「セキュリティ対策評価制度」、情シスならではの準備ポイントは？

PC関連のアップデートを放置し、ランサムウェアに感染

OSやソフトウェアのアップデートでは、新機能の追加だけでなく、発見された脆弱性の修正も行われます。しかし「業務への影響が心配だから」「更新作業に手間がかかるから」といった理由で、対応を後回しにする企業も少なくありません。

その結果、攻撃者にOSやソフトウェアの脆弱性を突かれ、ランサムウェアに感染するケースが見られます。感染すると、業務データが暗号化されて利用できなくなるだけでなく、復旧に時間がかかることもあります。

認証管理の甘さを突かれ、メールアカウントを乗っ取られる

多要素認証（MFA）を導入していなかったり、複数のサービスで同じパスワードを使い回したりしていると、認証情報が漏洩した際に不正アクセスを許す危険性が高まります。実際、従業員のログイン情報が悪用され、メールアカウントを乗っ取られるケースも見られます。

被害が発生すると、過去のメールや添付ファイルを閲覧され、顧客の個人情報や社内の機密情報が流出しかねません。

自社が踏み台となり、取引先へのサイバー攻撃が発生

自社のセキュリティ対策が不十分だと、システムやメールアカウントを攻撃者に乗っ取られ、取引先への攻撃に悪用される恐れがあります。例えば、自社のアカウントからウイルス付きメールが送信され、取引先のシステムに被害を与えてしまうケースです。

このような事態に発展すると、取引先で業務停止やデータ消失などが発生し、損害賠償を請求される可能性があります。加えて、企業としての信用低下や取引停止につながることもあるため、十分な注意が必要です。

セキュリティ対策評価制度とは

セキュリティ対策評価制度は、正式には「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」といい、企業のセキュリティ対策を共通の基準で評価・可視化する制度です。

これまで中小企業向けには、自己宣言型の「SECURITY ACTION（★1・★2）」が運用されてきました。IPAは、SCS評価制度をSECURITY ACTIONの次のステップに位置付けています。

SCS評価制度では、★3はセキュリティ専門家の確認を経た自己評価、★4は評価機関による第三者評価と技術検証によって評価されます。★5については、要求事項・評価基準、評価スキーム、開始時期が現在検討されています。

★3・★4を取得することで、自社のセキュリティ対策の状況を取引先などに客観的に示しやすくなります。ただし、本制度は企業同士の対策レベルを競わせる格付け制度ではありません。

「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました（経済産業省Webサイトが開きます）

セキュリティ対策評価制度が創設される背景

近年、セキュリティ対策が十分でない取引先や委託先を侵入口とし、サプライチェーン全体に被害が広がる攻撃が問題となっています。こうした攻撃に備えるには、自社だけでなく、取引先を含めてサプライチェーン全体でセキュリティ水準を引き上げる必要があります。

一方、委託元には委託先の対策状況を客観的に把握しにくく、委託先には取引先ごとに異なる確認項目への対応負担が大きいという課題があります。

そこで、企業の対策状況を共通の基準で評価・可視化し、安全な取引環境の構築につなげるため、SCS評価制度の創設が進められています。

セキュリティ対策評価制度の運用開始時期と対象範囲

SCS評価制度の★3と★4については、2027年3月頃に運用を開始する予定です。★5の要求事項・評価基準、評価スキーム、開始時期は現在検討されています。

対象となるのは、サプライチェーンを構成する企業などのIT基盤です。クラウド環境も含まれますが、製造環境などの制御システム（OT）や取引先に提供する製品などは、原則として直接の対象には含まれません。

本制度は任意であり、全ての企業に取得を義務付けるものではありません。ただし、個別の取引において、委託元が委託先に取得すべき評価段階を示し、双方で対策状況を確認する場面が想定されています。

★3・★4の要求事項・評価基準は既に公開されており、取得には、それぞれに定められた全ての項目を満たす必要があります。解説書と取得ガイドは2026年10月頃に公表される予定です。情シスは今のうちから自社の対策状況を確認し、不足している項目を洗い出しておきましょう。

★3で求められること

★3は、一般的なサイバー脅威への対処を目指す基礎的な評価段階です。★1や★2のような自己宣言ではなく、セキュリティ専門家の確認を経た自己評価により、基本的な対策を組織として実施できていることが求められます。

取得にあたっては、企業が★3の要求事項や評価基準に沿って自己評価を行い、その内容をセキュリティ専門家が確認します。専門家は内容を精査し、必要に応じて評価結果の修正や改善に向けた助言を行います。

最終的に、専門家の署名と経営層による自己適合宣誓を含む評価結果を事務局へ提出し、内容に問題がなければ登録・公開される予定です。

★4で求められること

★4は、サイバー攻撃の侵入防止に加え、侵入された場合の被害の拡大を抑え、取引先のデータやシステムを守れる体制を目指す評価段階です。サプライチェーン上の役割を踏まえ、事業や取引への影響を想定した対策が求められます。

評価では、企業が要求事項や評価基準に沿って自己評価を行ったうえで、評価機関による第三者評価を受けます。書類確認に加えて実地審査と技術検証も行われるため、★3よりも客観性が高い仕組みです。

審査後は、評価機関から報告書が交付されます。その後、企業が事務局へ登録を申請し、内容に問題がなければ評価結果が登録・公開されます。

★5の位置づけ

★5は、より高度な対策を想定した段階です。ただし、要求事項や評価基準、評価スキーム、開始時期は現在検討中です。

そのため、現時点ではまず★3または★4への対応を検討し、必要な対策を進めることが重要です。★5については、詳細の公表後に、自社の事業内容や取引先の要件を踏まえて対応の必要性を判断するとよいでしょう。

自社の対策状況を棚卸しする

まずは自社のセキュリティ対策の現状を把握します。「SECURITY ACTION」の★1や★2の取り組み状況に加え、既に公開されている★3・★4の要求事項・評価基準と、自社の対策状況を照合しましょう。

あわせて、OSやソフトウェアの更新状況、認証管理、バックアップ体制、社内ルールの整備状況などを見直し、自社のIT環境における脆弱性や課題を洗い出します。規定や台帳、更新履歴、教育・訓練の実施記録など、対策を実施していることを確認できる資料が残っているかも確認します。現状を正しく把握しておくことで、優先的に取り組むべき対策が明確になり、制度への対応もスムーズに進められます。

目指す段階と適用範囲を決める

次に、自社が★3と★4のどちらを目指すかを検討します。判断にあたっては、自社の事業内容だけでなく、取引先から求められる可能性のある段階や、自社がサプライチェーン上で担う役割も踏まえることが大切です。

あわせて、どの組織・部門・システムを適用範囲とするかを整理します。目指す段階を定めたら、現状と要求事項を照らし合わせ、不足している項目や体制面の課題を洗い出します。これにより、必要な対策や予算、対応スケジュールを具体化しやすくなります。

評価に必要な記録・証跡を整える

セキュリティ対策を実施していても、記録が整理されていなければ、評価に時間がかかります。IT資産台帳、OSやソフトウェアの更新履歴、ID・アクセス権の管理記録、バックアップと復元確認の記録、ログの管理状況、教育・訓練の実施記録、インシデント対応手順などを確認しましょう。

不足している記録がある場合は、取得方法や保管場所、更新担当者を決め、継続して管理できる体制を整えます。

経営層と連携し、予算・体制を確保する

制度対応では、セキュリティ製品の導入・更新やシステム改修、従業員への教育・訓練などに、新たな費用が発生する可能性があります。ただし、評価基準を満たすために特定のセキュリティ製品を導入する必要はありません。まずは、既存の対策で満たせる項目と追加対応が必要な項目を整理し、費用を見積りましょう。

準備は情シスだけで進めず、早い段階から経営層の理解と協力を得ることが重要です。社内規定や従業員教育、取引先との契約などに関わる項目は、人事・総務・法務・各事業部門との役割分担を決めます。

本制度は任意ですが、個別の取引では一定の段階の取得や対応を求められる可能性があります。制度の目的や自社への影響を経営層へ説明し、必要な予算や体制を確保しておきましょう。