SCS評価制度は何から始めるべきか？ まずは公開済みの★3・26項目を自社に当ててみよう

バラバラのチェックリストによる消耗を、共通の物差しで断ち切る

　SCS評価制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」。経済産業省と内閣官房国家サイバー統括室が方針を示し、制度を運営するスキームオーナーをIPAが担う。2026年3月27日に「制度構築方針」が公表され、企業に求める要求事項は★3が26件、★4が43件と示された。

　IPAセキュリティセンター リスクマネジメント部 セキュリティ制度グループでグループリーダーを務める江島氏が制度の背景に挙げたのは、脅威の質そのものの変化だった。IPAが毎年公表する「情報セキュリティ10大脅威」では、ここ数年、1位に「ランサムウェア攻撃による被害」、2位に「サプライチェーンの弱点を突いた攻撃」が並び、順位が動いていない。

　「サイバー攻撃の脅威は、以前は情報漏洩が一番大きいトピックでしたが、近年は委託先の停止により自社の事業が止まるなど、ビジネス継続に関わる問題が大きなトピックとなってきています」（江島氏）

　とはいえ、委託先を1件ずつ監査して回ることはできない。現実的な手段はチェックリストを配ることに絞られ、そこから二つの負担が生まれた。委託元は返ってきた回答の適正性を確かめられず、委託先は各社から届く要求への「対応疲れ」を抱える。制度構築方針も、この二つを現状認識として並べている。

　そこで用意されたのが、共通のチェックリストと、それを確認する仕組みのセットだった。

政府がリスク分析を代行した26項目・43項目を、対策リストとして使う

　制度が設ける段階は★3と★4、そして今後具体化される★5である。★1と★2に相当するのは、IPAが2017年から続けてきた自己宣言制度「SECURITY ACTION」だ。

　★3は「すべてのサプライチェーン企業が最低限実装すべきセキュリティ対策」と位置付けられ、広く知られた脆弱性を悪用するような一般的な攻撃への対処を水準とする。要求事項は26件。評価方法は「専門家確認付き自己評価」で、有効期間は1年となる。

　★4は「標準的に目指すべきセキュリティ対策」で、供給停止や機密情報漏えいのようにサプライチェーン全体へ影響が及ぶ攻撃までを射程に入れる。要求事項は43件。評価機関による第三者評価に加え、脆弱性検査を含む技術検証が入る。有効期間は3年で、その間も年次で自己評価を実施し、結果を評価機関に提出する。

　上位の段階は下位の要求事項を包括するため、★3を取っていなければ★4を取れない、という関係にはない。

　対象範囲は企業のIT基盤で、クラウド上で動く環境も含まれる。一方、製造現場の制御（OT）システムや発注元へ販売する製品は対象から外れた。江島氏によれば「すべてカバーしようとすると、自社に関係ない対策項目が増えてしまい共通のチェックリストとして使いづらい」という制度設計上の判断による。

　すでにISMS（情報セキュリティマネジメントシステム）認証を持つ企業にとって、この26件・43件は何が違うのか。要求事項はISMSと、米国国立標準技術研究所（NIST）が定めるCSF（Cybersecurity Framework：サイバーセキュリティフレームワーク）を含めた他の制度を下敷きにしている。「ISMSやNISTのCSFを参考にしていますので、対策項目が被っているところはあります」と江島氏も率直に認める。違いは制度の立て付けにあるという。

　「ISMSはどちらかと言えばセキュリティを管理する仕組みで、実際に何をやるかは会社ごとのリスクを把握したうえで決めてください、と。とにかく『仕組みを作る』のが主眼なんですね」（江島氏）

　対してSCS評価制度は、やるべき対策そのものを名指ししている。26個、43個と具体的に示されたリストに取り組めばよく、そこが大きな違いになる、と江島氏は整理する。

　制度構築方針は両者を、相互補完的な制度として両輪で発展させる関係だと整理している。自社でリスクを洗い出して対策を導く工程を、政府側が肩代わりした形だ。国が定めた最新の基準である、という事実は、経営層に予算を説明する材料にもなる。