はじめに

近年、サプライチェーンを経由したサイバー攻撃が増加し、委託先や取引先を踏み台とした情報漏えいや事業停止などの被害が相次いでいます。
こうした状況を受け、経済産業省では「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の構築を進めています。
制度の開始は2026年度末頃が予定されており、現在も制度設計が進められている段階です。
本記事では、「SCS評価制度とはどのような制度なのか」「なぜ新たな制度が必要なのか」を分かりやすくご紹介します。

SCS評価制度とは

SCS評価制度は、企業のIT基盤に対するセキュリティ対策を一定の基準で評価し、サプライチェーン全体のセキュリティレベル向上を目指す制度です。
近年では、大企業だけが高度なセキュリティ対策を実施していても、委託先や取引先のセキュリティ対策が不十分であれば、そこが攻撃の入口となるケースが増えています。そのため、一部の企業だけではなく、サプライチェーン全体で一定水準以上のセキュリティ対策を講じることが重要視されるようになりました。
また、これまでは発注企業ごとに異なるセキュリティチェックシートや要求事項への対応が必要となるケースも多く、受注企業には少なからず負担が生じていました。SCS評価制度では評価基準を共通化することで、企業の負担軽減とセキュリティ対策の標準化も目的としています。

評価制度の概要

SCS評価制度は、既存の「SECURITY ACTION」を基盤とし、その上位となる★3・★4・★5の評価制度として構築される予定です。制度開始当初は★3・★4から運用が始まる見込みとなっています。★5については、制度開始後に導入される予定とされています。
なお、本制度は企業を格付けすることが目的ではなく、サプライチェーン全体のセキュリティ対策を底上げするための共通基準として位置付けられています。

SCS評価制度とISMS・Pマークとの違い

SCS評価制度について調べていると、「ISMSとの違いは？」「Pマークを取得していれば十分なのでは？」という疑問を持つ方も少なくありません。
結論から言えば、SCS評価制度はISMSやPマークを置き換える制度ではなく、それぞれ目的や評価対象が異なります。

比較表を見ると、最も大きな違いは制度の目的です。
ISMSは組織が保有する情報資産を適切に管理するためのマネジメントシステムであり、Pマークは個人情報保護を適切に実施していることを示す制度です。一方、SCS評価制度は、サプライチェーン全体のサイバーセキュリティリスクを低減することを目的としています。
また、評価の考え方にも違いがあります。ISMSは組織ごとのリスクを評価し、それに応じた管理策を選択する「リスクベースアプローチ」を採用しています。一方、SCS評価制度では、評価レベルごとに実施すべきセキュリティ対策があらかじめ定められている「ベースラインアプローチ」が採用されています。
さらに、対象となる範囲も異なります。SCS評価制度は事業者のIT基盤を対象としていますが、ISMSは情報資産全体、Pマークは個人情報の保護を主な対象としています。そのため、ISMSやPマークを取得している企業であっても、SCS評価制度とは異なる観点で評価されることになります。

制度開始前だからこそ理解を深めることが重要

SCS評価制度は現在も制度設計が進められており、今後さらに評価基準や運用方法が公表される予定です。
制度が始まってから対応を検討するのではなく、まずは制度の目的や考え方を理解し、自社のセキュリティ対策を見直すきっかけとすることが重要です。
今後、サプライチェーン全体で共通のセキュリティ基準として活用される可能性もあるため、最新情報を継続的に確認しておくことをおすすめします。

まとめ

SCS評価制度は、企業単体ではなくサプライチェーン全体のセキュリティレベル向上を目的とした新しい評価制度です。ISMSやPマークとは役割が異なり、それぞれが補完し合う制度として位置付けられています。
制度開始は2026年度末頃が予定されており、今後は取引先との信頼性を示す指標の一つとして活用される可能性があります。制度の動向を注視しながら、自社のセキュリティ対策を見直すきっかけとして活用してみてはいかがでしょうか。