自社環境を踏み台として利用される懸念も

強化法の対象は15事業・約260社の基幹インフラ事業者にとどまらない。クラウド基盤を共有するグループ会社や業務委託先企業、さらには本番システムに接続可能な開発環境やモバイル端末を管理するITベンダーも対象になる。

踏み台攻撃の積み重ねによってサイバー攻撃が実行される現実を考慮するなら、セキュリティ対策に甘さが残るサーバーなどを運用するあらゆる企業も攻撃の対象になり得る。カウンターハッキングによる無力化の手段としては、攻撃通信のブロックやマルウェア封じ込めなどの対策のほか、対象とする機器の無力化（国内のみ）も含まれる。セキュリティ対策が不十分な企業の場合、知らない間に自社環境が基幹インフラ事業者に対する海外からの攻撃の踏み台として利用されていることも十分にあり得ることだ。警察や自衛隊が担当するカウンター攻撃の具体的な内容については不透明な部分も多いが、管理が手薄なサーバーが対象になる可能性はないとは言えない。

特に中小企業のセキュリティ対策では、「社内には盗まれて困る情報はない／多くない」という認識を前提にすることが少なくなかった。こうした認識を改革し、今日の企業に求められる対策を講じるうえで、強化法は大きな意味を持つと考えられる。

セキュリティ対策に活用したいSCS評価制度

セキュリティ対策の重要性の啓発における、有力なベンチマークとして活用したいのが、2026年度中の運用開始に向けて準備が進む「サプライチェーン強化に向けたセキュリティ対策評価制度」（以下、SCS評価制度）である。

サプライチェーンを起点としたセキュリティインシデントが頻発する中、委託元企業・委託先企業の双方にとって、セキュリティ対策の可視化や的確な対応の実現は以前から大きな課題となっていた。経済産業省の主導によって進むSCS評価制度の狙いは、サプライチェーンを構成する企業の対策状況を一元的基準で評価・可視化し、セキュリティ水準の底上げを図る点にある。具体的には、2社間の取引において、委託元が委託先に★3～5（★5は現在検討中）の要求事項・評価基準を提示し、対策を促し、実施状況を確認する、という流れでの運用が想定されている。SCS評価制度では、「ガバナンスの整備」「取引先管理」「リスクの特定」「攻撃等の防御」「攻撃等の検知」「インシデントへの対応」「インシデントからの復旧」の7項目の大分類に基づき、★3は「全てのサプライチェーン企業が最低限実装すべきセキュリティ対策」（26事項）、★4は「サプライチェーン企業等が標準的に目指すべきセキュリティ対策」（43事項）が要求事項・評価基準として示されている。

現時点では、主に委託元によるサプライチェーン企業の評価が行われている段階であり、制度開始を受け、★3、★4の要求事項が提示されることになる。委託先の対応に関する期限は特に示されず、委託先各社の状況に応じ、両社の話し合いのもとで対応を進めることが想定されている。

★3は専門家確認を前提とした自己評価、★4は第三者評価が行われる。ログ取得による証跡確保（★3）が求められることになるが、その評価については、ログ運用に関する数カ月程度の実績が求められることになる見通しだ。SCS評価制度は、部品供給の停止が事業の継続不能に直結する製造業のほか、流通や金融、ITサービスなど幅広い業種における導入が見込まれているが、委託元からの対応要求を待つのではなく、できることから準備を進めておくことが重要になると考えられる。

ITビジネスの観点では今後、SCS評価制度の★取得を支援するツールの提供および運用支援が期待される。具体的には、文書管理ツール（ガバナンスの整備）、委託先管理台帳ツール、契約管理ツール（取引先管理）、IT資産管理ツール（リスクの特定）、UTM／ファイアウォール・エンドポイントセキュリティ、パッチ管理、多要素認証、メールセキュリティ、ウェブフィルタリング（攻撃等の防御）、次世代ファイアウォールやEPP、統合ログ管理・SIEMツール（攻撃等の検知）、インシデント管理ツール（インシデントへの対応）、バックアップツール、BCP文書管理（インシデントからの復旧）などが挙げられる。

特に「攻撃等の防御」や「攻撃等の検知」への対応において、EDRをはじめとするセキュリティツール導入が大きな意味を持つことになると考えられる。その一方で、経済産業省が今年4月に「同制度は個社間の商取引に規制措置をとるものではない」という異例の注意喚起を行ったことにも注目したい※1。「★を取得しないと商取引が制約される／入札から除外される」「このツールを導入しなければ★が取得できない」など、行き過ぎたセールスには注意が必要だろう。

特にSCS評価制度の★3については、業種や委託元の要求の有無を問わず、今後のセキュリティ対策の一つの目安になると考えられる。取得支援がITビジネスの重要な役割を担うことは間違いないだろう。

※1 サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に関する注意喚起
https://www.meti.go.jp/policy/netsecurity/20260427_scs.html