《イベント開催レポート》サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）解説セミナー開催レポート

　一般財団法人関西情報センター（KIIS）では、2026年6月5日（金）、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）解説セミナー」を開催しました。当日はグラングリーン大阪北館内のJAM BASEカンファレンスルームを会場に、オンライン配信を併用したハイブリッド形式として、400名近い参加者・視聴者を得て開催されました。

　SCS評価制度は、企業のサイバーセキュリティ対策推進に向けた重要施策として、経済産業省にて整備されつつあるところです。一方で、未だ準備中の部分も多いことから、制度に対する誤解も多いとされています。今回、制度に対する正確な理解を促進することと、それにより企業のサイバーセキュリティ対策を一層推し進めることを目的に、幅広く情報提供するセミナーを企画いたしました。

　以下、当日の講演やディスカッションの要点をまとめました。この議論から得られるのは、今後の我が国におけるサプライチェーンサイバーセキュリティ対策の方向性に他なりません。ぜひご一読ください。

■ SCS評価制度の概要とセミナー開催趣旨

　本セミナーのテーマであるSCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を可視化し、取引先との間で共通の物差しを用いて対話できるようにするための制度です。近年、サイバー攻撃は大企業や重要インフラ企業だけを狙うものではなくなっています。取引先、委託先、海外拠点、外部サービス、保守ベンダーなど、サプライチェーン上の相対的に脆弱な箇所を起点として侵入し、最終的に大企業や社会インフラに影響を及ぼす事例が増えています。

　こうした状況の中で、企業が自社だけを守ればよいという時代は終わりつつあります。むしろ、自社が誰とつながっているのか、どの業務がどの取引先に依存しているのか、どの情報やシステムが止まると事業に影響するのかを把握し、取引関係全体でリスクを下げていく必要があります。特に中小企業にとっては、「自社は大企業ではないから狙われない」「重要な情報は持っていない」と考えがちですが、実際には発注・受注、納品、請求、設計、製造、保守などの業務を通じて、サプライチェーンの重要な一部を担っています。そこに障害が発生すれば、取引先の業務停止や社会的影響につながる可能性があります。

　今回のセミナーでは、SCS評価制度の構築に関わった有識者、制度運営を担うIPA、そして実際にサプライチェーンの中で発注側・受注側の立場にある企業関係者が登壇しました。前半では、制度の背景や設計思想、評価基準、ロードマップについて2本の基調講演が行われました。後半のパネルディスカッションでは、Slidoを通じて寄せられた多数の質問をもとに、評価対象範囲、費用、専門家確認、既存認証との関係、発注側・受注側の実務対応など、参加者の関心が高い論点について率直な議論が交わされました。

　本レポートでは、基調講演1、基調講演2、パネルディスカッションの内容を振り返りながら、中小企業が今後のサイバーセキュリティ対策に取り組むうえで参考となるポイントを整理します。

■ 基調講演1｜丸山 満彦 氏（PwCコンサルティング合同会社）
～SCS評価制度は「格付け」ではなく、取引先との共通言語～

　基調講演1では、PwCコンサルティング合同会社の丸山満彦氏が、SCS評価制度の背景や制度設計に込められた考え方について講演しました。丸山氏は、制度の具体的な要求事項を細かく説明するというよりも、制度を検討するに至った経緯や、設計時にどのような議論があったのかを中心に話されました。

　冒頭で丸山氏が強調したのは、SCS評価制度は「セキュリティ対策を競わせる格付け制度ではない」という点です。新聞報道などでは「格付け」のように受け止められることもありましたが、制度の本来の目的は企業を序列化することではありません。制度は、あくまでサイバーセキュリティ対策の状況を可視化し、発注企業と受注企業が共通の前提で会話するためのコミュニケーションツールです。

　この点は、制度を理解するうえで非常に重要です。もしSCS評価制度を「星の数が多い企業ほど偉い」「星を取っていない企業は危険」といった単純な序列として捉えてしまうと、制度の本質を見誤ります。制度が目指しているのは、取引先との対話を効率化し、必要な対策を明確にし、サプライチェーン全体のセキュリティ水準を底上げすることです。

　丸山氏は、従来の取引先管理における課題を、発注企業と受注企業の双方の負担として説明しました。発注企業は、多数の取引先に対してセキュリティチェックシートを送り、回答を回収し、内容を確認する必要があります。一方、受注企業は複数の発注企業から異なる様式のチェックシートを受け取り、似たような質問に何度も回答しなければなりません。質問の粒度も表現も異なるため、単純な使い回しも難しく、現場には大きな事務負担が発生します。

　そこで、共通の評価基準を設けることで、発注側と受注側の間にある「M対N」の複雑な確認作業を減らすという考え方が出てきました。例えば、取引先が1,000社ある発注企業にとって、600社が★3を取得していれば、その600社については一定水準を満たしている前提で確認を簡素化できます。受注企業にとっても、「当社は★3を取得しています」と説明できれば、個別のチェックシート対応が軽減される可能性があります。このように、SCS評価制度は、個社ごとのバラバラな確認作業を、共通の物差しに置き換えていく仕組みとして構想されています。

　講演では、サプライチェーンリスクの類型整理も示されました。丸山氏は、サプライチェーン攻撃と一口に言っても、実際には複数のタイプが混在していると説明しました。たとえば、ソフトウェアの配布経路に悪意あるコードが混入するパターン、オープンソースコンポーネントの脆弱性が広く影響するパターン、取引先や委託先のネットワークを踏み台に侵入されるパターン、サプライヤーのシステム停止によって製造や供給が止まるパターンなどです。

　この整理は、SCS評価制度の対象を理解するうえで有益です。米国ではソフトウェア配布経路やオープンソースソフトウェア等サプライチェーンリスクへの関心が強い一方、日本のSCS評価制度は、取引先ネットワーク経由の侵入や、事業継続を脅かすサプライヤー停止リスクを強く意識しています。つまり、SCS評価制度は、ソフトウェア部品の脆弱性管理だけを対象にする制度ではなく、企業活動を支えるIT基盤や取引関係全体をどう守るかに焦点を当てています。

　また、丸山氏は、★3と★4の位置づけについても説明しました。★3は、サプライチェーン企業が最低限実装すべき基礎的な対策を中心としたレベルで、専門家確認付きの自己評価として設計されています。★4は、より包括的な対策を求めるレベルで、技術検証付き第三者評価が想定されています。★5については将来的な検討対象ですが、現時点では★3と★4を先行させることになっています。

　ここで丸山氏が指摘したのは、最初から重い第三者評価を義務づけすぎると、制度が広がらないという問題です。第三者評価は一定の信頼性を確保できますが、費用も手間もかかります。特に中小企業にとっては、取得コストや準備負担が大きすぎると、制度そのものに参加できなくなります。制度の目的がサプライチェーン全体の底上げであるなら、まずは多くの企業が取り組める★3を普及させることが重要です。

　一方で、自己評価だけでは実効性に不安が残るため、★3には専門家確認が組み込まれています。ここでいう専門家は、一般的な意味でのセキュリティに詳しい人ではなく、一定の資格や研修を前提とした専門家として位置づけられる見込みです。丸山氏は、制度の信頼性を保ちつつ、過度な負担を避けるための「塩梅」が重要であると述べました。

　講演の最後に丸山氏が伝えたメッセージは、「制度を賢く使う」ということでした。★を取得しているから絶対に安全、取得していないから直ちに取引できない、という単純な使い方は適切ではありません。取引の内容、扱う情報、業務停止時の影響、代替手段の有無などを踏まえ、SCS評価制度を対話の出発点として使うことが重要です。たとえば、★3を取得していなくても、特定の重要項目を満たしており、改善計画が明確であれば取引継続が可能な場合もあります。反対に、★3を取得していても、重要な業務を委託する場合には追加確認が必要なこともあります。

　中小企業にとって、この講演から得られる最大の示唆は、SCS評価制度を「外から求められる負担」とだけ捉えないことです。制度は、自社の対策状況を棚卸しし、取引先に説明できる状態を整えるための道具でもあります。まずは自社のIT基盤、情報資産、取引先との接続、バックアップ、ID管理、インシデント対応の現状を把握することが、制度対応の第一歩になります。

■ 基調講演2｜菅野 和弥 氏（独立行政法人情報処理推進機構）
～制度の全体像とロードマップ、そして中小企業支援の方向性～

　続いて基調講演2では、独立行政法人情報処理推進機構（IPA）セキュリティセンター リスクマネジメント部の菅野和弥氏が、SCS評価制度の概要、評価基準、運営体制、今後のロードマップについて具体的に説明しました。丸山氏の講演が制度の背景や設計思想に焦点を当てたものだとすれば、菅野氏の講演は、制度を実際に動かしていく立場から、何が決まっていて、何が今後整理されるのかを示す内容でした。

　菅野氏はまず、IPAの役割について紹介しました。IPAは、経済産業省所管の独立行政法人として、デジタル基盤、人材育成、サイバーセキュリティに関する施策を担っています。サイバーセキュリティ分野では、SECURITY ACTION、情報セキュリティ10大脅威、各種ガイドライン、標的型攻撃対策支援、ISMAPやJC-STARなど、多様な取り組みを進めています。SCS評価制度も、こうした既存施策と連動しながら運営される制度として位置づけられています。

　講演の前半では、ランサムウェア被害とサプライチェーン攻撃の現状が整理されました。菅野氏は、ランサムウェアの感染経路として、VPN機器やリモートデスクトップなどネットワーク経由の侵入が大きな割合を占めていることを紹介しました。また、被害を受けた企業では、調査・復旧に多額の費用がかかり、復旧まで長期間を要する事例も少なくありません。サイバー攻撃は、単に情報が漏えいするだけでなく、受発注、物流、製造、請求、決済など、企業活動そのものを止めるリスクになっています。

　特に中小企業に関しては、攻撃を受けた企業の多くが取引先に影響を与えているという調査結果が示されました。被害の影響は、サービス停止、納品遅延、顧客対応、原因調査、復旧費用など多岐にわたります。中小企業が被害を受けた場合でも、その影響は自社内にとどまりません。部品、原材料、業務委託、システム保守、物流、顧客管理など、何らかの形で取引先の事業に接続しているためです。

　菅野氏は、SCS評価制度の目的を、発注企業と受注企業の双方にとって、適切なセキュリティ対策の決定や説明を容易にすることだと説明しました。発注企業は、取引先にどの程度の対策を求めるべきかを判断しやすくなります。受注企業は、自社の対策状況を取引先に説明しやすくなります。結果として、個社間の確認コストが下がり、社会全体でのサプライチェーンリスク低減につながることが期待されています。

　評価基準については、NISTサイバーセキュリティフレームワークの考え方に、取引先管理を加えた7分類で整理されていると説明されました。具体的には、ガバナンスの整備、取引先管理、リスクの特定、攻撃の防御、攻撃の検知、インシデント対応、インシデントからの復旧といった領域です。★3では26の要求事項と81の評価基準、★4ではさらに多くの要求事項・評価基準が設定されています。

　★3の要求事項としては、セキュリティを統括する役割や責任の明確化、守秘義務やセキュリティ方針の整備、取引先との関係や外部サービスの把握、情報機器やOS・ソフトウェアの管理、ネットワーク構成の把握、重要情報の管理、ID管理、多要素認証、アクセス制御、バックアップ、パッチ適用、マルウェア対策、ネットワーク境界の保護、インシデント対応手順、復旧準備などが含まれます。

　菅野氏は、こうした要求事項の中には、企業によっては実務上かなり厳しく感じられるものもあると述べました。たとえば、重要なセキュリティアップデートを一定期間内に適用すること、バックアップ対象や復旧手順を明確にすること、外部サービスやクラウドの利用状況を把握することなどは、少人数でITを担当している中小企業にとって負担が大きい場合があります。そのため、今後公表されるガイド類では、企業の状況に応じたユースケースや解説を充実させる必要があると説明されました。

　制度の対象範囲も重要な論点です。基本的には企業全体単位での取得が想定されていますが、事業部単位、グループ単位なども専門家や評価機関と確認したうえで認められる可能性があります。ただし、クラウドサービス、SaaS、IaaS、PaaS、委託開発システム、外部サービスなどの考え方については、今後のガイドで整理が必要な部分も残されています。菅野氏は、企業側から「こういう単位で取得したい」「こういうクラウド構成の場合はどう考えるべきか」といった具体的なユースケースを寄せてほしいと呼びかけました。

　評価スキームについては、★3は専門家確認付き自己評価、★4は第三者評価と技術検証を伴う評価として設計されています。★3では、申請企業が自己評価を行い、それをセキュリティ専門家が確認します。ここでの専門家は、情報処理安全確保支援士、公認情報セキュリティ監査人、CISSP、CISM、CISA、ISO/IEC 27001主任審査員など一定の資格を有し、さらにSCS評価制度に関する研修を受けた人材が想定されています。

　★4では、IPAの制度運営機関のもとで指定された評価機関が評価を行い、技術検証事業者とも連携します。技術検証は、インターネットに公開されている機器の脆弱性確認などが想定されていますが、詳細は今後のガイド類で定められる見込みです。

　今後のスケジュールとしては、2026年8月頃に規程類、10月頃に評価用ガイド類、12月頃に評価機関や研修事業者を公表し、2027年3月の制度開始を目指すロードマップが示されました。制度開始までの期間は決して長くありません。したがって、企業側はガイド類の公表を待つだけでなく、今から自社の情報資産やシステム、取引先との接続状況を確認し、現状把握を進めることが望まれます。

　菅野氏はまた、不適切な勧誘への注意も促しました。「SCS評価を取得していないと取引できない」「今すぐ取得しないと入札から除外される」「特定のセキュリティ製品を導入しなければならない」といった営業トークは、制度趣旨と異なる可能性があります。制度は任意であり、特定製品の導入を義務づけるものではありません。中小企業は、こうした勧誘に不安を感じた場合、制度の公式情報や支援機関に確認することが重要です。

　最後に菅野氏は、SCS評価制度を支える取り組みとして、サイバーセキュリティお助け隊サービスの新類型、中小企業向け専門家リスト、中小企業の情報セキュリティ対策ガイドラインなどを紹介しました。特にお助け隊サービスの新類型では、★3取得を目指す中小企業への伴走支援が想定されています。制度開始前からこうした支援策を活用することで、中小企業でも段階的に準備を進めることができます。

　菅野氏の講演からは、SCS評価制度が単独の制度ではなく、既存のSECURITY ACTION、中小企業向けガイドライン、専門家支援、国際制度との連携を含む広い枠組みの中で動いていくことが見えてきました。制度の詳細には今後整理される点もありますが、中小企業にとっては、まず★3の要求事項を「自社のセキュリティ点検表」として読み解くことが、実務的な第一歩になるでしょう。

■ パネルディスカッション
～SCS評価制度、本当のところどうなってるの？～

　後半のパネルディスカッションでは、神戸大学名誉教授の森井昌克氏をモデレーターに、丸山氏、菅野氏に加え、全日本空輸株式会社の和田昭弘氏、センカ株式会社の林良輔氏が登壇しました。テーマは「SCS評価制度、本当のところどうなってるの？」です。会場およびオンラインの参加者からはSlidoを通じて多数の質問が寄せられ、制度への関心の高さがうかがえました。

パネリスト	PwCコンサルティング合同会社　執行役員・パートナー　丸山 満彦 氏 独立行政法人情報処理推進機構　セキュリティセンター 　　　　　　　　　　　　 リスクマネジメント部 部長　菅野 和弥 氏 全日本空輸株式会社　デジタル変革室 専門部長　和田 昭弘 氏 センカ株式会社　システム課 課長　林 良輔 氏
モデレータ	神戸大学　名誉教授　森井 昌克 氏

　まず、和田氏は全日本空輸株式会社におけるサイバーセキュリティの位置づけを紹介しました。航空会社にとって最も重要な経営課題は安全であり、ANAグループでは航空機の安全と同様に「情報の安全」も重要な経営課題として位置づけていると説明しました。同社は年間約5,000万人分の予約記録や、4,000万人を超えるマイレージ会員情報を扱っており、情報漏えいが発生すれば極めて大きな影響が生じます。

　和田氏が特に強調したのは、サプライチェーン攻撃の影響は、直接攻撃を受けた企業だけにとどまらないという点です。たとえば、あるサプライヤーがサイバー攻撃を受けて供給を止めれば、そのサプライヤーに依存している企業だけでなく、さらにその先の取引先、物流、製造、顧客サービスにも影響が広がります。航空会社の場合、燃油会社、予約システム、整備、物流、空港業務、外部サービスなど、多様な業種とつながっています。そのどこかが停止すれば、定時運航や顧客サービスに影響する可能性があります。

　和田氏はまた、「当社には守るべき重要な情報がない」と考える企業にも注意を促しました。たとえ顧客情報や機密設計情報を多く持っていない企業であっても、ERP、発注伝票、契約書、請求、入金予定、給与などの業務情報は電子化されています。これらがランサムウェアで暗号化されれば、決算ができない、支払いができない、納品数量がわからない、従業員に給与を払えないといった事態が起こり得ます。これは情報漏えいの問題にとどまらず、経営継続の問題です。

　続いて、センカ株式会社の林氏が、中小企業の現場から見た課題を語りました。同社は工業化学薬品メーカーであり、界面活性剤や機能性化学品を製造しています。従業員約80名規模の企業で、情報システム、端末管理、セキュリティ対応を実質的に少人数で担っている状況が紹介されました。

　林氏は、すでに取引先からセキュリティチェックや秘密保持契約に関する確認が届いていると述べました。大企業の発注システムに接続する場合、電子的な取引が発生するため、セキュリティ対策の確認が求められます。取引の間に商社や複数の企業が入る場合でも、最終的な需要家からサプライチェーンを遡って確認が行われることがあります。こうした確認は必要なものですが、中小企業にとっては大きな負担になります。

　一方で、林氏は「中小企業だからセキュリティ対策は後回しでよい」とは考えていません。同社の製品が医薬品製造や医療機器関連に関わる場合、供給停止が人命に関わる可能性もあります。取引先から「これが止まると人が亡くなる可能性がある」と言われた経験を紹介し、サイバーセキュリティが単なるIT部門の問題ではなく、事業継続と社会的責任に直結する問題であることを強調しました。

　林氏は、SECURITY ACTION二つ星を取得しているものの、それは自己宣言であり、外部から確認されたわけではないため、十分な自信にはつながりにくいと述べました。その点で、SCS評価制度は「自社が人並みにできているのか」を確認する物差しになる可能性があります。特に中小企業にとって、何から始めればよいのか、どこまでやればよいのかを示す基準があることは大きな意味を持ちます。

　パネルディスカッションの本編では、Slidoに寄せられた質問を中心に議論が進みました。投稿は92件に上り、有効質問だけでも80件に達しました。質問の傾向を見ると、制度の理念そのものよりも、「自社はどう動けばよいのか」という実務的な内容が中心でした。特に関心が高かったのは、評価対象範囲、★3・★4の取得条件、専門家・評価機関の供給体制、取得費用、ISMSやPマークとの関係、発注側がどのように制度を使うべきかといった論点です。

　最初に取り上げられた大きな質問は、「会社として取得する場合、全社共通システムに加え、部署個別システムも評価対象に含まれるのか」というものでした。これに対して、丸山氏は、制度上はIT基盤に含まれるものは基本的に対象になるとの考えを示しました。全社共通システムだけでなく、部門ごとの個別システムやサーバー、ネットワークに接続されたIT資産も対象になり得ます。一方で、ネットワークから完全に切り離されたスタンドアロン機器などをどう扱うかは、今後の運用ガイドで整理される可能性があります。

　この質問が高い関心を集めたことは、多くの企業が「自社のどこまでを評価対象にすればよいのか」を判断できずにいることを示しています。中小企業でも、会計システム、生産管理システム、販売管理システム、クラウドストレージ、メール、グループウェア、特定部署が独自に使うSaaSなど、IT基盤は複雑化しています。まずは自社のシステム一覧を作り、どの業務に使われ、誰が管理し、どの外部サービスや取引先とつながっているのかを整理する必要があります。

　次に、「取引先から★4相当を求められる業務には、どのような特徴があるのか」という質問が取り上げられました。菅野氏は、事業継続リスクと情報管理リスクの観点で判断する考え方を紹介しました。取引先の停止が自社の事業に許容できない影響を与える場合、あるいは取引先が扱う情報が漏えいした際に重大な営業上・法的・社会的影響が生じる場合には、より高い水準が求められる可能性があります。

　ただし、これは業界名だけで一律に決まるものではありません。同じ製造業でも、扱う製品や納入先、代替可能性、停止時の影響は異なります。同じITサービスでも、単なる情報提供サイトと、基幹業務を支えるクラウドサービスでは重要度が異なります。発注企業は、業種ではなく、業務内容、責任範囲、情報の重要度、停止時の影響を踏まえて、どの水準を求めるかを判断する必要があります。

　「制度開始初期に評価機関や専門人材の供給体制は十分なのか」という質問も大きな関心を集めました。菅野氏は、IPAとして評価機関、研修事業者、専門家団体などと調整を進めており、制度開始に向けて供給体制を整える考えを示しました。ただし、特に★4は第三者評価と技術検証を伴うため、取得希望が集中すれば一定の時間がかかる可能性もあります。丸山氏からは、まず★3を取得し、★4に向けて準備するという段階的な進め方も示されました。

　「チェック項目はすべて満たす必要があるのか」という質問に対しては、森井氏から、公式に★を取得するためには基本的に全項目を満たす必要があるとの整理が示されました。1項目でも満たせない場合、公式な★取得は難しいという考え方です。ただし、満たせない項目があるからといって、すべてが無意味になるわけではありません。どの項目ができていて、どの項目が未達で、なぜ未達なのか、いつまでに改善するのかを説明できれば、取引先との対話に活用できます。

　この点は中小企業にとって重要です。制度を「満点でなければ意味がない」と捉える必要はありません。むしろ、未達項目を可視化し、改善計画を立てること自体が、セキュリティ対策の前進です。発注側も、★の有無だけで機械的に判断するのではなく、未達項目の内容やリスク、改善計画を踏まえて対話する姿勢が求められます。

　費用に関する質問も多く寄せられました。★3や★4の取得にどれくらいの費用がかかるのかは、企業規模、システム構成、既存対策、支援内容によって大きく異なります。林氏は、中小企業がコンサルティング会社に相談する場合、最低でも50万円程度からという感覚を紹介しました。森井氏からは、一般的には100万円前後、セキュリティ製品やサービス導入を含めると300万〜400万円程度になる例もある一方で、必ずしも高額な製品導入が必要なわけではないと補足がありました。

　ここで重要なのは、SCS評価制度は特定のセキュリティ製品を買わせる制度ではないという点です。もちろん、EDR、脆弱性診断、ログ監視、バックアップサービス、ID管理などの製品やサービスが有効な場合はあります。しかし、まず必要なのは、自社の情報資産やシステム構成を把握し、ルールを整備し、バックアップやパッチ適用など基本的な対策を確実に行うことです。高額なサービス導入の前に、既存環境でできることを確認することが大切です。

　ISMSやPマークなど既存認証との関係についても質問が相次ぎました。森井氏や丸山氏は、ISMSとSCS評価制度は目的やスコープが異なるため、同一視はできないと説明しました。ISMSは多くの場合、特定の事業やサービスを対象に認証を取得します。一方、SCS評価制度では、企業全体のIT基盤やサプライチェーン上の関係が対象になります。したがって、ISMSを取得しているからSCS評価の項目が自動的に免除されるというわけではありません。

　ただし、既存認証が無意味になるわけではありません。ISMSやPマーク、自工会ガイドラインなどで整備してきた管理策は、SCS評価制度への対応に活用できる部分があります。今後、対応表や読み替えの考え方が整理されれば、重複対応を減らすことができるでしょう。中小企業にとっては、すでにある規程、台帳、教育記録、バックアップ手順、インシデント対応手順などを棚卸しし、SCS評価基準との対応関係を整理することが現実的です。

　また、「企業内に専門家がいない場合はどうすればよいのか」という質問も重要でした。これに対しては、外部の専門家を活用することが想定されています。情報処理安全確保支援士をはじめ、一定の資格を持ち、SCS評価制度に関する研修を受けた専門家が確認を行う仕組みです。自社内に専門家がいれば自社評価も可能とされていますが、社内の上下関係によって専門家が過度なプレッシャーを受けないようにする配慮も必要です。

　パネルの終盤では、制度をどう受け止めるべきかについて、各登壇者からメッセージがありました。丸山氏は、制度だけですべてが解決するわけではなく、便利なツールとして使いながら、最終的には各企業が責任を持って判断することが重要だと述べました。菅野氏は、取引先に対して「★を取っていなければ取引しない」といった使い方ではなく、取引関係の中でどの項目が必要かを話し合うコミュニケーションツールとして使ってほしいと述べました。和田氏は、自社のシステム環境を可視化し、どこまでできていて、どこから改善するのかを考える機会にすべきだと話しました。林氏は、制度開始前であることや不適切な勧誘への注意をもっと周知してほしいとしつつ、中小企業にとっても制度が自信につながる可能性があると語りました。

■ 総括
～中小企業は、SCS評価制度を「取引先対応」ではなく「自社を守る棚卸し」として活用すべき～

　今回のセミナーを通じて最も強く感じられたのは、SCS評価制度への関心が、制度の概要理解から実務対応へと移りつつあることです。参加者の質問は、「制度とは何か」よりも、「自社はどこまで対象にすればよいのか」「どの★を目指すべきか」「費用はいくらか」「専門家は確保できるのか」「ISMSやPマークとの重複はどう避けるのか」といった、社内説明や予算化、実装に直結する内容が中心でした。

　これは、制度が現実の取引実務に近づいている証拠でもあります。制度開始前であっても、企業はすでに取引先からの確認、チェックシート、秘密保持契約、セキュリティ要請に対応しています。今後、SCS評価制度が本格的に始まれば、こうした確認作業が共通基準に置き換わる可能性があります。一方で、運用を誤れば、制度が新たな負担や過剰要求につながるおそれもあります。

　中小企業にとって、まず取り組むべきことは、いきなり★取得を目的化することではありません。最初の一歩は、自社の現状把握です。どのシステムを使っているのか、どの情報を扱っているのか、どの外部サービスに依存しているのか、どの取引先とネットワークやデータでつながっているのか、バックアップは取れているのか、復旧手順はあるのか、IDやパスワードは適切に管理されているのか。こうした基本的な棚卸しを行うことが、SCS評価制度への対応であり、同時に自社を守るための出発点になります。

　また、発注側企業には、SCS評価制度を安易な足切り条件として使わないことが求められます。取引先に一律で★4を求める、未取得企業を機械的に排除する、といった運用は、制度の趣旨から外れます。重要なのは、取引内容に応じて必要な対策水準を判断し、未達項目がある場合には改善計画や代替策について対話することです。サプライチェーン全体のセキュリティを高めるには、発注側が要求するだけでなく、受注側の実情を踏まえて支援する姿勢も必要です。

　支援機関や専門家にとっても、今回の制度は大きな役割を持ちます。中小企業の多くは、IT担当者が少人数であり、セキュリティ専任者がいない場合も少なくありません。制度の言葉を現場の言葉に翻訳し、要求事項を具体的な行動に落とし込み、無理のない改善計画を一緒に作る支援が求められます。単に製品を販売するのではなく、企業の事業内容、取引関係、予算、人員体制に応じた現実的な提案が必要です。

　SCS評価制度は、万能の安全証明ではありません。★を取得しても、サイバー攻撃を完全に防げるわけではありません。しかし、自社の対策状況を可視化し、取引先と共通言語で話し合い、改善の優先順位を決めるための仕組みとしては、大きな可能性を持っています。

　中小企業にとって重要なのは、制度を「外から求められるもの」として受け身で捉えるのではなく、「自社の事業を止めないための点検表」として能動的に使うことです。サイバーセキュリティ対策は、もはや専門部署だけの仕事ではありません。経営者、現場部門、情報システム担当者、取引先、支援機関が連携して取り組む経営課題です。

　今回のセミナーは、SCS評価制度の正しい理解を広げると同時に、制度開始に向けて残された実務上の疑問を可視化する場となりました。今後は、FAQ、ケース別判断フロー、既存制度との対応表、費用感や標準工数、専門家活用の方法など、より実務に近い情報提供が求められます。制度が始まるまでの期間を準備期間として活用し、自社のリスクを見直すことが、サプライチェーン全体の強化につながります。

　サイバー攻撃は、企業規模に関係なく発生します。そして、ひとたび発生すれば、その影響は自社だけでなく、取引先や社会に広がります。だからこそ、SCS評価制度をきっかけに、自社のセキュリティ対策を見直し、取引先と対話し、無理なく継続できる対策を積み上げていくことが重要です。今回のセミナーは、その第一歩を踏み出すための具体的な道筋を示す機会となりました。

---

■ 開催概要

(以上)