SCS評価制度の支援と評価の責任を切り分け、実装に軸足を置く──日立ソリューションズに聞く

ISMSは「仕組み」、SCS評価制度は「実行」

　すでにISMS（情報セキュリティマネジメントシステム）やNISTのサイバーセキュリティフレームワーク（CSF）を運用する企業にとって、SCS評価制度は屋上屋にならないか。

　「対外的にセキュリティ対策の実効性を証明するという観点では、ISMSとSCS評価制度は同様の役割を果たすと考えています。調達条件においても、今後は両者のいずれかを満たすことが求められるケースが増えていくのではないかと想定しています」（斎藤氏）

　一方で両方を取りに行く企業も現に存在する。ISMSは規格の性格上マネジメント寄りで、実行としての対策に紐付けるにはもう一段の翻訳が要る。SCS評価制度の要求事項は、ガバナンス整備からリスクの特定、復旧までがNIST CSF 2.0を下敷きに並ぶ。

　「対外的なセキュリティ認証としてISMSを取得している一方で、取引先から★4相当の水準を求められた際に備え、SCS評価制度の評価取得にも取り組む企業が見られます」（斎藤氏）

　CSFについては「特に包含されている」というのが斎藤氏の判断だ。ただし業界ごとの調達基準が変わらなければ、そこに準拠する必要は残る。回答負荷を減らす制度の狙いからすれば、いずれ「星（★）」が共通言語になるとみる。

評価機関にはならない──支援と評価を分ける

　制度対応の支援と、評価そのもの。この切り分けは支援ベンダー選びに直結する論点である。

　「『あなたたちがその認可をくれるのですか』という質問はよくいただきます。しかし、監査という側面もあるので、独立性が担保しきれないので認可は行っていません」（斎藤氏）

　★4のバッジ取得には制度スキーム上、第三者機関としての評価機関が必要になる。同社が担うのは評価に耐えうる形に持っていくための支援であり、一次評価に相当する部分までだ。ISMSの支援でも従来から顧客側に立ち、一緒に認証を取りに行くスタンスを取ってきた。

　一方で★3は専門家確認付き自己評価という方式のため、情報処理安全確保支援士やCISSPなどの資格を持つ人材が自己評価を確認する。社内に該当する人材がいない企業から代わりに評価してほしいと求められれば、そこは支援する。取りに行く星によってスタンスを変えている。

　「我々はSIerなので、実装の部分に力を入れたい。お客さまを評価する立場というよりも、お客さまのセキュリティ水準の向上を支援する立場から、SCS評価制度を活用していきたいと考えています」（斎藤氏）

　中立性・公平性の要件は今後詳細化され、評価機関の公募も2026年度下期に控える。ここがどう固まるかは「今後は自社の立ち位置についても検討が必要になるかもしれない」と含みを残した。