コトラ（広報チーム） 
SCS評価制度の概要と背景
SCS評価制度とは？
SCS評価制度は、企業や組織のセキュリティ対策を見える化するために設計された制度です。2026年度末から本格的に運用が開始される予定であり、企業のサプライチェーンにおけるセキュリティレベルを★1から★5までの5段階で評価します。この評価は、企業が外部に対してセキュリティ対策の達成度を示すために有効で、特に取引先によって「★3取得」が求められる可能性があるため、早めの準備が重要です。
制度の背景と目的
SCS評価制度の背景には、近年増加しているサプライチェーン攻撃があります。特に中小企業が標的にされるケースが多く、大企業への攻撃の足がかりになることが問題視されています。このような状況を受けて、企業間の信頼性を向上させ、セキュリティの強化を促進するためにこの制度が策定されました。また、サイバー攻撃のリスクを軽減するために、2026年10月施行予定の「サイバー対処能力強化法」とも関連しています。
制度の対象とされるセキュリティレベル
SCS評価制度は、IT基盤外部ネットワーク及びクラウドサービスを対象とし、企業のセキュリティ対策を評価します。特に、「★3」レベルは、基礎的なセキュリティ対策を確実に講じているという基準であり、サプライチェーンを構成する企業が最低限満たしておくべき対策として位置づけられています。これにより、セキュリティレベルの底上げを図り、取引の安全性を高めることが目的です。
サプライチェーン強化の重要性
近年、サプライチェーンを狙ったサイバー攻撃が増加しています。そのため、各企業が連携してセキュリティ対策を強化し、サプライチェーン全体の防御力を高めることが重要です。トヨタ自動車がランサムウェア攻撃を受け、全工場が停止した事例などからも分かるように、一つの弱点が全体に大きな影響を与える可能性があります。SCS評価制度を活用することで、各企業は自身のセキュリティレベルを他と比較し、継続的に改善することが求められます。
SCS評価制度における評価基準
NIST CSFに基づく要求事項
SCS評価制度は、その評価基準の一部として、アメリカ国立標準技術研究所（NIST）が策定した「サイバーセキュリティフレームワーク（CSF）」を参考にしています。このフレームワークは、企業や組織が安全な情報システムを維持するための包括的なアプローチを提供するもので、識別、保護、検出、対応、復旧といった5つのコア機能に基づいています。SCS評価制度でもこれらの機能を活用し、企業のセキュリティ対策の成熟度を評価します。
★3取得に必要な評価基準
SCS評価制度における「★3」は、サプライチェーンにおいて最低限実装すべきセキュリティ対策として位置づけられています。企業が★3を取得するためには、まずその情報セキュリティレベルがNIST CSFの基本的な要求事項を満たしていることが必要です。特に、★3取得には専門家による確認と署名が必須であり、取得後も1年間の有効期間が設定されています。このレベルは、取引先企業によって必要とされることがあり、早期の準備が推奨されています。
各評価レベルの違い
SCS評価制度は、企業のセキュリティ対策を「★1」から「★5」までの5段階で評価します。★1は基礎的なセキュリティ対策で、★5は高度なセキュリティ管理が実装されている状態を意味します。★3はサプライチェーンにおいて最低限の基準とされ、★4と★5は、それぞれ特定のセキュリティ課題に対する高度な対応能力を持つことが要求されます。特に★4は有効期間が3年間となり、より長期間にわたり信頼性を維持することが求められます。
専門家の役割と必要条件
SCS評価制度において、専門家の役割は非常に重要です。評価取得には、資格を持つ専門家の確認が要求されており、その信頼性を担保するために、情報処理安全確保支援士やCISSP、CISMなどの資格が必要です。中小企業では、空位の専門家が社内にいれば評価取得がスムーズに進むとされ、数名の育成が推奨されています。これにより、サプライチェーンの中で企業がどのようにしてセキュリティ対策を改善し続けるかについての深い理解を持ち、活動を推進する役割を果たします。
企業が今から取り組むべき準備
自社のセキュリティ対策の棚卸し
2026年の本格運用に向けて、SCS評価制度への準備が企業には求められます。まず、初めに行うべきは、自社のセキュリティ対策の棚卸しです。これは、現状のセキュリティ体制とリスクを把握するための重要なステップです。CISA SCS評価制度に基づき、現行の対策がどの評価レベルに相当するのかを確認し、リスク箇所や改善が必要な部分を明らかにすることが求められます。このプロセスにより、具体的な改善が必要な領域を特定し、適切な対策を講じる土台を築くことができます。
対策レベル達成のためのアクションプラン
棚卸しの結果に基づき、次に必要なのは、目標とするセキュリティ評価レベル、特に「★3」を達成するためのアクションプランの策定です。SCS評価制度では「★3」がサプライチェーン企業がとるべき最低限の対策として位置付けられています。このため、具体的な短期・中期・長期の目標を設定し、それに向けた対策を計画することが重要です。実施すべき具体的な項目や手順については、専門家からのアドバイスも活用しながら計画を練ると良いでしょう。
社内教育と人材育成計画
社内のセキュリティ意識を向上させるため、社内教育と人材育成計画を策定することも不可欠です。特に、空位の専門家を社内に育成することで、評価取得がスムーズに進むとされています。それには、情報処理安全確保支援士やCISSP、CISMといった資格要件を満たすための研修や資格取得支援を行うことが効果的です。また、「能動的サイバー防御」のセミナーなど外部の教育リソースも活用しましょう。
専門家付き自己評価の準備
SCS評価制度では、自己宣言の信頼性を担保するために専門家の確認が求められます。このため、専門家を招へいした上での自己評価の準備が必要です。これにより、対策の効果や改善点を第三者視点で客観的に評価できます。専門家の署名が「★3」取得には必須であり、その有効期間は1年です。事前準備として、自社の現状整理と専門家との連携が順調に進行するよう、内部リソースを適切に配置し、評価プロセスを後押しできる体制を整備しましょう。
SCS評価制度に対応するためのリソース
利用可能な研修とコース
2026年の本格運用に向けて、SCS評価制度に対応するために様々な研修やコースが提供されています。特に、CISAやSCS評価制度に関連する最新の技術や対策を学べる内容が充実しています。経済産業省やIPAが主催する無料セミナーの他にも、サプライチェーンのセキュリティ強化をテーマにしたオンラインコースが数多く提供されており、これらを活用することで必要な知識を効率的に身につけることができます。
コンサルティングサービスの活用
SCS評価制度に向けた準備として、プロのコンサルティングサービスを活用することは非常に効果的です。外部の専門家によるアセスメントを受けることで、自社では気づきにくいセキュリティの課題を洗い出すことができます。また、評価基準に基づく具体的な改善策を提示してもらえるため、評価の取得に向けた効果的な対策が可能となります。
内部リソースの適切な配置
自社のセキュリティ対策を強化するためには、内部リソースの適切な配置が欠かせません。例えば、情報処理安全確保支援士やその他の資格を持つ社内の専門家を育成し、SCS評価制度における各種要件に対応させることが重要です。加えて、サプライチェーンのリスク管理に特化した部門を設置することで、迅速かつ効果的な対応が可能となります。
外部専門家との連携
外部専門家との連携も、SCS評価制度対応において非常に有効です。特に、制度の施行に向けて策定された基準やガイドラインの最新情報にアクセスする手段として専門家ネットワークを活用することが推奨されます。また、外部のセミナーや研修に参加することで、他組織の成功事例や失敗談から学ぶことができ、評価制度対応の計画に役立てることができます。
