SCS評価制度で中小企業の取引はどう変わる？専門家が教える今からできる対策

2027年3月の申請受付開始に向けて、★3・★4の違いや少人数企業の対応策を解説

取引先を経由したサイバー攻撃（サプライチェーン攻撃）が増加しています。こうした状況を受け、経済産業省と国家サイバー統括室は、サプライチェーン全体のセキュリティ対策を共通基準で評価する「SCS評価制度」を創設します。現在、制度の具体化が進められており、申請受付は今年度末（2027年3月）に開始予定となっています。

中小企業にとっても、これまで取引先ごとのチェックシートなどで確認されてきたセキュリティ対策について、今後は「自社が実施している対策を、根拠とともに示す」ことが重要になってきます。制度への対応にはには費用や手間が伴いますが、取引先の方針によっては、評価の取得が取引継続や新規受注に影響する可能性もあります。

今回は、株式会社セキュビット代表取締役の増村 洋二氏に、SCS評価制度の概要や中小企業の取引への影響、そして専任担当者がいない少人数の会社でも取り組める現実的な対策について伺いました。

増村 洋二（ますむら ようじ）

株式会社セキュビット 代表取締役

2002年より情報セキュリティ業務に従事。LINE、楽天、ジンズ、カルチュア・コンビニエンス・クラブなどで、情報セキュリティ部門の立ち上げに携わり、責任者を歴任。計4万時間、5千件以上の対応経験を重ね、株式会社セキュビットを設立。情報セキュリティ・サイバーセキュリティに関するコンサルティングと研修を通じて、中小・中堅企業のセキュリティ対策を支援。企業向けIT専門メディア「ZDNET Japan」で「つながりで考えるセキュリティ対策」を連載中。

SCS評価制度とは？中小企業の取引はどう変わる？

増村：SCS評価制度は、正式には「サプライチェーン強化に向けたセキュリティ対策評価制度」といいます。経済産業省と内閣官房 国家サイバー統括室が主導し、IPA（情報処理推進機構）が運営を担います。★3・★4は、2027年3月に登録申請の受付開始が予定されています。

背景にあるのは、取引先を経由したサイバー攻撃です。どれだけ自社の守りを固めても、委託先や仕入先が侵入口になれば、サプライチェーン全体に影響が及びます。

これまでの企業間取引には、双方にとっての課題がありました。委託元（発注者側）からは委託先（受注者側）の対策状況が見えにくく、独自のチェックシートを作って運用する負担もありました。一方の委託先は、取引先ごとに異なる質問へ回答する必要があり、担当者の負担が大きくなりがちでした。また、自己申告のチェックシートだけでは、対策が実際に機能しているかまでは確かめにくいという面もあります。

SCS評価制度は、こうした確認を共通の基準にそろえるための仕組みです。対策の水準を★の段階で表し、委託元は取引の中で委託先に求める★を示し、委託先は取得した★で対策状況を伝える。これによって、重複した確認の負担を減らしながら、サプライチェーン全体の対策水準を高めることが狙いです。

増村：中小企業にとっての大きな変化は、セキュリティ対策の示し方です。今後は「やっています」と自己申告するだけでなく、自社が実施している対策をSCS評価制度を通じて示すよう、取引先から求められる可能性があります。

昨今の被害の拡大傾向から分かるように、セキュリティ対策は、万一に備えるコストというだけでなく、取引を続けるための条件という性格を強めていくと考えています。

一方で、★を取得すれば、取引先ごとに異なる確認への対応負担が軽くなることも期待できます。負担としてだけ捉えるのではなく、取引を続け、広げるための準備と考えていただければと思います。

SCS評価制度の対象企業は？どんな中小企業に影響する？

増村：経済産業省は、SCS評価制度について、業種や事業規模を問わず幅広い企業や組織が対象になり得るとしています。

次のような企業が特に影響を受けやすいと考えています。

• 大手企業から業務委託を受けているシステム開発会社やBPO事業者
• 製造業のサプライチェーンに組み込まれている部品・素材メーカー
• 顧客の個人情報や機密情報を預かっている企業
• 取引先のネットワークやシステムに接続して業務をしている企業

SCS評価制度の★3と★4の違い

【★3（要求事項：26項目）】
一般的なサイバー脅威に対処できることを水準とする段階です。自社で行った自己評価を、セキュリティ専門家が確認・助言し、経営層が自己適合を宣誓したうえで申請します。有効期間は1年です。

【★4（要求事項：43項目）】
取引先のデータやシステムの保護にも寄与する水準です。評価機関による第三者評価に加え、インターネットに公開されたVPN装置などへの脆弱性検査（技術検証）が求められ、有効期間は3年です。

なお、上位の★は下位の要求事項をすべて含むため、★3を取得していなくても★4の登録申請は可能です。

増村：どちらを目指すかは、最終的には取引先が何を求めるかによります。

委託元が調達条件に★の取得を組み込み始めると、取引の継続や新規取引の開始に影響が出る恐れがあります。主要な取引先の方針は、早めに確認しておくことをおすすめします。

少人数の中小企業でも対応できる？3つの課題と「引き算」の考え方

増村：SCS評価制度において、中小企業が苦労しやすい点は、大きく3つあると考えています。

• 1つ目：「実施している対策を根拠とともに示す」こと
  実際にはパスワード管理やバックアップをしていても、規程や台帳、点検記録といった形で残っていないケースは少なくありません。★3の自己評価も、こうした規程や記録をもとに行います。形式的に「できている」と回答するのではなく、対策が実際に機能していることを説明できる状態にしておくことが大切です。
• 2つ目：「適用範囲」を決めること
  どの拠点やクラウドサービス、どの機器までを対象にするかを自社で決め、対象外との境界を明確にする必要があります。IT資産の棚卸しができていないと、ここでつまずきやすくなります。
• 3つ目：対策を「足し算」で増やしてしまいがちなこと
  要求事項を満たそうと熱心に取り組むあまり、自社では運用しきれない高機能なツールを導入したり、現場で守りきれない規程を作ったりしてしまうことが往々にしてあります。

しかし、管理しきれないツールや守られないルールは、かえってリスクになります。「運用が回らない対策は、最大の脆弱性になる」というのが、支援の現場で実感してきたことです。

増村：少人数の会社でも、対応は十分に可能だと考えています。

大切なのは、自社に必要な対策を見極めて絞り込む「引き算」の発想です。

たとえば構成管理は、最初から資産管理システムを導入しなくても、運用ルールを決めた台帳管理から始められます。私たちが支援した案件の中には、セキュリティ運用の棚卸しによって運用工数を3割程度減らしながら、対策の実効性を高めた例もあります。

外部の専門家をうまく使うこともおすすめします。現状とのギャップ分析や規程のひな形づくり、適用範囲の確認は専門家の力を借り、日々の運用は社内で回すなどして工夫すれば、費用や負担を抑えながら、SCS評価制度の★取得を目指せます。

SCS評価制度に向けて今からできる5つのステップ

増村：優先して取り組んでいただきたいことを、順番に5つ挙げます。

• 1．経営者が方針を示し、推進体制をつくる
• 2．IT資産を棚卸しする
• 3．要求事項とのギャップを確認する
• 4．対策を「効果×運用負荷」で仕分ける
• 5．記録が自然に残る仕組みにする

1．経営者が方針を示し、推進体制をつくる
★3でも、経営層による自己適合宣誓が求められます。まずは経営者自身が「自社の取り組み」と位置づけ、推進役を決めてください。要求事項は組織的な対策から技術的な対策まで幅広いため、情報システムの担当者だけで抱えるのは難しいと思います。少人数の会社でも、総務・人事は教育や守秘義務、購買や営業は取引先との契約、IT担当は技術的な対策というように、役割を分けておくことが大切です。

2．IT資産を棚卸しする
パソコン、サーバー、ネットワーク機器、利用しているクラウドサービス、アカウントを一覧にします。これが適用範囲を決める土台になります。各部門が独自に使っているクラウドサービス、いわゆる「シャドーIT」を把握するには、現場の協力が欠かせません。

3．要求事項とのギャップを確認する
IPAが2026年10月28日に公開した解説書・自己評価等ガイドを使い、「できていること」と「できていないこと」を洗い出します。

4．対策を「効果×運用負荷」で仕分ける
防御効果が高く、運用負荷の低い対策は、すぐに実行します。たとえば不要なIDの削除です。地味な対策ですが効果は大きく、記録を残しておけば自己評価の根拠にもなります。反対に、効果は高くても負荷の重い対策は、外部の力を借りることも含めて検討します。

5．記録が自然に残る仕組みにする
評価のためだけに資料を作る運用は、長続きしません。申請や対応の記録が日々の業務の中で自然に残る形を最初から考えておくことが、毎年の更新を見据えたポイントです。

増村：少人数の企業が最初に着手しやすいのは、「2．IT資産の棚卸し」と「4．対策を効果と運用負荷で仕分けること」です。

完璧を目指して手が止まるより、できるところから記録を残しながら進めることが大切だと考えています。セキュビットでは「無償の簡易診断サービス」を提供していますので、ご関心のある方はご相談ください。

取引先から「★を取得して」と言われたら？確認すべき4つのポイント

増村：まず確認していただきたいのは、次の4点です。

• ①求められているのは★3か★4か
• ②いつまでに必要か
• ③対象は会社全体か、その取引に関わる部門やシステムだけか
• ④取得するまでの間、取引をどのように進めるか

★3・★4は、2027年3月に登録申請の受付開始予定です。取引先の担当者と期限や範囲をすり合わせましょう。そのうえで取得までの計画を共有することが信頼につながります。

専門家に相談する場合は、ギャップを洗い出す段階、つまりできるだけ早い時期をおすすめします。最初に適用範囲の決め方を誤ると、後から大きな手戻りが生じやすいからです。

増村：SCS評価制度は新たな負担と受け止められがちですが、私は中小企業にとって前向きな機会にもなると考えています。

自社の対策を★という共通の基準で示せるだけでなく、これまでの対策を棚卸しして運用を見直すきっかけにもなります。それが取引先からの信用獲得にもつながるからです。

制度への対応をきっかけに、取引先から信頼され続けるための土台を整えていただければと思います。

（編集：創業手帳編集部）