近年、サイバー攻撃は「大企業だけの問題」ではなくなっています。
特に増加しているのが、取引先企業や委託先企業を踏み台にする「サプライチェーン攻撃」です。
こうした背景から、経済産業省および内閣官房は、企業間取引におけるセキュリティ対策状況を可視化する新制度として、「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」の整備を進めています。
中小企業を含む多くの企業に関係する制度となるため、今後は「セキュリティ対策ができていること」が、取引継続や新規案件獲得の前提条件になる可能性があります。
動画で見てみる：SCS評価制度とは？（7分48秒）
SCS評価制度とは？
SCS評価制度は、企業のサイバーセキュリティ対策状況を一定基準で評価・可視化する制度です。
「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました
経済産業省 及び 内閣官房国家サイバー統括室
発注企業が委託先企業へ求めるセキュリティ水準を明確化し、サプライチェーン全体の安全性向上を目的としています。
制度では、企業の対策状況を段階的に評価する仕組みが検討されています。
想定されている評価レベル
★3（基礎レベル）
すべての企業に求められる最低限のセキュリティ対策レベル。
- 基本的なシステム防御
- ID・パスワード管理
- ウイルス対策
- 更新管理
- バックアップ
- 社内ルール整備
などが中心となります。
自己評価をベースに、専門家確認付きでの運用が想定されています。
★4（標準レベル）
より高度なセキュリティガバナンスや監視体制を求めるレベル。
- 組織的なセキュリティ運用
- インシデント対応
- ログ監視
- 取引先管理
- 多層防御
- リスク評価
などが含まれる予定です。
第三者評価機関による審査が想定されています。
★5（最高レベル）
現在、内容などの検討が行われている最高レベル。
詳細は現在未決定です。
「まだ先の話」ではありません
制度開始は2026年度末頃が予定されていますが、すでに大企業や官公庁関連では、
- 「取引先のセキュリティ状況確認」
- 「セキュリティチェックシート提出」
- 「MFA必須化」
- 「EDR導入要請」
などが始まっています。
つまり、SCS評価制度は突然始まる新制度ではなく、すでに進んでいる“取引条件の変化”を制度化する流れとも言えます。
経済産業省も、「評価を取得していないと即取引停止になる制度ではない」と説明していますが、取引上の重要指標になる可能性は十分にあります。
今からできるSCS評価制度対策
① 現状把握を行う
まず重要なのは、「自社が今どこまで対策できているか」を把握することです。
特に以下は優先度が高い項目です。
- WindowsやUTMの更新管理
- VPNやリモートアクセスの安全性
- MFA（多要素認証）
- バックアップ
- NASやサーバーのアクセス制御
- Microsoft 365 のセキュリティ設定
- 社内Wi-Fiの暗号化
- アカウント棚卸し
② “属人的運用”を減らす
中小企業では、
- 「担当者しか設定を知らない」
- 「退職した社員のアカウントが残っている」
- 「管理台帳が存在しない」
といった状態も少なくありません。
SCS評価制度では、“運用できていること”も重要になります。
そのため、
- 手順書
- 管理台帳
- インシデント時対応フロー
などの整備も重要です。
③ 外部公開機器を見直す
サプライチェーン攻撃では、
- VPN
- NAS
- リモートデスクトップ
- 古いUTM（適切にファームウェアアップデート管理されていないUTM）
などが侵入口になるケースが多くあります。
特に、
- サポート終了機器
- 古いSSL-VPN
- 初期設定のままの機器
は非常に危険です。
④ 「検知」と「監視」を導入する
従来の「侵入防止」だけではなく、「侵入された後に気付けるか」が重要になっています。
そのため、
- EDR
- SOCサービス
- クラウド監視
- ログ分析
- Microsoft 365監査
などの導入検討も重要です。
Emission株式会社が支援できること
弊社では、ネットワーク・クラウド・UTM・ゼロトラスト・Microsoft 365・監視運用など、多面的なITインフラ支援を行っています。
SCS評価制度に向けて、以下のような支援が可能です。
- 現状セキュリティ診断
- UTM／FW見直し
- VPN・リモートアクセス最適化
- Microsoft 365 セキュリティ強化
- ID管理・MFA導入
- EDR導入支援
- ログ監視・SOC連携
- IT-BCP対策
- 中小企業向け段階的改善提案
「何から始めれば良いかわからない」という段階でも問題ありません。
まとめ
SCS評価制度は、単なる“新しい認証制度”ではありません。
これからの企業取引において、「最低限のセキュリティ対策を実施していること」を可視化するための仕組みです。
そして重要なのは、制度開始を待ってから動くのではなく、
- 現状把握
- 基本対策
- 運用整備
- 継続改善
を今から始めることです。
特に中小企業では、「完璧」を目指すよりも、“止まらないこと”と“攻撃に気付けること”が重要です。今後、SCS評価制度対応は「情報システム部門だけの課題」ではなく、企業経営そのものに関わるテーマになっていくと考えられます。
