SCS評価制度は何から始めるべきか？ まずは公開済みの★3・26項目を自社に当ててみよう

伴走と評価を同じベンダーに任せられる前提で、支援先を選ぶ

　支援ベンダーの選び方にも、この制度ならではの特徴がある。ISMSではコンサルティングを行う事業者と認証を行う機関を分けることが求められてきたが、SCS評価制度はそこを「一緒でも構わない」としている、と江島氏は説明する。参照したのは英国のセキュリティ認証制度「Cyber Essentials」だという。

　「ISMS認証のようにワンタイムで確認して『このタイミングではできていた』ではなく、普段から伴走支援という形で対策を構築・継続して、準備が整った段階で中立・公平な立場で評価を行う、という考え方も可能です」（江島氏）

　制度構築方針にも、★4の第三者評価と技術的支援を同一法人が実施することは必ずしも否定されない、と記されている。ただし中立性・公平性の要件は今後詳細化される。

適用範囲を部門に絞るなら、切り分けの妥当性を確認してもらう

　もうひとつ早い段階で決めるのが、どの範囲で★を取るかという設計だ。原則は法人単位だが、拠点ごとにネットワークが分かれていたり、コールセンター部門だけで完結していたりするケースでは、範囲を絞りたいという要望が出る。

　絞ること自体は企業の判断でできる。ただし条件が付く。

　「ネットワークとして繋がっていれば、自分たちはこの範囲だと示しても攻撃が広がる恐れがあります。その切り分け方が適切かどうかは、評価機関、もしくは専門家に確認をしていただきます」（江島氏）

　クラウドの責任分界も、範囲設計と地続きの論点になる。基盤そのものはクラウド事業者が提供するが、ログインのID・パスワードやワンタイムパスワードといった認証強化の機能は、江島氏いわく「ユーザー企業側の『設定』の問題」だ。設定が甘かったために不正侵入を許すケースも多いという。ID・パスワードの管理や共有範囲の設定など、ユーザーが制御できる領域はチェックリストの対象になる。

対策費用は発注元と交渉し、公的な支援策も使う

　対策には費用がかかる。受注側がすべてを負うのか、発注元へ転嫁できるのか。ここには独占禁止法上の「優越的地位の濫用」をめぐる委託元側の躊躇が横たわってきた。経済産業省と公正取引委員会は線引きと想定事例を公表しており、制度構築方針にもその概要が収録されている。

　ただし温度感は抑制的だ。

　「『必ず価格転嫁せよ』というものではなく、考え方を示したものですね。まずはしっかり交渉をしましょう、交渉があったら適切に対応しましょう、というところが事例とともに示されている」（江島氏）

　調達要件への影響については、ISMSやプライバシーマークが入札要件に掲げられている現状を踏まえ、「そのなかにSCS評価制度の『★3』や『★4』が入ってくることはあり得る」と江島氏は見る。必須要件とするか加点とするかは、預ける情報の機密性次第だという。

　取得を支える施策も動いている。「サイバーセキュリティお助け隊サービス」の新類型は、チェックリストによる課題の可視化から、ITツールおよびツール以外（教育やルール作りなど）の支援、そして★の申請支援までを一気通貫で提供する形が想定されている。実証事業では、★3の確認を担う専門家の役割までお助け隊事業者が担う。

　費用感はまだ見えない。今年度の実証事業では取得費用を経済産業省が全額負担し、「今年は無料でそのサービスをお試しで受けられる」状態にある。実証結果を踏まえた基準は2027年3月、正式な基準は令和9年度12月頃とされ、通常のサービス価格はその過程で姿を現す。

評価機関の公表を待たずに、いま動き出す

　江島氏が示したスケジュールでは、8月に評価機関を含む基本的なルールを決め切り、9月頃から12月にかけて募集と審査を行い、12月末までに公表する。制度の開始は2026年度末を予定している。

　評価機関がいくつ集まるかは読めていない。江島氏が繰り返したのは、地域のカバレッジへの問題意識だった。

　「全国をカバーできるだけの体制を整える。それが今の我々のミッションの1つですね。目詰まりが起きて、受けたくても評価が受けられないということだけはないように頑張りたいと思っています」（江島氏）

　なお、経済産業省は2026年4月にSCS評価制度に関する注意喚起を出している。「対応しなければ取引から外される」といった不安を煽る営業や、特定ツールの導入で済むかのような誘導への警戒である。制度は特定製品の導入を義務付けてはいない。

　要求事項も評価基準もすでに公表され、自己点検を始める材料は揃った。評価用ガイドが出たとき、動き出せる企業とそうでない企業の差は、いま26項目を手元で当てておくかどうかで決まることになりそうだ。