SCS評価制度を企業成長の機会に変える 現状を踏まえた効果的な対応の進め方とは：★3か★4か、対策の段階にとらわれない防衛策

2026年度末頃の制度開始を目指す経済産業省の「SCS評価制度」。評価取得そのものが目的ではなく、自社のセキュリティ対策を見直し、サプライチェーン全体の安全性を高める契機となる制度と捉えられる。企業は今、どのような対策に取り組むべきなのだろうか。

[PR／ITmedia]

　ランサムウェアをはじめとした攻撃によって、国内でもさまざまな企業が深刻な被害を受けている。2022年には製造業の主要サプライヤーがランサムウェア攻撃を受け、受発注システムの停止に追い込まれた。その影響は発注側にも及び、国内全工場で生産停止を余儀なくされる事態に発展したことから、典型的なサプライチェーン攻撃として注目を集めた。

　こうしたサプライチェーン全体に影響を及ぼす攻撃への対策強化に向け、各社の対策状況を評価・可視化する仕組みとして経済産業省が公表したのが、「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度）だ。2026年度末頃の制度開始が予定されており、制度への対応に向けて動き始める企業も増えている。

　そもそも、何をすればSCS評価制度に対応できるのか。

サプライチェーン攻撃の影響範囲（提供：日立ソリューションズ）《クリックで拡大》

　SCS評価制度の中核を成すのは、本制度において設けられるセキュリティ対策の段階「★3」と「★4」だ。

• ★3は「すべてのサプライチェーン企業が最低限実装すべきセキュリティ対策として、基礎的なシステム防御策と体制整備を中心に実施する段階（専門家確認付き自己評価）」。
• ★4は「サプライチェーン企業などが標準的に目指すべきセキュリティ対策として、組織ガバナンス・取引先管理、システム防御・検知及びインシデント対応など、包括的な対策を実施する段階（第三者評価）」だ。

　SCS評価制度は企業間でセキュリティ対策レベルを競わせるための格付け制度ではない。共通の基準で対策状況を可視化し、サプライチェーン全体のセキュリティ水準の底上げを図ることを目的としている。

　上位の「★5」は「サプライチェーン企業等が到達点として目指すべきセキュリティ対策として、国際規格等におけるリスクベースの考え方に基づき、自組織に必要な改善プロセスを整備した上で、システムに対しては現時点でのベストプラクティスに基づく対策を実施する段階（第三者評価）」となる。★5の対策基準や評価スキームの具体化については今後検討される予定だ。2026年度末頃には★3、★4の申請受付開始が予定されているが、具体的に何から取り組めばよいか悩む企業も少なくない。

　こうした状況を受け、企業はどう動いているのか。日立ソリューションズの斎藤海渡氏は、「戸惑いを感じている企業が多いという実感があります。やらねばならぬ、と思ってはいてもどうやればよいのか、★3か★4か、どちらを目指すべきなのか、自分たちでは決めあぐねている企業が大半だとみています」と語る。

日立ソリューションズの斎藤海渡氏（セキュリティサイバーレジリエンス本部 チーフセキュリティエバンジェリスト）

　サプライチェーンを構成する企業といっても、多くの企業はバイヤー／サプライヤー両方の立場を兼ねている。そのため、自社のサプライヤーには★3の取得を求め、自社に関しては社会的責任を果たすという意味も考えて★4取得を目指すという企業もある。

　この状況に対して斎藤氏は、「セキュリティ対策に絶対の安全（100点満点）は存在しませんが、重要なのは継続的に対策を前に進め、ビジネスへの貢献につなげていくことです。そのきっかけとして、SCS評価制度が活用できると考えています。まずは取り組みを始めなければ、セキュリティは向上しません。今からでも一緒に始めていきましょう」と述べる。

　日立ソリューションズの山田公昭氏は、「SCS評価制度の“マーク取得”そのものを目的とするのではなく、制度を活用して自社の対策状況を可視化し、サプライチェーンセキュリティや事業継続性の向上につなげることが重要です」と強調する。

日立ソリューションズの山田公昭氏（セキュリティサイバーレジリエンス本部 セキュリティコンサルティング部 セキュリティコンサルティンググループ マネージャ）

サプライチェーンセキュリティに関する企業の現状

　2025年秋には、ランサムウェア被害によって国内の大手企業が数カ月間にわたり受発注システムが停止し、製品出荷にも支障が出るなど大きな話題となった。この事案は、セキュリティ対策に必ずしも積極的とは言えなかった経営層にとっても、その重要性を改めて認識する機会になった。SCS評価制度に関しては政府主導の取り組みであることから対応の必要性が理解されやすく、企業がセキュリティ体制を見直すためのきっかけとして有効だと考えられる。

　具体的な取り組みとして山田氏は、「まず、取引先から求められる水準や自社の事業継続リスク・情報管理リスク、適用範囲を踏まえ、★3と★4のどちらを目指すべきか判断する必要があります。そのうえで、自社のセキュリティ対策がどのようなレベルにあるのかの現状把握から始めて、★3または★4の要求事項とのギャップを確認します。次に、改善が必要な項目について、組織的対策と技術的対策の両面から改善案をお客さまと一緒に検討し、ロードマップを策定します。必要に応じて、対策を実現するためのソリューション導入も検討します」と説明する。

　SCS評価制度はサプライチェーン全体を対象としていることから、対策を講じるに当たっては広い視点を持つことが重要だ。斎藤氏は、「自分たちのセキュリティ状況がどうなのか、というところを可視化することからスタートしますが、サプライチェーンセキュリティは自社単体で完結するものではありません。そのため、取引先や委託先を含めたサプライチェーン全体でセキュリティを考えることが欠かせません」と述べる。

　セキュリティ対策を経営課題として捉えるための入り口としても、SCS評価制度は機能している。評価の取得を目指す企業は、自社の適用範囲や取引先から求められる水準、外部委託先やクラウドサービスの利用状況などを整理しなければならない。また、制度対応を進める中では、サプライチェーン全体を見据えたセキュリティ管理体制の整備も求められる。こうした対応を自社だけで進めることが困難なケースも珍しくなく、制度対応や評価取得に向けた取り組みを伴走する、信頼できるパートナーが求められている。

企業におけるSCS評価制度対策の捉え方

　日立ソリューションズはSCS評価制度対策として、コンサルティングサービスを提供している。山田氏は同社の強みとして、コンサルティング専門企業ではなく、システムインテグレーター（SIer）であることを挙げる。「セキュリティ強化に向けて何を実施しなければいけないかを整理したうえで、それを実現するための製品やサービスの提案まで一貫して対応します」と語る。

日立ソリューションズによるSCS評価制度対応の支援（提供：日立ソリューションズ）《クリックで拡大》

　出発点となる現状把握や改善目標の選定に関して斎藤氏は、「公式な取得区分ではありませんが、実務上は『★3取得を前提に、★4要求事項の一部も先行して満たす』段階的な取り組みを“★3.5”のように表現するケースもあります。評価取得を目的とするのではなく、セキュリティ向上を目指すために★3の要件に加え、優先度の高い★4の要件にも取り組む考え方です」と話す。

　斎藤氏によると、★3.5の考え方は、セキュリティ強化につながる部分にまずは集中するというものだという。

　巨大なサプライチェーンを構成する日立グループの企業としてサプライチェーンの管理やセキュリティに関する経験、ノウハウを有していることも同社の強みだ。日立グループは2017年に海外のグループ企業を入り口とする攻撃に遭った経験がある。これを契機に、セキュリティ統括専門組織を設置してセキュリティ強化を推進してきた。SCS評価制度のコンセプトと共通する取り組みを先行して実施しているというわけだ。

　さらに、SCS評価制度では主としてIT環境が評価対象となる一方で、製造業のサプライチェーンにおいて重要なOT環境に関する知見も豊富であり、OTセキュリティ対策を支援する製品・サービスも提供している。セキュリティ製品のベンダーではないため、特定の技術や製品に偏らず、ユーザー企業にとって適切な対策を提案できる中立性も日立ソリューションズの強みだという。

　SCS評価制度の本質は評価認定を取得することではなく、セキュリティを高めて、攻撃を受けた際に迅速に復旧できるレジリエンス（回復力）を実現することだ。自社を含めたセキュリティ対策状況を可視化・分析したうえでの対策には時間も要する。激化するサイバー攻撃への備えを強化するためにも、現状把握から早めに着手することをお勧めしたい。