セキュリティ対策評価制度について思うこと

セキュリティ対策評価制度をめぐる動き

ITの仕事、とりわけ製造業で仕事をしていると、「サプライチェーン強化に向けたセキュリティ対策評価制度」についての話題をよく耳にします。

ここ数年、有名企業や病院、通販サイトなど、サイバー攻撃により大きな被害を受けた企業のニュースは誰もが目にするところです。

セキュリティ対策のレベルが高いと思われる大手企業が被害にあうケースも多いのですが、それ以上に、対策が進んでいない中小企業が狙われ、それが波及してサプライチェーン各社に被害が広がることが懸念されます。

「サプライチェーン強化に向けたセキュリティ対策評価制度」は、経済産業省が構築を検討しているセキュリティ評価制度です。各企業のセキュリティ対策のレベルを★の数で可視化する仕組みであり、企業間取引で安全な取引先かどうか？を判断する基準になる可能性が高いと考えられています。（詳しくは以下リンク先）

https://www.meti.go.jp/press/2025/12/20251226001/20251226001.html

もちろん、そこに提示される内容は、コストや人材が十分でない中小企業には、そう簡単に対応できることばかりではありません。ひとつひとつ、クリアしていくしかないですし、「そもそも何から手をつければいい？」というケースもあります。

そこで、いくつかのIT関連業者は「制度の説明をします」といった電話や、Webセミナーを開催するなどの動きを始めています。★を取得するためのコンサルティングや教材販売のチャンスということでしょう。

制度は浸透するか？

制度の趣旨は非常に重要なものです。セキュリティ事故が大きな被害につながることも理解しています。大切なのは、被害を受けないための対策であり、セキュリティに対するリテラシーの向上です。間違っても、「★を取ること」が目的になってしまわないことが大切です。

プライバシーマーク、ISOの認証、個人情報保護関連、電子帳簿保存法など、情報処理関連では、これまで、さまざまな施策が実施され、そのたびに教材が売り込まれ、対応ソフトウェアの売り込みがありました。

「対応しておかないと、たいへんなことになる」

といった形で、日々のニュースに敏感すぎるほど反応してしまった経験、みなさんもおありではないでしょうか？

そういった意味で、私はしばらく、この制度については、「情報収集と勉強はするが、教材や対応ソフトの購入は様子見」というスタンスでいます。

ここは、まあ、それぞれの考え方だとは思うのですが．．．

興味深いこと

情報収集していると、興味深いことも多々あります。例えば、「サイバーセキュリティお助け隊サービス」（新類型）の制度設計。

経済産業省及びIPAでは、令和8年春頃から、「サイバーセキュリティお助け隊サービス」（新類型）の制度設計を行うための実証事業を開始する予定です。

もうひとつ、興味深いのは、★の認定は誰がするのか？

３つ★は自己評価とされていますが、４つ★以上は第三者評価となっています。検討段階では、この第三者評価をする専門家として、「情報処理安全確保支援士（登録セキスペ）に加え、セキュリティプレゼンターやITコーディネータ（セキュリティ関連資格保有者）等必要な知見・知識を持つ者の活用も検討」と書かれています。

情報処理安全確保支援士などの有資格者にとっては、新たなお仕事のチャンスになるかもしれません。経済産業省にはぜひ、上記以外のIPA高度資格取得者も「第三者評価をする専門家」として検討いただけないでしょうか？．．．などと考えてしまいます。

．．．というのは、以前の記事にも同じようなことを書いています。

終わりに

最後までお読みいただきありがとうございました。企業が事業継続に支障をきたさないよう、セキュリティ対策のレベルを高めていくことが最も大切です。制度やIT業者の宣伝に右往左往せず、自分で判断できるよう、情報収集と勉強を継続していきます、

kindleでも、コミュニケーションや勉強のこと書いています。ぜひ、お読みください！