コトラ（広報チーム） 
SCS評価制度の概要
制度創設の背景
SCS評価制度の創設背景には、サプライチェーンにおけるセキュリティの重要性が増している現状があります。特にサイバー攻撃の増加に伴い、取引先におけるセキュリティ対策の可視化が難しく、これが大きな課題となっています。また、委託先企業は、多くの異なるセキュリティ要求に応じる必要があり、これが負担としてのしかかっています。こうした背景を踏まえ、経済産業省と内閣官房国家サイバー統括室は、SCS評価制度を発表することにより、サプライチェーン全体のセキュリティ強化を目指しています。
評価制度の目的
SCS評価制度の目的は、主に二つに分かれます。まず、サプライチェーン全体におけるセキュリティ対策水準を向上させることです。さらに、発注企業が受注企業に対して適切なセキュリティ対策段階、すなわち評価段階を提示できるようにし、企業間のコミュニケーションを改善し、信頼関係を構築することを目指しています。この制度を通じて、サプライチェーンにおける安全性を確保し、ビジネス全体の安定性を向上させることが期待されています。
評価の段階と基準
SCS評価制度では、セキュリティ対策が★1から★5の5段階で評価されます。★3では専門家による確認を基に自己評価を行います。一方、★4は、44項目の要求事項が設定されており、第三者評価機関による厳密な審査が必要です。最高位レベルである★5は、経済安全保障に関する高度な情報やシステムを取り扱う企業に求められる水準で、2027年度中の運用開始が予定されています。このように、評価段階に応じて異なる基準が設けられていることが特徴です。
他の制度との違い
SCS評価制度は、既存のセキュリティ基準との連携を図りながら設計されている点が大きな特徴です。具体的には、ISO27001（ISMS）やSECURITY ACTION制度との関係性を考慮し、新たな評価レイヤーを設置することで、これらの基準を補完しています。このアプローチにより、既存の制度を活かしつつ、さらなるセキュリティ対策の強化を実現しています。他の制度と異なる点として、この評価制度が特に中小企業の参加を促し、全体としての安全保障の強化を図る意図があります。
各評価レベルの要件
★3の評価項目
★3レベルの評価は、サプライチェーンのセキュリティ強化に向けた専門家の確認を伴う自己評価を基礎としています。この評価レベルでは、企業は自社のセキュリティ対策を自己評価し、専門家の意見を受け入れることで、25項目にわたる基本的な要求事項を満たす必要があります。これにより、取引先に対して一定のセキュリティ基準を維持していることを明示することができます。
★4の要件と追加項目
★4の評価は、より高度なセキュリティ対策を求められる段階であり、44項目にわたる詳細な要求が規定されています。このレベルでは、第三者評価機関による外部の審査が必須となり、企業はその審査に向けて事前に文書整備や内部調整を行う必要があります。これにより、外部からの公正な評価を得ることで、さらに信頼性の高いセキュリティ対策が講じられていることを証明することが可能です。
★5の最高位レベル
★5はSCS評価制度における最高位の評価レベルであり、主に経済安全保障に関わる情報やシステムを取り扱う企業に対して求められるセキュリティ基準です。この評価の詳細な要求事項はまだ確定されていませんが、高度な防御体制や運用管理の強化が必要とされることが示唆されています。★5達成は、企業が最先端のセキュリティ対応能力を持っていることを証明するもので、将来的には最も高い信頼を得るための基準となるでしょう。
SCS評価制度の準備と対応
企業が取るべき初期ステップ
サプライチェーン強化に向けたセキュリティ対策評価制度、通称SCS評価制度は、サプライチェーン全体の安全性を高めることを目的としています。この制度の導入に向け、企業が初めに取るべきステップとして、自社のセキュリティ対策の現状を把握することが重要です。まずは、制度が求める★3の専門家による自己評価を基に、内部での確認を進めましょう。この段階で、基本的なセキュリティ対策の状況を明示し、どの部分で改善が必要かを洗い出すことで、次の対策を考える基礎となります。
組織内での準備と調整
組織内での準備としては、技術的対策と組織的対策の両面をバランスよく強化することが求められます。特に、★4評価に進むには44項目の要求事項に適合する必要があり、これらの要件を満たすための第三者評価に備えるため、関連する文書を整備し、評価基準に適したセキュリティ管理体制を構築しましょう。また、従業員への啓発活動も欠かせません。全社員に対するセキュリティ意識の向上を図ることが、制度への適応をスムーズに進めるための土台となります。
制度運用開始に向けたスケジュール
SCS評価制度の運用開始は2026年度末を予定しています。制度への対応を円滑に進めるためには、スケジュールに沿った準備が必要です。2025年4月には中間取りまとめの公表があり、その後、12月に構築方針案の公表と意見公募が予定されています。企業はこれらのタイムラインに合わせ、必要な準備を早期に進めることが求められます。特に、意見公募の終了時点までには自社の対応方針を明確にし、必要な改善策を策定しておくことが望ましいでしょう。
SCS評価制度とサプライチェーンの未来
経済やビジネスへの影響
SCS評価制度はサプライチェーン全体のセキュリティ対策水準を向上させることにより、経済やビジネスに多大な影響を与えます。この制度により、取引先企業は明確なセキュリティ評価を受けることができ、競争力のあるビジネスパートナーを選定する際の指標として活用されます。特に、セキュリティを重視する多国籍企業への供給を担う日本の中小企業は、この制度により大きな信頼構築が可能となり、国際市場での競争力が高まることが期待されます。
サプライチェーンの安全性向上
サプライチェーンにおける安全性の向上は、SCS評価制度の主要な目的の一つです。この評価制度を導入することで、サイバー攻撃や情報漏洩のリスクがより管理可能となり、安定した供給体制が確保されます。特に、サプライチェーンにおける各企業のセキュリティ対策が可視化されることにより、発注企業は受注企業をより効果的に管理し、全体的な対応力を高めることができます。
長期的視点での制度の役割
長期的に見て、SCS評価制度は単なるセキュリティ強化の枠を超えて、持続的なビジネス環境の構築に寄与します。企業が評価基準を満たすことで得られるビジネス機会や、信頼に基づいた取引先との関係強化は、サプライチェーンを支える重要な要素となります。また、この制度を通じて日本全体の経済安全保障が強化され、国際競争においてリーダーシップを発揮することが可能となります。
