サプライチェーン強化に向けたセキュリティ対策評価制度（以下、SCS評価制度）は、サプライチェーンの構成企業に対し、国が立ち位置に応じて必要な対策を示し、その実施状況を可視化する制度で、2026年度末より運用が開始される。

既存のセキュリティ認証であるISMSやPマークは、組織全体の管理体制や個人情報の取り扱い体制などを評価する。一方で、SCS評価制度は外部からのサイバー攻撃について、技術的な対策を中心に評価する点が既存のセキュリティ認証と異なる。

ここでは、SCS評価制度が2026年度末に導入される背景について、以下の二点を解説する。

サプライチェーンを狙った攻撃の増加

近年、対策が手薄になりやすい取引先を踏み台として、本来の標的である大企業に侵入するケースが増えており、一企業だけのセキュリティ対策では限界を迎えつつある。IPA（独立行政法人情報処理推進機構）の「情報セキュリティ10大脅威2026の組織編」でも、脅威のランキング2位に「サプライチェーンや委託先を狙った攻撃」がランクインした。

セキュリティ対策を可視化する重要性の増大

従来、取引先のセキュリティレベルを把握するためには、発注企業ごとに異なる様式のアンケートやチェックシートに回答してもらうのが一般的であった。しかし、この方法では回答する側と確認する側の双方に手間がかかる。また、評価の客観性を保つことも困難なため、統一された基準でセキュリティ状況を「見える化」する仕組みが重要になってきた。

本制度がどのような組織に影響を及ぼし、何を評価するのか、対象となる範囲と評価領域の二点を解説する。

対象の組織

SCS評価制度の対象となるのは、サプライチェーンを構成する企業などのうち、主に2社間取引における「受注側」である。業種や企業規模による線引きはなく、発注元から評価の取得を求められれば、中小企業であっても対応が必要になる可能性がある。ただし、「発注側」が提供する基盤を利用している場合など、対策には2社間の連携が前提となるケースもある。

評価される領域

自社のどこが審査されるのかを把握できるよう、対象となるITインフラや評価領域を以下にまとめた。

本制度では対策レベルが★1から★5に分類される。自社が目指すべき基準の指針となるように、それぞれの概要を解説する。

★1と★2

★1と★2は、中小企業が情報セキュリティ対策への取り組みを自ら宣言する既存制度の「SECURITY ACTION」に相当する段階である。★1では、OSやソフトウェアを最新に保つなど基本的な対策への取り組みを宣言し、★2は、自社診断のうえで基本方針を策定・公開し、その取り組みを宣言する。両者とも自己宣言にすぎず、これが第三者の確認が入る★3以降との大きな相違点である。

★3

★3は、「全てのサプライチェーン企業が最低限実装すべきセキュリティ対策」とされており、基礎的な組織体制の整備とシステム防御を中心に、26件の要求事項(評価基準81項目)で構成される。評価方式は、取得を希望する企業が自ら行った評価結果を、資格を持つ専門家が確認する「専門家確認付き自己評価」。評価の有効期間は1年と定められている。

★4

★4は、「サプライチェーン企業等が標準的に目指すべきセキュリティ対策」である。★3の内容だけでなく、取引先管理や多層防御、迅速な異常検知など包括的な体制の整備が求められ、43件の要求事項(評価基準153項目)で構成されている。評価は、ヒアリングや資料確認による実地審査に加え、リスクの高い「公開機器」の脆弱性検査(技術検証)も伴う第三者評価で行われ、有効期間は3年である。

★5

★5は、「サプライチェーン企業等が到達点として目指すべき対策」と位置づけられている。国際規格などに基づく継続的改善を行い、その時点でベストプラクティスとされる対策を実施することが想定されている概念である。ただし、具体的な評価基準やスキームは現時点では詳細が固まっていない。なお、★3から★5は上位互換の関係にあるため、★3を経ずに直接上位を目指すことも可能である。

現時点では、SCS評価制度への対応は義務ではないものの、メリットは少なくない。例えば、SCS評価制度の評価を取得することで、自社の対策状況を共通の基準に基づいて客観的に示せるため、取引先や発注元に説明しやすい。

また、サプライチェーンの一員として求められる要件を満たしやすくなることや、自社がセキュリティ面で有する課題を把握できる点もメリットである。特に、今後は大手企業や官公庁が取引先に★3以上などの基準を設ける可能性もあり、現状は任意対応であるものの、今後はさらに重要性が高まると予想される。

自社のクライアントには、取引先から選ばれ続ける企業になるために、SCS評価制度への対応を提案するのもよいだろう。