SCS評価制度の支援と評価の責任を切り分け、実装に軸足を置く──日立ソリューションズに聞く

現状把握から実装までを4段階で伴走する

　同社の「セキュリティ対策評価制度対応支援コンサルティング」は4段階からなる。認定取得のスコープを定めて要件一覧を作り、独自のインタビューシートと専門家のヒアリング・現地調査で現状と評価基準とのギャップを洗い出す。3段階目で改善案とロードマップを組み立て、最後に申請書類の作成や是正措置の報告まで支援する。

　力点は3段階目から先にある。ギャップ分析で浮かんだ課題に対し、動くソリューションまで一貫して提供できるかどうか。斎藤氏がSIerの持ち場と位置付けるのはこの部分だ。

　「現状把握だけではセキュリティ強化につながらず、計画策定だけでも十分ではないという認識が経営層にも浸透しつつあります。そのため、『まずは短期間で実施可能な対策から着手したいので、実行計画を示してほしい』というご要望が増えています」（斎藤氏）

　ギャップ分析の結果を「何々が必要と思われます」で止めない。各評価基準に必要な技術要素を整理し、具体的な商材をマッピングしてカバー範囲を示す。「絵に描いた餅にしないのがSIerの務め」だと斎藤氏は言う。製品は自社の情報漏洩防止ソリューション『秘文』にとどまらず、ID管理やSASE、ログ管理・XDRまで他社製品も含めて選ぶ。

「取らなければいけない」ではなく「どう捉えているか」から聞く

　顧客との最初のやり取りで、斎藤氏は取得を前提にした話し方をしない。

　「『この評価制度を取らなければいけないですよね』という話よりも、『この制度をどう捉えていますか』という問いから始めて、ディスカッションしていくことを最初の入り口にしています」（斎藤氏）

　顧客は大きく2種類に分かれるからだという。★3や★4という「星」の取得自体を主眼とする企業と、制度をきっかけに元々やりたかったセキュリティ強化を進めたい企業だ。どちらに寄せるかで提案は変わる。

　制度の認知はこの数ヵ月で変わった。「4月ごろには『SCS評価制度って何ですか』という声もありましたが、今ではかなり浸透してきました」と斎藤氏は振り返る。一方で動き出しには濃淡があり、ガイドが出るまで様子を見る企業も少なくない。

　経営層の関心の向きも変わった。以前は情報システム部門の担当者と、乗り気ではない経営層をどう啓発するか作戦会議をしていた。ここ2年ほどでセキュリティ事故が生活に響く出来事として報じられ、経営層同士の横のつながりから「我が社はどうなのか」という一言が上から降りてくるようになった。

　行政側の力の入れ方も従来の基準とは違うと斎藤氏は見る。同時期には、能動的サイバー防御を担うサイバー対処能力強化法も施行される。

　「法的な強制力をともなう施策は、重要インフラ分野を中心とせざるを得ません。一方で社会基盤や経済基盤の安定を考えると、サプライチェーン全体のセキュリティを強化し、両輪で連動させて取り組むことが重要です」（斎藤氏）

　大きなコアを守る同法と、その周辺を守るSCS評価制度が対になる、というのが斎藤氏の整理である。対応が顕著なのは製造業だ。サプライチェーンの階層（ティア）の深さが、そのままリスクの広がりになる。物流企業が止まって別の小売サービスまで止まる連鎖も報じられ、「対岸の火事ではなく、そんなに密接に絡まっていたのか」という受け止めが広がった。

経営層は★4と言い、現場は★3にも身構える

　制度の受け止めには、経営層と現場の温度差も表れる。斎藤氏が挙げたのは、経営層から「★4を取る」というマイルストーンだけが降りてきて、現場が対応に困るケースだ。なぜ★3ではないのか。

　「取引先に★3を推奨する立場で、自分たちが★3とは言えない。指示を出す以上、1つ上を取っておかないと根拠が弱い、と考えている」（斎藤氏）

　制度上、★3は「すべてのサプライチェーン企業が最低限実装すべき対策」、★4は「標準的に目指すべき対策」と位置付けられている。最低限なら当然その上へ、という受け取り方である。

　ただし現場の見立ては違う。「★3もそれなりに厳しい要求項目なので、『うちは★3も難しいかもしれない』と。段階的に進めなければ、という焦りはあります」と斎藤氏は明かす。

　もっとも、この温度差を煽る売り方は封じられている。取らなければ危ないと恐怖を訴える営業をしないよう行政側から通達が出ており（経済産業省も2026年4月に同趣旨の注意喚起を公表）、「逆に我々も伝え方が難しい」と斎藤氏は語った。