ジョーシス、「SCS評価制度」への認証・評価基準への対応状況を可視化する新機能を12月に提供

　サプライチェーン全体のセキュリティ対策を★（星）で評価する「SCS評価制度」の運用開始が、2026年度末頃に迫っている。ID管理・ガバナンス基盤を手がけるジョーシスは、自社の対応状況と制度の要求を突き合わせ、文書整備や年次の運用まで支援する「SCSオンボード機能（仮）」を12月にリリースする。コンサルティングに頼らず、製品の機能として制度対応を進められるようにするという。

　ジョーシスは2026年9月15日、報道関係者向けにSCS評価制度の勉強会を開催し、あわせてアイデンティティセキュリティ基盤「Josys」の新機能「SCSオンボード機能（仮）」を発表した。Josysを利用するすべてのユーザー企業に向けて、2026年12月に提供を始める予定だ。SCS評価制度のほか、ISO 27001、CIS、米国のNIST、SOC 2といった各種の認証・評価基準への対応にも広げる計画だという。

　勉強会ではまず大久保氏が、サプライチェーンを経由した攻撃の実例を紹介した。2022年3月には、トヨタ自動車の仕入先である小島プレス工業の子会社が、外部企業との通信に使うリモート接続機器の脆弱性を突かれ、トヨタの国内14工場28ラインが終日停止した。生産への影響は約1.3万台に及んだ。

　2025年に発生したアスクルのランサムウェア被害も、侵入口は同社そのものではなかった。業務委託先に付与していた、多要素認証（MFA）が適用されていない管理者IDの認証情報が漏えいし、攻撃者は約4ヵ月潜伏したのちにシステムを一斉に暗号化した。同社の公表資料をもとにジョーシスがまとめた数字では、失われた時価総額は221億円、個人情報の漏えいは約74万件にのぼる。

　ジョーシスは、2025年度の名目GDP約670兆円に、企業間で取引される割合を示す中間投入率82.8％を掛け合わせ、サプライチェーン取引の規模を約555兆円と独自に試算している。また、IBMの「X-Force脅威インテリジェンス・インデックス2025」をもとにした同社の推計では、サイバー攻撃の被害件数に占める日本の割合は22.4％で、米国の20.6％を上回るという。

　SCS評価制度の正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」。経済産業省と内閣官房国家サイバー統括室が2026年3月に制度構築方針を公表し、情報処理推進機構（IPA）が運営する。発注元、受注先、再委託先まで、企業の規模や立場を問わずサプライチェーンを構成するすべての企業が対象で、インターネットに接続する自社のIT基盤を第三者機関が評価する。2026年度下期に評価機関や評価用ガイドなどが公表され、同年度末頃に運用が始まる予定となっている。

　評価は★1から★5の5段階で、★1と★2は2017年から続く「SECURITY ACTION」の自己宣言にあたる。制度の本体は★3と★4だ。★3は要求事項26項目・評価基準81項目で構成され、専門家の確認付きの自己評価を毎年更新する。★4は★3を包括する要求事項43項目・評価基準153項目で、第三者評価に実地審査と技術検証が加わり、3年ごとに更新する。★3の取得は★4の前提ではなく、最初から★4を目指すこともできる。

　ジョーシスが★3の81基準を内容別に分類したところ、ID・認証に関する基準が27件（33％）で最も多く、インシデント対応・復旧の14件（17％）の約2倍だった。証跡の取り方で分けると、システムで取得できるものが40件（49％）、パスワードルールやインシデント対応手順などの文書で示すものが25件（31％）、全社への周知や年1回の点検など人手で回すものが16件（20％）になるという。★3を取得するにはこの3種類をすべて満たす必要がある。

　さらに、取得後も運用は続く。退職者IDの速やかな削除は常時、CVSS 7.0以上の脆弱性へのパッチ適用は14日以内、認証ログの監視は月1回、取引先の★の確認やアクセス権の棚卸しは年1回と、頻度の異なる作業を回し続けることが求められる。

　制度は取引そのものを規制しないが、取得企業は公開される。大久保氏は、発注側は委託先のセキュリティ水準を★で確認できるようになる一方、委託先は「取っていないこと」も見られるようになり、既存の取引に影響が出る可能性があると説明した。評価基準はすでに公表されているものの、評価ガイドは未公表で、多くの企業が自社の現在地を把握できず、何から着手すべきか決めかねている状況だという。

　Josysは、社内のIDとSaaSを台帳で可視化し、あらかじめ設定したポリシーとの差異をAIで常時モニタリングして、退職者アカウントの削除漏れなどを検知・是正する。同社の試算では、システムで証跡を取得できる40件のうち、Josysで12件、エンドポイント管理の「Josys EMS」で13件、Microsoft、Googleなどの既存のIDプロバイダー（IdP）で4件、合わせて29件（73％）をカバーできる。バックアップやネットワークセキュリティのログ取得といった項目は、別のツールで対応する必要がある。

　IdPとの違いについて松本氏は、IdPはアクセスそのものを提供するアイデンティティ・アクセス管理（IAM）の領域であるのに対し、ジョーシスは正しい人が正しい権限を持ち、その確認が定期的に回っているかを管理するアイデンティティ・ガバナンス管理（IGA）の領域を担っていると説明した。IdPは、SSOに対応していながらSSOが設定されていないアプリケーションを検出できず、特権IDの情報や棚卸しの機能にも制約がある。SCS評価制度では、このIGAの領域で求められる項目が多いという。

　SCSオンボード機能（仮）は、システムで対応できない文書と人手の領域までを引き受ける。★3や★4の取得に必要なシステム対応、文書、運用を「ブループリント（あるべき姿）」として示し、自社の対応状況をカバレッジとして可視化してボトルネックを示す。文書は1つの原本から基準ごとの様式で生成し、パスワードポリシーや休眠アカウントの日数を変更すると、影響する文書を洗い出して自動で更新する。周知や点検、承認は年間カレンダー上のタスクとして提案し、誰がいつ実施したかを記録に残す。不足している要素を踏まえた改善計画（ロードマップ）の策定も支援する。

　開発の背景には、認証・評価基準ごとに文書の様式や項目が異なる現状がある。同社のプレスリリースによると、複数の基準には共通する要件が多いにもかかわらず、企業は同じ内容の文書を基準の数だけ作成しなければならない。社内規程の一部を変えれば、影響するすべての文書を洗い出して手作業で修正する必要があり、担当者の負荷に加えて修正漏れや記載の不整合が生じるリスクもあるという。

　なお、SCSオンボード機能（仮）は、顧客へのコンサルティングをはじめ、個社ごとの戦略立案を行うものではない。松本氏は、制度は標準化されたものであり、個別の事情はあまり入れない方がよいと述べる。権限管理や多要素認証の適用状況といった基本項目はシステムで判定し、文書は共通の雛形を使う。各社が決めるのは、責任者は誰か、棚卸しを年1回と3ヵ月に1回のどちらで行うか、情報漏えいが起きたら何時間以内に経営に報告するかといった「変数」の部分に限られ、そこをシステムで管理する。「アスクルのケースを思い出すと、ルールが決まっていればすぐに動けるが、決まっていなければ動けない」と松本氏は話す。

　発注側がどこまで★を求めるかについては、現時点では経産省の次の発表を待ち、各社が制度を学んでいる段階だという。松本氏は、★4は難易度が高く、今後6ヵ月から1年で対応できる企業はほとんどないとみており、★3が1つの目安になると述べた。「ある日突然、★がないと発注できないとなれば、対応できない企業が多く、それこそサプライチェーンが止まってしまう。段階的に、時間をかけて実装していくのが現実的な着地ではないか」。攻撃者にとっては本体よりも業務委託先を狙う方が効率がよいため、中小企業でも低コストで導入できる仕組みが普及を後押しするとの考えを示した。

　SCSオンボード機能（仮）は中小企業から大企業まで、Josysのユーザー企業であれば利用できる。ジョーシスは今後、評価機関や評価用ガイドの公表など制度の進展に合わせて機能を更新していく方針だ。