SCS評価制度を「★取得」で終わらせないために──現場負荷の軽減、企業価値の向上にまでつなげられるか

なぜ今、「SCS評価制度」が求められるのか

　サプライチェーンを通じたサイバーリスクは、もはや一企業だけで完結する問題ではなくなっている。自社の対策が十分であったとしても、委託先や取引先で発生したインシデントが原因となり、生産停止や情報漏えい、サービス停止などが発生し、自社の事業へ影響が及ぶ可能性があるからだ。

　一方で、取引の現場では別の課題も顕在化している。調達先のセキュリティリスクの状況を把握したい発注側に対し、受注側は顧客ごとに異なるセキュリティ質問票やチェックリストへの回答を求められてしまい、多大な工数を費やさざるを得ない状態だ。

　こうした状況を背景として整備が進められているのが、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」である。同制度は、経済産業省および内閣官房 国家サイバー統括室が制度を構築している。

　SCS評価制度は、企業におけるセキュリティリスクの状況を共通の基準で評価し、その結果を活用することで、サプライチェーン全体のセキュリティレベル向上を目指す制度だ。

「SCS評価制度」がもたらす価値とは

　SCS評価制度には、下記のように受注側と発注側の双方にメリットがある。

　SCS評価制度は、受注側・発注側双方に価値をもたらす制度であるが、ここで考えるべき点がある。それは、「評価結果（★評価）の取得を目的としてよいのか」という点だ。

　制度対応の現場では、評価基準への適合、証跡や規程の整備などが目標となりやすい。しかし、経営者には異なる視点が求められる。企業全体のリスク管理の視点に立ち、経営陣が同制度を活用してセキュリティ管理の底上げの機会ととらえること、それこそが制度対応を経営成果へ結びつけるための鍵となるからだ。

　では、経営成果へ結びつける観点を考えるため、SCS評価制度への対応を進める「製造業A社の経営会議」を見てみよう。