サプライチェーン全体で「守る」時代に、情シス・セキュリティ担当が今からできる準備

「取引の前提条件」になるセキュリティ

近年、取引先や委託先を起点としたサイバー攻撃が相次いでいます。自社を堅牢にしていても、つながっている一社が突破されれば、そこから被害が広がる ―― サプライチェーン全体を狙う攻撃が当たり前になりました。

こうした流れを受け、経済産業省と内閣官房国家サイバー統括室は、「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度、SCS＝Supply Chain Security） の構築を進めています。2026年3月27日には「制度構築方針」が公表され、2026年度末頃の制度開始（申請受付の開始） を目指す段階に入りました。

一言でいえば、企業のセキュリティ対策状況を共通の“ものさし”で可視化する仕組みです。これまで発注者ごとにバラバラだったセキュリティ要求を、共通の基準（★の水準）に置き換える。情シス・セキュリティ担当にとっては、対応工数のあり方そのものを変えうる制度です。

なぜこの制度が必要なのか

現在の調達現場では、発注元・委託先の双方が非効率を抱えています。

発注元は、取引先のセキュリティ対策状況を外部から判断しづらく、「本当にこの要件で十分なのか」を毎回悩みます。一方の委託先は、A社向けのチェックシート、B社向けのガイドラインと、取引先ごとに異なる要求へ個別に対応し、そのたびにやり直しやコスト・時間の増加に直面してきました。

SCS評価制度は、この構造を変えます。企業は自社の対策レベルを「評価結果（★の水準）」として示し、発注側はその共通基準を見て「この取引には★3で十分か」「ここは★4が必要か」を判断できるようになります。ゼロから要件をすり合わせる必要はなくなり、不足分だけを追加要件で補えばよい ―― 双方の負担を軽減しつつ、サプライチェーン全体の底上げを図るのが狙いです。

SCS評価制度による対策レベルの可視化イメージ

なお経済産業省は、本制度を対策レベルを競わせる「格付け制度」ではないと明言しています。あくまで対応状況を可視化し、共通言語をつくるための仕組みという位置づけです。

制度の全体像 ―― ★の段階と評価方法

SCS評価制度は段階（★）で対策水準を区分します。当面、制度として先行して構築されるのは ★3と★4 で、★5については今後検討とされています。

  • ★3（基礎）：すべてのサプライチェーン企業が最低限実装すべきセキュリティ対策。評価は「専門家の確認を経た自己評価」で行います。
  • ★4（標準）：★3を基礎に、より広い範囲・高度な対策を含む水準。評価は「第三者評価機関による評価」を受審します。

対象範囲は、企業のIT基盤（クラウド環境を含む）です。製造現場などの制御（OT）システムや、提供する製品そのものは、サプライチェーン全体での共通化が難しいため直接の対象外とされ、他の制度・ガイドラインで対応する想定です。

重要なのは、特定のセキュリティ製品の導入が必須とされているわけではないという点です。要求事項・評価基準を満たす具体的な実装例をまとめた「評価ガイド」は、2026年秋頃の公表が予定されています。

要求事項は「NIST CSF」がベース

評価基準は、国際的に広く使われる NIST Cyber Security Framework（CSF） の6つの機能 ―― 統治（GV）、識別（ID）、防御（PR）、検知（DE）、対応（RS）、復旧（RC）―― をベースに体系化されています。

対策の量感は水準によって大きく異なります。★3は約26項目の要求事項（評価基準に分解すると83項目）、★4は40項目超の要求事項（同157項目）で構成されており、特に「防御」と「統治」の領域が重視された構成になっています。

具体的な対策イメージをつかむと、★3では、ウイルス対策、なりすましを防ぐ多要素認証、IT資産の可視化・管理、脆弱性の把握と修復（パッチ配信）、インシデント対応や復旧の準備といった、実戦的な防御力が求められます。★4はさらに踏み込み、取引先の対策状況の把握、高度なログの取得・相関分析、包括的なガバナンス、セキュリティ教育など、「自社を守る」から「つながり全体を守る」への発想の転換が求められます。

★の水準ごとの具体的な対策イメージ

情シス・セキュリティ担当が今から準備すべき4つのこと

制度開始は2026年度末頃。運用が始まってから慌てないために、担当者としては次の観点で準備を進めておくのが現実的です。

1. 適用範囲（守る場所）を確認する。 業務で使うITのうち、どこが保護対象になるのかを明確にし、クラウドや外部接続点（VPNなど）を含めて、自社と他社のセキュリティ責任の境界を整理します。

2. 目指すレベル（★の数）を決める。 判断軸は2つ。取引先が止まると自社の事業継続に許容できない影響が出るか（事業継続リスク）、取引先経由の攻撃で自社の機密情報に重大な影響が及ぶか（情報管理リスク）。どちらか一方でも当てはまるなら★4が推奨され、影響が限定的であれば、まずは★3から始めるのが現実的です。最初から完璧を目指すのではなく、自社のリスクに見合った水準から着手することが大切です。

3. 必要なリソースと支援策を見極める。 ★3では「セキュリティ専門家」の助言、★4では「評価機関」による審査が必要になります。中小企業向けには、経済産業省・IPAが「サイバーセキュリティお助け隊サービス（新類型）」の創設や、「中小企業の情報セキュリティ対策ガイドライン」の改訂、専門家（登録セキスペ）リストの整備といった支援策を進めています。補助制度や支援サービスの活用も視野に入れましょう。

4. 取引先との対話を早めに始める。 発注側・受注側の双方で、どの水準を前提に取引するのかを早めにすり合わせておく。セキュリティ対策はもはや「コスト」ではなく、「取引を継続するための前提条件」になりつつあります。

まとめ ―― 「共通言語」への一歩を今から

SCS評価制度は、サプライチェーンに関わるすべての企業にとっての新しい共通言語になります。評価ガイドの公表（2026年秋頃）や制度開始（2026年度末頃）に向けて、まずは自社の適用範囲と目指す水準を把握するところから始めるのが、現実的な第一歩です。

技術的な備えとしては、EDR/NGAVによる侵入の検知、脆弱性管理による侵入口の削減、XDRによる複数領域のログの相関分析、そしてインシデント対応の準備と組織的なセキュリティ教育 ―― これらを「点」ではなく「層」として組み合わせる構えが、★3・★4の要求事項に応えるうえで有効です。制度対応を、自社のセキュリティ体制を一段引き上げるきっかけとして捉えてみてはいかがでしょうか。

※ 本記事は2026年3月27日公表の「制度構築方針」および関連公開情報に基づく解説です。要求事項・評価基準や制度開始時期は、今後の制度運営基盤の整備状況等により変更される可能性があります。最新情報は経済産業省・IPAの公式サイトをご確認ください。