見出し画像

【ITリテラシーまんが】セキュリティも取引条件に？SCS評価制度をやさしく解説

IT Secure Team Amulet

セキュリティも取引条件に？SCS評価制度をやさしく解説

「SCS評価制度」という言葉を見て、
正直、ちょっと難しそうだなと思った方も多いかもしれません。

でもこれは、IT担当者だけの話ではありません。

会社同士の取引、外注、委託、制作、保守、クラウド利用、業務システムの管理。
そうした“つながり”の中で、今後少しずつ関係してくる可能性がある制度です。

今回は、IPAが案内している
**サプライチェーン強化に向けたセキュリティ対策評価制度、通称「SCS評価制度」**について、ITに詳しくない方にもわかるように整理します。

何が起きたか

IPAは、SCS評価制度に関するメールニュースの登録受付を開始しました。
メールニュースでは、制度に関する最新情報やセミナー案内などが配信される予定です。IPA公式ページのお知らせでは、2026年7月7日にメールニュース登録を開始したことが案内されています。

SCS評価制度は、2026年度内の開始が予定されている制度です。

ざっくり言うと、会社同士の取引の中で、

「この会社は、どのくらいセキュリティ対策をしているのか」
「取引先として、最低限どこまで確認すればいいのか」
「毎回バラバラなチェックシートに答える負担を減らせないか」

こうした課題を、共通の基準で見えるようにするための仕組みです。

IPAは、委託元側には「委託先のセキュリティ対策が見えにくい」という課題があり、委託先側には「さまざまな委託元から異なる要求を受けて負担が大きい」という課題があると説明しています。

そもそもサプライチェーンって何？

サプライチェーンというと、少し大きな言葉に聞こえます。

でも簡単に言えば、
仕事でつながっている会社や人の流れ
のことです。

たとえば、

  • 発注する会社

  • 受注する会社

  • 外注先

  • 保守会社

  • Web制作会社

  • システム会社

  • クラウドサービス

  • 個人事業主やフリーランス

こうした関係がつながって、ひとつの仕事やサービスが成り立っています。

つまり、セキュリティはもう
「自社だけちゃんとしていれば大丈夫」
では済まなくなってきています。

取引先のパソコン、ルーター、NAS、クラウド、メール、アカウント管理が弱いと、そこが入口になってしまうことがあります。

IPAも、委託先へのサイバー攻撃などをきっかけに、サービス停止、情報漏えい、改ざん、踏み台にされた不正侵入などのリスクがあると説明しています。

どこが危ないか

今回の話で気をつけたいのは、
「SCS評価制度が始まるから怖い」ということではありません。

本当に危ないのは、
自分の会社の状態を説明できないこと
です。

たとえば、取引先からこう聞かれたとします。

「使っているPCやクラウドは把握していますか？」
「退職者のアカウントは残っていませんか？」
「重要なサービスに多要素認証は入っていますか？」
「ルーターやNASの更新は止まっていませんか？」
「バックアップは戻せる状態ですか？」
「事故が起きたときの連絡先は決まっていますか？」

このときに、
「たぶん大丈夫です」
「前の担当者がやっていたと思います」
「詳しい人じゃないとわかりません」
となってしまうと、取引先から見たときに少し不安が残ります。

もちろん、すぐに完璧な対策をしなければならない、という話ではありません。

ただ、最低限として、
何を使っていて、誰が管理していて、どこまで対策できているのか
を説明できるようにしておくことが大事です。

「星の数」は順位付けではない

SCS評価制度では、★1〜★5の5段階が示されています。
現時点では、★1と★2は自己宣言で取得できるとされ、★3以上では段階に応じて専門家確認や第三者評価が関係してきます。INTERNET Watchの記事でも、5段階の大枠や、★1・★2が自己宣言であることが紹介されています。

ここで誤解しやすいのが、
「星が多い会社が偉い」
「星が少ない会社はダメ」
という見方です。

でも、制度の目的は単純なランキングではありません。

大事なのは、
取引の中で必要な対策を確認しやすくすること
です。

IPA公式ページでも、2社間の取引契約などで、委託元が委託先に適切な段階を提示し、対策を促し、実施状況を確認することが想定されています。

つまり、星の数そのものよりも、
自社の立場に合った対策を、見える形にすること
が重要です。

中小企業や個人事業も無関係ではない

「こういう制度は大企業向けでしょ？」
と思う方もいるかもしれません。

でも、IPA公式ページでは、すべてのサプライチェーン企業が対象であり、特に中小企業は活用による効果が大きいと説明されています。

これは、地域の中小企業や個人事業主にとっても無関係ではありません。

たとえば、

  • 大きな会社から業務を受けている

  • Webサイトやシステムの保守をしている

  • 顧客情報を預かっている

  • クラウドで資料を共有している

  • メールで見積書や請求書をやり取りしている

  • 外部サービスにログインして作業している

こういう場合、取引先から
「セキュリティ対策はどうしていますか？」
と聞かれる場面が出てくる可能性があります。

民間調査でも、SCS評価制度の取得を検討している企業が多いことが紹介されています。INTERNET Watchの記事では、VLCセキュリティの調査として、約6割の企業が取得を検討していることが報じられています。

今日から何を確認するか

いきなり高額なセキュリティ製品を入れる必要はありません。

まずは、
自社の状態を見えるようにすること
からで十分です。

1. 使っている機器とサービスを把握する

まずは、会社や仕事で使っているものを書き出します。

  • PC

  • スマホ

  • タブレット

  • ルーター

  • NAS

  • サーバー

  • クラウドサービス

  • メール

  • 業務システム

  • 共有フォルダ

意外と、昔から使っている機器や、前任者が契約したサービスがそのまま残っていることがあります。

「何を使っているかわからない」状態は、それだけでリスクになります。

2. 古いアカウントを残さない

退職者、昔の担当者、使っていない外注先アカウントが残っていないか確認します。

特に注意したいのは、

  • 管理者アカウント

  • メールアカウント

  • クラウドの共有アカウント

  • WordPressなどのWeb管理画面

  • NASやサーバーのログイン情報

  • 取引先と共有していたID

「もう使っていないから大丈夫」ではなく、
使っていないなら消す・止める
が基本です。

3. 重要なサービスは多要素認証を使う

パスワードだけに頼るのは危険です。

メール、クラウド、会計ソフト、Web管理画面、VPNなど、重要なサービスには多要素認証を入れておくと安心です。

多要素認証とは、パスワードに加えて、スマホ確認や認証アプリなどを使う仕組みです。

完璧ではありませんが、パスワード漏えいだけで入られるリスクを下げられます。

4. PC・ルーター・NASの更新を止めない

見落とされやすいのが、機器そのものの更新です。

PCのWindows Updateだけでなく、ルーターやNASにも更新があります。

特に、

  • 古いルーター

  • 古いNAS

  • サポート切れのPC

  • 何年も管理画面を開いていない機器

  • 初期パスワードのままの機器

このあたりは注意が必要です。

アカウント管理だけでなく、
使っている機器の更新と保護設定
もセットで確認したほうがいいです。

5. バックアップは「取っている」だけでなく「戻せるか」を見る

バックアップは取っているつもりでも、いざという時に戻せないことがあります。

確認したいのは、

  • どこにバックアップしているか

  • 何日前まで戻せるか

  • 誰が復元できるか

  • ランサムウェア対策として分離できているか

  • 実際に復元テストをしたことがあるか

バックアップは、保険のようなものです。

「入っている」だけではなく、
使えるかどうか
が大事です。

6. 困ったときの連絡先を決めておく

事故が起きたときに一番困るのは、
「誰に聞けばいいかわからない」
という状態です。

社内の担当者、外部のIT業者、契約している保守会社、取引先への連絡方法などを決めておくと、初動が早くなります。

サイバー被害は、初動が遅れるほど広がりやすくなります。

今回の教訓

SCS評価制度は、単なる新しい制度名ではありません。

これからの取引では、
価格や納期だけでなく、安心して仕事を任せられるか
も見られるようになっていく可能性があります。

大切なのは、いきなり完璧を目指すことではありません。

まずは、

  • 何を使っているか

  • 誰が管理しているか

  • 古いアカウントは残っていないか

  • 機器の更新は止まっていないか

  • バックアップは戻せるか

  • 困ったときの相談先は決まっているか

このあたりから見直すことです。

SCS評価制度は、会社を責めるためのものではなく、
取引の中でセキュリティ対策を確認しやすくするための仕組みです。

「うちは関係ない」ではなく、
「うちは説明できる状態かな？」
という視点で、今日から少しずつ確認していきましょう。

参考リンク

IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」

INTERNET Watch「SCS評価制度、約6割の企業が取得を検討～VLCセキュリティ調査」


いいなと思ったら応援しよう！