情報の確認だ。

　ソリトンシステムズのエバンジェリスト・荒木粧子氏は、制度を前向きに捉えている。「発注側と受注側でセキュリティ対策にスムーズに取り組むには共通の物差しが必要です。一企業や一業界だけでは解決できないサプライチェーンのセキュリティ対策に対し、国が枠組みを示すことには大きな意義があります」

　では、企業側の準備はどこまで進んでいるのか。ソリトンシステムズが2026年4月に国内企業の意思決定層1032人を対象に実施した「サプライチェーンセキュリティ実態調査2026」から、現在地を見ていく。

ソリトンシステムズの荒木粧子氏

1032人調査に見る現在地

　今回の調査で分かったのは、セキュリティ対策が既に企業間取引の前提になっていることだ。「セキュリティ対策を取引条件としている」との回答は64.3％に達した。荒木氏は「SCS評価制度に関係なく、セキュリティ対策は既にビジネス上の取引条件になっています」と指摘する。

　SCS評価制度への対応も進んでおり、「★3または★4取得に向けて取り組み中」との回答は67.7％に上った。

　ただし、取引上の立場による差は見過ごせない。発注側を含む立場では7割超が取り組み中である一方、主に受注側では44.9％にとどまり、約30ポイントの開きがある。受注側は発注側からの要件提示を待っているのかもしれないが、自社の現在地を先に把握しておくほうが準備も楽になる。受注側にとって、待ち時間は準備時間だ。

今回の調査で見えてきた現状や課題（出典：ソリトンシステムズ「サプライチェーンセキュリティ実態調査2026」）《クリックで拡大》

理解の壁から実装の壁へ

　制度対応の課題として最も多かった回答は「評価基準や対象範囲の解釈・判断が難しい」（49.3％）。次いで「対策実施の証跡整備が難しい」（41.7％）、「対策の導入・運用コストが大きい」（39.8％）、「期限内での対応が難しい」（37.1％）と続く。

　解釈の課題は、制度整備が進めば整理されていく可能性が高い。一方、証跡整備や期限内の対応可否が上位に来ていることは、企業の多くが制度理解の段階を越え、実装と運用に入りつつあることを示す。

　実装段階で避けて通れないのが、サプライチェーン環境の特殊性だ。今回の調査では、他組織と何らかの形で業務システムを共同利用している（または予定がある）との回答が89.1％に達した。そして、こうした環境でセキュリティ対策が難しい理由のトップは「管理外端末への対応が困難」だった。フリーコメントには「自社だけならなんとでもなるが、取引先を巻き込むことが難しい」（5000人以上／金融業）という声もあった。

　「他組織まで展開するとなると一気に難易度が上がります」と荒木氏。自社の管理が及ばない領域とどう折り合うかが、実装段階でいちばんの悩みどころになっている。

現実的な進め方、四つの足場

　ここまでの調査結果と制度の建て付けを踏まえると、進め方の足場が見えてくる。

　1つ目は、一次情報を起点にすること。IPAの公式サイトは順次更新されるため、そこで最新情報を確認したい。

　2つ目は、適用範囲の検討と現状とのギャップの洗い出しだ。申請主体は原則法人単位だが、妥当性が確認されれば事業部やグループ単位とすることもできる。範囲の設定は簡単ではないが、今から、自社にとって現実的な範囲の仮説を立て、要求事項と現状の差分を洗い出しておけば、やるべきことの総量が見え、期限とコストの見通しも立てやすくなる。

　3つ目は、関係部門で必要な論点を整理し、経営層の判断を得ながら進めることだ。★3の取得には経営層による自己適合宣誓が求められる。制度は事業継続リスクと情報管理リスクの両面を扱うため、特定部門だけで完結する話ではない。

　4つ目は、取引先との対話に向けた準備だ。本制度は発注者と受注者、2社間のやり取りが前提となる。発注側なら取引先のリスクに応じて★3か★4かを決め、経済産業省と公正取引委員会が公表しているパートナーシップ構築の考え方を参考に、コスト負担にも配慮しながら要請方法を考える。直ちに★を取得できない取引先には、要求事項・評価基準をチェックリストとして配布するという段階的な取り組みも例示されている。受注側なら自社の対策状況を整理して備える。企業間の話し合いを通じて、サプライチェーン全体で水準を引き上げていく姿勢が期待されている。

　そのうえで残るのが、調査でも難しさが際立っていた二つの実装課題、サプライチェーン環境でのMFA（多要素認証）とデータ保護だ。ここは、ユーザーの注意力や判断に依存する運用でカバーするのではなく、仕組みで解決することで、★4で求められる評価機関による審査にも耐える対策にしたい。

サプライチェーンMFAとデジタル証明書の統合運用

　評価基準では★3の段階から、重要な機密情報を取り扱うクラウドサービスでユーザーと管理者にMFAが求められ、★4では同様のシステムを対象に、インターネット経由で社内環境へ接続する場合などへ範囲が広がる。基準はユーザーの所属を区別しない。取引先と共同利用するシステムが機密情報を扱うなら、他社のユーザーも例外ではない。

　MFAの中でも安全性が高い方式の一つがデジタル証明書方式だが、導入にはハードルもある。「どのようにデジタル証明書を配布するかで悩む企業は少なくありません。ましてや、他の企業へとなると難題になりがちです」と荒木氏は言う。

　ソリトンシステムズの国産IDaaS「Soliton OneGate」は、デジタル証明書の発行から配布、多要素認証、シングルサインオンまでを一手に引き受ける。認証の土台となるプライベートCAまで含めてISMAPの言明範囲に収めた国産IDaaSは、現時点でSoliton OneGateだけだ（※2026年7月時点、ソリトンシステムズ調べ）。専用アプリ「Soliton Key Manager」で証明書とWi-Fi・VPNの接続プロファイルを一括配布でき、クラウドの認証から社内ネットワーク接続まで同じ基盤で運用できる。

　取引先への展開では、招待メールのリンクをクリックするだけでデジタル証明書を導入できる招待コード方式が有効だ。ある大手製造業では、受発注システムのクラウド化を機にSoliton OneGateを導入し、仕入先企業でもデジタル証明書によるMFAを実現した。取引先を巻き込むMFAは難題だが、解けない問題ではない。

取引先に渡したデータの統制

　調査で「情報漏えい対策が不十分と感じる場面」として突出したのは、「社給端末でのデータ持ち出し」（55.5％）と「取引先でのデータ保護統制」（53.7％）の二つだった。

　SCS評価制度の★4は、持ち出しPCでの機密情報の暗号化やリモートワーク時の機密管理に、ルールの策定と点検を求める。だが、扱うたびに暗号化し、利用後に削除する運用が、現場で回り続けるだろうか。

　ソリトンシステムズの提案は、機密データを端末に残さない「データレス型」の情報漏えい対策だ。ブラウザ業務には「Soliton SecureBrowser」、Microsoft Office製品を使った業務には「Soliton SecureWorkspace」が対応する。いずれも端末内に隔離領域（セキュアコンテナ）を作り、機密データはその中でのみ取り扱う。一時保存データは自動で暗号化され、隔離領域の終了時にキャッシュごと消去される。

　ユーザーが意識しなくても暗号化と削除が実施され、周知に頼らず仕組みで順守を説明できる。制御するのは端末ではなく隔離領域だから、取引先の管理外端末やBYODでも、相手の端末を管理下に置かずに、渡したデータを守れる。

ソリトンシステムズの主な提案内容（提供：ソリトンシステムズ）《クリックで拡大》

着実に前へ進むために

　荒木氏はこう語る。「攻撃の被害は深刻化し、一企業の問題にとどまらず、日本の社会や経済の全体に関わる事態になっています。国がSCS評価制度という共通の枠組みを示し、産業界全体で取り組む体制を整えたことを、私たちは前向きに捉えています」

　新しい制度に期待と懸念の両方が寄せられるのは当然だ。それでも、サイバー攻撃の被害が続く今の状況を変えようとする動きが、政府にも産業界にも生まれている。個々の企業に求められているのは、形だけの回答を急ぐことでも、本業に無理を強いてまで一気に対応することでもない。自社の現状を正直に見つめ、実のある対策を、続けられる歩幅で積み重ねることだ。

　ソリトンシステムズは認証やデータ保護の実装支援に加え、コンサルタントによるSCS評価制度に即したアセスメントと対策ロードマップを提供する「SCS Navi」を用意している。本調査の詳細な分析やフリーコメントを含む調査レポート全文は、ホワイトペーパー「サプライチェーンセキュリティ実態調査2026」として公開されている。次の一手を考える材料として活用してほしい。

Amazonギフトカードが当たる！アンケート実施中

本記事に関連して「サプライチェーンセキュリティ」についてのアンケートを実施しています。回答された方の中から抽選で10名様に、Amazonギフトカード（Eメールタイプ）3000円分をプレゼントいたします。当選者には、アイティメディアIDにご登録のメールアドレス宛にギフトをお送りします。当選者発表はギフトの送付をもってご連絡とさせていただきます。ぜひ下記アンケートフォームよりご回答ください。

ログイン または 会員登録（無料）いただくとアンケートフォームが表示されます。オレンジ色の「アンケートに回答する」ボタンからアンケート回答をお願いいたします。