SCS評価制度とは？
経済産業省は、「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」に基づき、SCS評価制度(サプライチェーン強化に向けたセキュリティ対策評価制度)を企業のセキュリティ対策状況を共通の基準として評価し、認定します。情報処理推進機構（IPA）と連携して運営されるSCS評価制度は、サプライチェーンに参加する各企業に対し、その重要性に応じて求められるセキュリティ対策を示すとともに、対策が実施されているかを可視化するものです。
SCS評価制度では、二社間の契約において、発注側となる企業は受注側のサプライヤーに対し、星マーク（★）で表される期待するセキュリティのレベルを伝え、当該レベルに必要な対策の実施を促し、その実施状況を確認することができます。これにより、個々の企業単位ではなく、サプライチェーン全体としてセキュリティのベースラインを引き上げることを目的としています。
要件はNISTサイバーセキュリティフレームワーク2.0をベースに構築されており、英国のCyber Essentials、自工会/部工会・サイバーセキュリティガイドライン、ISO/IEC 27001:2022など他のガイドラインとの整合性も考慮されています。
SCS評価制度 いつから開始？対象となる企業は？
経済産業省は令和8年度末に制度を開始(申請の受付開始)。
SCS評価制度は、サプライチェーンに参加する企業を対象としています。すなわち、業種や規模を問わず、幅広い事業者が対象となり得ます。中小企業はもちろんのこと、大手企業も発注側から対応を求められる可能性があります。
SCS評価制度 評価レベルの構成
| ★1~2 | 既存の自己宣言制度 | 自己評価 |
|---|---|---|
| ★3 | 最低限目指すレベル | 専門家確認付き自己評価 |
| ★4 | 標準的に目指すレベル | 第三者評価 |
| ★5 | 到達点として目指すレベル | 第三者評価 |
上位レベルは下位レベルの全要件をカバーするため、★3を取得せずに★4を取得することも可能です。★5の詳細は現在検討中とのことです。
以下のリスクが大きい場合、発注側から受注側に★4の取得を要求します。
- 事業継続リスク：取引先の事業中断により自社の事業継続に許容できない遅延等が生じ得る
- 情報管理リスク：取引先への攻撃で自社の機密情報に係る情報管理に影響が生じ得る
SCS評価制度の特徴
SCS評価制度の特徴は以下の通りです。
- 星の数で受注企業の状況を可視化すること
- 単純な自己評価ではなく、専門家確認付き自己評価、または第三者による評価を求めていること
- NIST CSF 2.0との整合性を持ち、国内外の制度との調和を図っていること
- 特定業界ではなくサプライチェーン全体を横断する活用を想定、将来的な相互認証も視野に入れていること
既存のSecurity Actionや、自工会／部工会・サイバーセキュリティガイドラインは自己評価を行う仕組みでした。チェックリストの確認のみの制度から、統一された第三者が検証可能な評価制度へと、日本のセキュリティ対策評価が進化するものといえます。
制度非対応で想定されるデメリット
SCS評価制度は、法的罰則を伴う規制ではなく、任意の認証制度です。したがって、特定の★評価を保持していないことに対する政府による罰金などはありませんが、非対応によって商業的、または事業継続に関わるデメリットが発生する可能性があります。
- 取引の機会損失または制限
発注側企業は取引条件として期待する★レベルを設定することが想定されます。要求される評価を示せないサプライヤーは、契約やサプライチェーンから除外されるリスクがあり、売上に直接影響を及ぼします。
- 競争上の不利
認証を取得した企業が公開されるため、認証を取得していない状態は取引上の阻害要因や戦略的リスクとなる一方、高評価は調達における差別化要因となります。
- 侵害・事業中断のリスク
SCS評価制度は、認証情報の窃取、取引ネットワーク経由の不正アクセス、ランサムウェアによる事業中断などのインシデントが、直接的コスト（復旧、ダウンタイム、契約上の責任）およびブランドイメージの両面で深刻な被害をもたらすという認識のもとに構築されています。基盤となる対策を実装しないことは、これらのリスクに対処しないことを意味します。
SCS評価制度 実施すべきセキュリティ対策
SCS評価制度では、★3、 ★4の要求事項・評価基準が明文化されており、大分類は「ガバナンスの整備」、「取引先管理」、「リスクの特定」、「攻撃等の防御」、「攻撃等の検知」、「インシデントへの対応」、「インシデントからの復旧」となっています。
| 大分類 | 中分類 | ★3 | ★4 |
|---|---|---|---|
| ガバナンスの整備 | 組織の状況 | 0 | 3 |
| 役割、責任、権限 | 5 | 5 | |
| ポリシー | 3 | 1 | |
| 監督 | 0 | 2 | |
| 取引先管理 | サイバーセキュリティサプライチェーンリスクマネジメント | 3 | 3 |
| リスクの特定 | 資産管理 | 11 | 13 |
| リスクアセスメント | 0 | 5 | |
| 攻撃等の防御 | アイデンティティ管理とアクセス制御 | 27 | 13 |
| 意識向上及びトレーニング | 3 | 5 | |
| データセキュリティ | 3 | 4 | |
| プラットフォームセキュリティ | 8 | 10 | |
| 技術インフラのレジリエンス | 7 | 2 | |
| 攻撃等の検知 | 継続的監視 | 3 | 3 |
| 有害事象の分析 | 0 | 2 | |
| インシデントへの対応 | インシデント管理 | 6 | 0 |
| インシデントからの復旧 | インシデント復旧計画の実行 | 1 | 1 |
項目数は★3が81項目、★4が72項目(★3と合わせて153項目)となります。IT運用管理に係る内容を具体的に例示すると、ID/管理者ID(特権ID)の管理、ログ管理、資産管理、パッチ管理、インシデント管理など多岐にわたり、★3でも実現が容易でない内容となっています。
IT運用管理におけるセキュリティ対策の課題
この多岐にわたるセキュリティ対策には当然課題がつきまといます。中小企業などはセキュリティ対策のために金額を大きくかけられない場合もあります。ツールやソリューションの導入がなくともSCS評価制度への対応は可能ですが、手動での台帳作成や、IT資産の設定、場合によってはシステムの自社開発を行うなど運用面での負担も大きくなることが考えられます。
何から対応すべきか？
取引先から「★3(★4)の取得状況を教えてほしい」と要請が来てから動き始めると間に合わない可能性があります。
制度へ対応していくには、以下のステップが現実的です。
- ★3、 ★4の153項目の評価基準で自社の現状を可視化
- ギャップが大きい領域から優先的に対策
- 手動運用での負担が大きい領域はツール導入を検討
SCS評価制度は「ツールを入れただけ」では取得できない一方、要求事項の多くは継続的な運用が前提となっており、手動対応では限界がある領域も少なくありません。スムーズに制度に対応できるよう、ツールを導入し、自動対応などの業務効率化をおすすめいたします。
SCS評価制度への対応は、ManageEngineにお任せください。
ManageEngineはIT運用管理/セキュリティ対策にお役立ていただけるシリーズです。特権ID管理、ログ管理、資産管理、パッチ管理、インシデント管理、ネットワーク監視などのセキュリティ対策を実現できるツールを各種取り揃えております。そのため、幅広いSCS評価制度の評価基準の多くをカバーしており、1からセキュリティ対策を行う企業だけでなく、各企業でセキュリティの課題となる部分を手助けできるラインナップとなっております。
ManageEngine × SCS評価制度
★3、★4の全153項目のうち 93項目※ に対応
多製品で7領域を横断的にカバーするラインナップ
※一部対応含む
こちらのebookは、SCS評価制度の評価基準毎に対応できるManageEngineのツールをマッピングした対応表を収録しております。制度準拠のために、ぜひご活用いただければ幸いです。