ご存じですか？ SCS評価制度 取引先のセキュリティリスクを見極める新たな共通基準とは

目次

• サプライチェーン全体でのセキュリティ対策が求められる背景
• 個社ごとのセキュリティ確認では対応しきれない理由
• SCS評価制度とは
• サプライチェーンで考えるべき“事業を止めない備え”
• 事業を止めないためのクラウドサービス選定ポイント
• おわりに
• よくある質問

サプライチェーン全体でのセキュリティ対策が求められる背景

取引先から突然セキュリティチェックを求められたり、自身も取引先のセキュリティが不安になったりした経験はないでしょうか。

近年、サイバー攻撃は「特定企業を直接狙う」ものから、「取引先や委託先を経由して侵入する」ものへと変化しています。
特に増加しているのが、自社が直接攻撃されなくても、取引先経由でインシデントが発生するケース、いわゆる「サプライチェーン攻撃」です。
サプライチェーン攻撃とは、標的企業そのものではなく、取引先や委託先など、比較的セキュリティ対策が弱い関連企業を経由して侵入を試みる攻撃手法を指します。IPA（独立行政法人情報処理推進機構）が公表した「情報セキュリティ10大脅威2026」でも、「サプライチェーンや委託先を狙った攻撃」が8年連続で社会的脅威として挙げられています。

実際には、自社よりセキュリティ対策が弱い委託先を侵害し、VPN接続や共有システムを経由して本体企業へ侵入するケースが見られます。委託先がランサムウェア被害を受けたことで、取引先企業まで業務停止に追い込まれた事例も発生しています。このように、自社のセキュリティ対策が十分でも、委託先のアカウント管理が不十分であれば、そこを経由して情報漏えいが発生する可能性があるのです。

こうした脅威の背景には、企業活動の変化もあります。

現在、多くの企業は取引先や外部サービスと連携しながら業務を進めています。見積書や注文書、請求書、銀行入出金などのやり取りは電子化され、インターネットを介して処理されるのが一般的です。また、クラウド会計システムやSaaS型ワークフロー、EDI、請求書受領サービスなど、外部サービスを前提とした運用も広く普及しています。そのため、取引先や委託先、利用サービス側で問題が発生すると、自社業務にも影響が及びやすくなっているのです。

「1社の問題」が「複数企業の業務停止」へ波及するリスクを考えると、「自社だけを守る」という考え方では十分とは言えません。現在のセキュリティ対策は、自社防衛だけでなく、取引先や委託先を含めた運用管理まで求められる時代になっています。多くの企業が取引先のセキュリティ対策を確認する動きを始めているのも、その表れと言えるでしょう。

しかし、その一方で新たな課題も生じています。それが、「取引先のセキュリティ体制をどう確認するか」という問題です。

個社ごとのセキュリティ確認では対応しきれない理由

近年、多くの企業ではサプライチェーンリスク対策の一環として、取引先に対するセキュリティ確認を強化しています。
その代表的な方法が、セキュリティチェックシートの提出依頼です。情報セキュリティポリシーの整備状況、アクセス権限管理、多要素認証の導入状況、インシデント発生時の対応体制などを、一定の基準を満たしているかを判断する取り組みで、現在では広く普及しています。

しかし、サプライチェーン全体でセキュリティ管理の重要性が高まる一方で、この確認方法だけでは十分とは言えなくなってきました。

●企業ごとに確認基準が異なる

現在利用されているセキュリティチェックシートは、評価項目や求める水準が企業ごとに異なります。例えばA社からは100項目でも、B社からは50項目、C社からは独自の質問票で確認依頼を受けることは珍しくありません。
確認項目や評価方法が企業ごとに異なるため、回答する側は同じ内容を何度も異なる形式で提出しなければならず、対応負荷が増大しています。また、確認する企業側も自社独自の評価基準で判定しているため、取引先間の比較や客観的な評価が難しいという課題があります。

●回答の有無だけでは実態が見えにくい

チェックシートは基本的に自己申告です。「実施している」と回答されていても、「実際にどの程度運用されているのか」「継続的に管理されているのか」「第三者による確認を受けているのか」までは分からないケースもよくあります。そのため、書類上は問題がなくても、実際の運用レベルまでは把握できないという課題があります。

●サプライチェーン全体での評価が難しくなっている

近年は取引先だけでなく、その先の委託先やクラウドサービス事業者まで含めてリスクを把握する必要があります。しかし、個社ごとに異なるチェックシートで確認しているのでは、サプライチェーン全体を同じ物差しで評価することが困難です。確認業務の負担は増える一方で、評価結果の客観性や比較可能性は十分に確保できません。

●共通の評価基準が求められている

こうした課題を解消するため、共通の評価基準によってサプライチェーン全体のセキュリティ対策状況を可視化する仕組みが求められるようになっています。評価基準を標準化することで、確認する企業・される企業双方の負担を軽減しながら、より客観的な評価を行うことが可能になります。
こうした考え方のもとで整備が進められているのが、経済産業省が推進する「セキュリティ対策評価制度（SCS）」です。

SCS評価制度とは

SCS評価制度は、「サプライチェーン強化に向けたセキュリティ対策（Supply Chain Security）評価制度」のことで、企業や委託先のセキュリティ対策状況を共通基準で評価し、サプライチェーン全体のリスク管理を効率化するための制度です。現在は、2026年度末の運用開始に向けて制度整備が進められています。

＜SCS評価制度　構築スケジュール＞

現在、日本政府が主導するセキュリティ評価制度としてはISMAPがありますが、ISMAPがクラウドサービスを対象としているのに対し、SCS評価制度は企業のIT基盤や管理体制全体を評価対象としています。
SCS評価制度では、共通基準によってセキュリティ対策状況を確認できるようになるため、企業間の確認負担軽減や判断基準の標準化が期待されています。また、委託先やクラウド事業者を含むサプライチェーン全体のセキュリティ管理体制を可視化する仕組みとして期待されており、今後、企業間取引における評価基準として活用される可能性があります。

ただし、この制度は企業をランク付けすることが目的ではありません。サプライチェーン上の役割に応じて必要な対策を整理し、継続的な改善を促すことが目的です。

●SECURITY ACTIONをベースにした新たな評価軸

SCS評価制度は、既存の中小企業向け情報セキュリティ自己宣言制度である「SECURITY ACTION」の考え方を参考にしながら制度設計が進められています。

とは言っても、SCS評価制度とSECURITY ACTIONは同じ制度ではありません。
SECURITY ACTIONは、中小企業が自社の情報セキュリティ対策への取り組み（★1、★2）を自己宣言する制度ですが、SCS評価制度は、そうした基礎的な取り組みを踏まえながら、サプライチェーン全体を意識した運用管理や継続的なリスク管理まで評価対象を広げる方向で整備が進められています。
こうした考えのもと、SCS評価制度では次のように3つの評価区分（★3、★4、★5）が設けられています。

ここからわかるように、SCS評価制度では「最低限の対策を実施しているか」だけではなく、「継続的に安全運用できるか」「障害時に復旧できるか」「データ保護体制が整備されているか」といった観点も評価対象となります。
つまりSCS評価制度は、「自社を守るセキュリティ」から「サプライチェーン全体を守るセキュリティ」への進化を象徴する制度と言えるでしょう。

サプライチェーンで考えるべき“事業を止めない備え”

SCS評価制度が目指しているのは、サイバー攻撃やセキュリティインシデントが発生しても、業務への影響を最小限に抑え、早期に復旧できるような状態をつくることにあります。そのため企業には、自社だけでなく、利用するシステムやサービスも含めて「事業を止めないための備え」が求められています。

企業における「継続的に安全運用できる状態」とは、障害やサイバー攻撃が発生しても、業務を継続・復旧できる状態を維持することを指します。
基幹業務システムは単なる社内システムではなく、企業活動そのものを支える重要な情報を扱う資産です。特に会計・給与・販売管理といった基幹業務データを扱うシステムは、継続運用の観点からも重要な管理対象となります。
クラウドサービスに障害が発生した場合、その影響は単なるシステムトラブルにとどまりません。取引先へ説明責任を果たすためには、「安全です」と伝えるだけでは不十分であり、「どのような運営体制で」「どのようなデータ保護を行い」「障害発生時にどう復旧するのか」といった内容を説明できることが重要です。

もちろん、すべての企業が一度に高度な対策を整備する必要があるわけではありません。重要なのは、「侵入を防ぐこと」だけでなく、「止まらずに運営できること」という視点を持つことです。

事業を止めないためのクラウドサービス選定ポイント

近年のクラウドサービスは、ランサムウェア対策やデータ保護、バックアップ運用、障害復旧体制など、事業継続を支えるためのセキュリティ対策や運営体制が大きく進化しています。そのため、クラウド上で基幹業務を運用する企業も増えています。
一方で、こうした対策の内容や対応レベルはサービスによって異なります。どのクラウドサービスでも同じ水準の対策が講じられているわけではないため、自社の事業継続に必要な要件を満たしているかを確認したうえで選定することが重要です。
特に次のような観点は、事業を止めないためのクラウドサービス選定において確認しておきたいポイントです。

●業務システムはSCS対応の重要な要素

クラウドサービスの選定基準としては、SCS評価制度も1つの目安になります。
SCS評価制度では、企業全体の運用体制や組織管理、インシデント対応なども評価対象となるため、クラウドサービスを導入するだけでSCS評価全体への対応が完了するわけではありません。
その一方で、業務システム領域における対応を効率的に進めるうえでは、有力な選択肢の一つになるでしょう。

SCS評価制度の★4までの評価項目は全部で153項目あり、その内容は多岐にわたります。OBCでは、評価項目を独自に整理し、このうち86項目が「業務システムに関連する要件」に該当すると考えました。特に、SCS評価制度で求められるセキュリティ対策や運用管理を支える基盤として、クラウドサービスは重要な要素の一つと言えます。

＜OBC見解：SCS評価制度の評価項目内訳＞

例えば奉行クラウドの場合、この86項目に関連する対策や運用体制が備わっており、奉行クラウドが担当する業務領域において機能します。具体的には、通信の暗号化、データの暗号化保管などにより、万が一の情報漏洩や不正取得リスクを低減することが可能です。また、クラウド基盤には世界トップレベルのセキュリティを誇るMicrosoft Azureを採用し、日本国内のデータセンターのみで管理・運営をしています。
OSの特別な管理権限（特権）はMicrosoftが一元管理しており、OBCが管理するアプリケーションの管理権限と分離しているため（権限分離設計）、OSの特権が奪取されるリスクがなく、「OSの特権奪取」を前提とするランサムウェア攻撃が成立しません。

●SCS評価制度の根拠に使える資料提供ができるか

SCS評価制度への対応を考える際には、自社が利用するクラウドサービスがどのようなセキュリティ対策や運用体制を備えているかを客観的に確認することが重要です。利用するクラウドサービスが、セキュリティ対策や運用情報を積極的に開示していれば、SCS評価制度の判断材料として取引先への説明や社内監査時の説明資料などに活用できるでしょう。
奉行クラウドの詳細なセキュリティ対策は、ホワイトペーパー「奉行クラウド セキュリティ対策ガイド」でもご紹介しています。このガイドでは、セキュリティ対策やクラウド基盤、データ管理、サービスレベルに加え、クラウドサービスを選定する際の確認ポイントも解説されています。

おわりに

サプライチェーン攻撃の増加によって、企業のセキュリティ対策は、自社だけでなく取引先全体への影響を考慮して取り組むべき時代になっています。SCS評価制度は、そうした時代の要請に応える新しい評価の考え方といえるでしょう。
とはいえ、現時点ではSCS評価制度が義務化される予定はありません。だからこそ今は、クラウドサービスを含めた自社の運用基盤が「安全か」「継続運営できるか」を見極めることが重要になります。

この機会に、「便利なサービスか」だけではなく、「安心して運営を任せ続けられるサービスか」という視点で、自社や取引先が利用しているクラウドサービスを見直してみてはいかがでしょうか。

よくある質問

SCS評価制度はどんな制度？

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業のサイバーセキュリティ対策状況を共通基準で評価できるようにした制度です。従来のように取引先ごとに異なるチェックシートへ対応するのではなく、標準化された評価結果を活用することで、評価する側・される側双方の負担軽減を目指しています。また、サプライチェーン全体のセキュリティ水準を可視化し、リスク管理を強化することも目的としています。

SCS評価制度は義務化される？取得していないと取引に影響する？

現時点では、SCS評価制度は任意の制度であり、取得も強制ではありません。ただし今後は、取引先選定や委託先管理の判断材料として活用される可能性があり、取引先から評価結果を求められる場面が増えることも考えられます。そのため、制度の動向を把握し、早めに対策を進めておくことが重要です。

SCS評価制度は中小企業にも関係する？どんな対策が必要？

必要です。近年のサイバー攻撃は大企業だけでなく、中小企業を経由して取引先へ被害が広がるケースも増えています。SCS評価制度は企業規模を問わず、サプライチェーン全体のセキュリティ強化を目的としているため、中小企業にとっても無関係な制度ではありません。まずは自社のセキュリティ対策や利用しているクラウドサービスの運用体制を見直すことから始めるとよいでしょう。

関連リンク

• 

  奉行クラウドのセキュリティ

  お客様の事業継続を支える大切な業務データを守り、安心して業務を続けられるクラウドサービスを目指します。

こちらの記事もおすすめ

• ランサムウェア被害は大企業だけではない！業務担当者が知っておくべき中小企業向けセキュリティ対策とSaaS型クラウドの選び方
• サイバー攻撃被災企業が語る　地獄の復旧作業で得た教訓と、会計データが無事だった理由
• 業務停止リスクをどう防ぐ？ランサムウェア対策を軸に考えるシステムのあり方