SCS評価制度の運用に向け、企業は今からリスクマネジメントの強化に取り組むべき──Gartner見解

　2026年7月24日、ガートナージャパン（以下、Gartner）は、サプライチェーンに起因するサイバーリスクの現状および今後の対策についての見解を発表した。

　同社が2026年2月に実施した調査によると、国内企業の約7割が過去1年以内に取引先や業務委託先から、情報漏洩（またはその可能性）に関する報告を受けたことがあることが明らかになった。

　この結果は、サプライチェーンがセキュリティ・インシデントの主要な起点となっている現状を示しているという。また、サプライチェーンの複雑化により、企業間のデータ連携やシステム接続が増加し、セキュリティ担当者が全体像を把握しきれないケースも増えているとのことだ。

　Gartnerは、2030年までにサイバーセキュリティ・インシデントの60％以上がサードパーティ／サプライチェーンに起因するものとなるとみている。

　近年のインシデントでは、サプライチェーン経由での侵入による被害拡大、システム停止による長期間の事業停止やブランド毀損が顕著になっている。サプライチェーンで発生したインシデントは、単一企業にとどまらず、複数企業に連鎖的な影響を及ぼすため、企業は自社単体ではなく、サプライチェーン全体でのリスク管理へと発想を転換する必要があるとのことだ。

　また、2026年度終盤に運用開始が予定されている経済産業省のSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、サプライチェーンサイバーリスクマネジメントの取り組みに大きなインパクトをもたらす可能性があると同社は述べる。

　SCS評価制度の全貌は現時点でまだ見えないものの、まずは企業としての考えや主要発注企業からの制度対応要請の可能性に基づき制度対応方針を決定し、備えを開始することが重要だという。Gartnerが2026年2月に実施した調査によると、SCS評価制度開始1年前の段階で約25％の企業が、取引先に制度への対応を求めるつもりだと回答している。

　企業はSCS評価制度の留意点と利点を理解し、義務ではなく武器として活用することが重要だと同社は述べる。取引先のセキュリティアセスメント効率化、第三者による客観的評価、ステークホルダーへのセキュリティへの取り組みの開示など、どう活用するかという視点を持って取り組むことが肝要とのことだ。

　発注企業は、取引先を情報漏洩の影響、システム停止の影響、ビジネスインパクトなどの基準によるトリアージ（リスク分類）を行い、取引先ごとのリスクレベルに応じた対応を検討する必要があるとしている。一方、受注企業はサプライチェーン上で取引先に影響する対象システムをトリアージし、制度のスコープを特定する必要があるという。

　SCS評価制度の認証取得は目的ではなく、サプライチェーンサイバーリスクマネジメントの手段の1つ。自社の考え・取り組みを整理し、評価機関と対等に議論できるよう備え、サプライチェーンの一員としてビジネスの安全性を高めるという本来の目的に向けた取り組みと捉えることが重要だとしている。

【関連記事】
・55％の企業が内製化の目的を「コスト削減」と回答、しかし真の目的は別で置くべき──Gartner見解
・組織が生成AIを使いこなすためには「AI筋肉」の形成が必要──Gartner発表
・AIエージェントのセキュリティリスクが増大、ビジネスに影響大なインシデントも━━Gartner発表