殆どの企業で対応が必要となっている「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」と「★4」取得に向けた技術的対策、ネットワーク分離についてご紹介します。
エグゼクティブサマリー
2026年度末（2027年3月頃）より、経済産業省と独立行政法人情報処理推進機構（IPA）が主導する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の本格運用が開始されます。本制度は、サイバー攻撃の「踏み台」となりやすい中小企業や委託先を狙うサプライチェーン攻撃の深刻化を背景に、企業間のセキュリティ対策状況を統一指標で「見える化」することを目的としています。
制度は★3から★5までの段階的な格付け（★1-2は既存制度を流用）で構成され、全てのサプライチェーン企業には最低限★3以上の対策が求められます。★3は「専門家確認付き自己評価」、★4は「評価機関による第三者評価」が必要となり、取得には技術的対策だけでなく、適切な運用証跡（エビデンス）の提示が不可欠となります。今後は本制度の格付けが取引条件や入札加点の基準となる可能性が高く、企業には経営課題としての早期対応が求められています。
1. 制度創設の背景と目的
1.1 サプライチェーン攻撃の深刻化
近年、セキュリティが強固な大企業を直接狙うのではなく、そのサプライチェーン上のセキュリティが脆弱な中小企業や委託先を足がかりにする「サプライチェーン攻撃」が重大なセキュリティ脅威となっている。
- 実態: サイバー攻撃を受けた中小企業の約7割が、取引先や顧客に迷惑をかけた経験がある。
- 現状: 約7割の企業においてセキュリティ対策が整っておらず、特定の企業の脆弱性がサプライチェーン全体の危険に直結している。
1.2 既存課題の解決
これまで発注元企業は委託先の安全性把握に苦慮し、受託側企業は多種多様なセキュリティ要求（個別のチェックリスト等）への対応に過度な負担を強いられてきた。本制度は以下の解決を目指す。
- 可視化: 客観的な指標（星の数）で対策レベルを明確にする。
- 効率化: 統一基準の導入により、個別の確認作業や説明の負担を軽減する。
- 信頼醸成: 取引の安全性を示す「共通言語」として機能させる。
2. 評価レベルの構成と選定基準
評価制度は企業の役割や取り扱う情報の重要性に応じて5段階で構成されるが、今回新しく制定されるのは★3から★5である。
2.1 各レベルの詳細比較
|
項目
|
★3（基礎レベル）
|
★4（標準レベル）
|
★5（先進レベル）
|
|---|---|---|---|
| 対象企業像 | 全てのサプライチェーン企業 | 重要インフラの構成企業、重要機密情報・データの取扱企業 | 重要インフラ事業者等 |
| 要求事項数 | 26要求事項・83評価基準 | 43要求事項・157評価基準 | 未定（2025年度以降検討） |
| 評価方式 | 専門家確認付き自己評価 | 評価機関による第三者評価 | 第三者評価（想定） |
| 主な防御対象 | 一般的な攻撃（ランサムウェア等） | 国家的な攻撃や高度な標的型攻撃 | 極めて高度な脅威 |
| 運用開始時期 | 2026年度末（2027年3月） | 2026年度末（2027年3月） | 未定 |
| 有効期間 | 1年 | 3年 | 未定 |
2.2 レベル選定の判断指標
企業はビジネス・システムの観点から以下のYES/NOフローに基づき、必要なレベルを判断する。
- ★4が必要なケース:
- 取引先IT基盤にて発注者の「重要機密情報」が扱われる。
- 取引先環境から発注者の「内部システム」へのアクセスが可能である。
- ★3が必要なケース:
- 取引先の事業中断により、自社業務に「許容できない遅延」が生じる。
- 全てのサプライチェーン企業は、最低限★3以上の対策が必要とされる。
3. 評価領域と要求事項の詳細
評価基準は国際的な標準である「NISTサイバーセキュリティフレームワーク（CSF）」をベースに、サプライチェーン特有の要素を加えた7つの領域で構成されています。
3.1 7つの評価領域
- ガバナンス: 経営層のコミットメント、情報セキュリティ基本方針の周知。
- リスクの特定（資産管理）: IT資産、クラウドサービス（SaaS等）の網羅的な把握と台帳管理。
- 取引先管理: 委託先の選定基準定義、定期的なセキュリティ状況の監査。
- 攻撃等の防御: 多要素認証（MFA）の導入、脆弱性管理（パッチ適用）、ネットワーク分離。
- 攻撃等の検知: EDRの導入、監査ログの継続的な取得と保管。
- インシデントへの対応: 連絡体制の確立、対応マニュアルの整備と訓練。
- インシデントからの復旧: バックアップ（3-2-1ルール）、事業継続計画（BCP）の策定。
3.2 運用の証跡（エビデンス）の重要性
本制度では、単にツールを導入するだけでなく、適切に運用されていることを示す客観的な証拠が厳格に求められる。
- 具体例: 設定画面のスクリーンショット、方針文書、アカウント申請書の承認履歴、研修の受講率データ、運用ログ。
- 不認定リスク: ツールの導入済みであっても、一部のアカウント（役員や開発者等）に適用されていない場合などは「未対応」と判断される可能性がある。
4. 取得プロセスとスケジュール
★3取得には、平均して2〜4ヶ月（未対策の状態からは約1年）の期間を要するとされています。
4.1 取得に向けた6ステップ
- Step 1：制度理解と経営判断
経営層のコミットメントを得て、予算と担当者を確保する。 - Step 2：現状の対策棚卸し
IT資産、アカウント管理状況、既存の文書類を洗い出す。 - Step 3：ギャップ分析
要求事項（★3は83基準）と現状を突合し、不足項目を特定する。 - Step 4：不足対策の実装
MFA、EDR、バックアップ、ログ管理などの技術的対策と文書整備を実施。 - Step 5：自己評価書の作成
対応方法の説明と根拠（エビデンス）をまとめる。 - Step 6：申請と公表
専門家の確認を経て、ポータルサイトから申請を行い、格付けを取得する。
4.2 具体的なITツール・ソリューション例
★3は、一般的なサイバー攻撃に対処するための最低限のベースラインとなり、基礎的な「認証」「防御」「境界監視」を達成するためのツールが求められます。具体的に必要となる技術的対策やツール（ソリューション）の例は以下となります。（あくまでも一例となります）
| ★3 技術的対策 | 機能概要 | ツール例 |
|---|---|---|
| 多要素認証（MFA）/ クラウド認証基盤（IdP） | 重要な機密情報を取り扱うクラウドサービス（SaaS等）へのアクセス時にMFAを強制できること。知識（パスワード等）、所有（ワンタイムパスワードや証明書）、生体などの要素から2種類以上を組み合わせる必要があります。 | Microsoft Entra ID、Okta など |
| マルウェア対策ソフトウェア | 適用範囲内にあるすべてのPCおよびサーバに導入し、パターンファイルがベンダー推奨に従って自動アップデートされ、定期スキャンが実行できるもの。EPP（Endpoint Protection Platform）/EDR（Endpoint Detection and Response） | Microsoft Defender、Deep Instinct、CrowdStrike など |
| インターネット境界防御機器 | 認証されていない外部からの通信（インバウンド通信）を遮断でき、かつ社内から外部の不正なサーバー（C&Cサーバ等）への通信をリアルタイムに検知・遮断できる仕組み。ファイアウォール / ルータ / UTM等 | |
| バックアップツール | 組織で定めた頻度・期間（スケジュール）に沿って、確実にデータのバックアップを取得できるもの。社内ネットワークから隔離された安全な環境（オフライン保管やイミュータブルストレージなど）に復旧用データを確実に保管する仕組み。 | Rubrik、M365 Backupなど |
次に、★4では、★3のツールに加えて、より強力な「ログ監視」「安全なリモートアクセス」「資産管理」「暗号化」「検証・検知」「ネットワーク分離」を行うためのITツールが必須となります。★4に向けて具体的に必要となるツールや技術対策の例は以下となります。
| ★4 技術的対策 | 機能概要 | ツール例 |
|---|---|---|
| ログ管理・収集システム | インシデント発生時の原因調査のため、「ファイアウォール」「プロキシサーバ」「認証サーバ（ADやクラウド含む）」のアクセスログを確実に『6ヶ月間』保管・保護できるシステム。さらに、認証ログについて不審なログイン試行がないかを監視（月1回以上のモニタリング）できる機能。統合ログ管理ツール / syslogサーバ /SIEM（Security Information and Event Management）等 | Microsoft Sentinel、Unified Audit Log、Splunk、QRadarなど |
| 高度ネットワーク接続ゲートウェイ | クラウドへのアクセスだけでなく、「インターネット経由での社内環境への接続（リモートアクセス）」や、管理者によるシステムアクセス時にも常にMFAを強制できる環境。≠VPN装置。ZTNA（Zero Trust Network Access）/ SASE | Catoクラウド（SASE） |
| 資産管理システム / 構成管理ツール | PC、サーバ、スマートデバイスの製造元・OS・台数を自動で把握できること。許可されていない不要なソフトウェアやサービス・プロトコルを遠隔から制限・無効化し、インストール状況を年1回以上点検できること。MDM、IT資産管理ソフト等 | Microsoft Intune、Ivantiなど |
| 暗号化ツール / 情報送信・共有管理システム | 社外に持ち出すPCや記憶媒体のデータ暗号化。取引先とファイルを共有・転送する際、「送信履歴」を確実に残せる転送システム。 | BitLockerなど |
| 受信ファイル検証システム | 外部から受信したファイルについて、リアルタイムスキャンだけでなく、仮想環境（サンドボックス）上で実行して安全性を検証する仕組み。サンドボックス | Catoクラウド（SASE） |
| 脆弱性管理ツール / 脆弱性スキャンツール | 自社の保有するシステムや、外部に公開されている機器のファームウェア等に未対策の脆弱性がないかを定期的、あるいは継続的に自動スキャン・検知し、CVSS基本値7.0以上の既知の脆弱性の放置（パッチ未適用など）による侵入経路（ゼロデイ攻撃など）を未然に塞ぐための管理ツールです。 | Wiz、Sysdigなど |
| ネットワーク分離（セグメンテーション）および高度なアクセス制御システム | 社内ネットワークを適切にセグメント分割し、重要システムへのアクセスを必要最小限の端末・利用者に限定することで、侵入後の「横展開（ラテラルムーブメント）」を抑止します。制御系（OT環境・工場等）を持つ事業者の場合は、OT環境に対する適切なネットワーク設計も必要となります。マイクロセグメンテーション | Zero Networks |
5. 対応費用と削減方法
対応費用は企業の現状のセキュリティ成熟度や、前述のツールの導入状況によって大きく変動します。
5.1 費用目安（下限）
|
区分
|
★3（自己評価） | ★4（第三者評価） |
|---|---|---|
| 技術対策費 | 50万円〜 | 100万円〜 |
| 文書整備費 | 20万円～ | （★3に含まれる） |
| 外部支援・評価費 | 30万円〜（署名費用等） | 50万円〜（現地審査等） |
| 合計（目安） | 100万円〜 | 250万円〜 |
5.2 費用削減の戦略
- 既存ライセンスの活用: Microsoft 365 Business Premium等の統合ツールを活用することで、MFA・EDR・ログ管理・資産管理をカバーし、個別導入コストを抑制できます。
- 統合ソリューションの活用: VPN装置リプレースでZTNA（SSE）を個別に導入するのではなく、ネットワークとセキュリティを統合したSASE（Secure Access Service Edge、サッシー）を活用することで、通信回線・ルータ・Firewall（UTM）・Proxy・ログ管理（SIEM）をカバーし、トータルコストを抑制することができます。
- 補助金の活用: IT導入補助金（セキュリティ対策推進枠）で最大100万円の補助を受けられます。
- サイバーセキュリティお助け隊: 月額1万円程度で、EDRやSOC監視がパッケージ化されたサービスを利用することも可能です。
- 段階的アプローチ: まず★3を取得し、後に★4を目指すことでキャッシュフローを分散できます。
6. 評価制度における専門家の役割
★3の「専門家確認付き自己評価」には、有資格者による客観的な検証と署名が必要である。
6.1 セキュリティ専門家の資格要件
自己評価の妥当性を確認できるのは、以下の資格を保有し、かつ国が指定する研修を修了した者に限定される。
- 情報処理安全確保支援士（登録セキスペ）
- 公認情報セキュリティ監査人
- CISSP
- CISM / CISA
- ISO/IEC 27001（ISMS）主任審査員
6.2 外部支援の活用
社内に有資格者がいない場合は、外部のコンサルティング会社や「お助け隊サービス」を利用して第三者の立場から確認を委託する必要がある。
まとめ
現状は多くのお客様で、まず★3を取得に向けて進められている状況です。その中で、MFA（EntraID）やEPP/EDRは、すでに導入が完了しているが、イミュータブルバックアップ（一度作成したバックアップデータを設定された期間、管理者であっても変更・削除ができないように保護する不変（immutable）データ保護機能）が未対応であるため、その対応ソリューションやサービスのお問い合わせを多くいただいております。
また、★4の取得も視野に入れて対応されているお客様からは、リモートアクセスが従来型のVPN装置で実施しているためZTNA導入の検討や、ネットワーク分離でマイクロセグメンテーションの検討、SIEM/SOARの導入と常時モニタリングを検討されており、対応ソリューションやサービスのお問い合わせが増えてきました。
ただし、★3の取得の要求事項に、経営者がセキュリティ方針にコミットすることがも含まれているため、SCS評価制度は、セキュリティ対策で、IT部門の仕事という認識のまま進めると文書化や体制整備で停滞されている事例も多く、また、SCS評価制度に関わらず、高価なセキュリティツールを導入しただけで、ツールが適切に導入が実施されておらず、設定が不十分で、運用証跡（エビデンス）がきちんと残っていないケースも発生しており、単純にツールを購入するだけではなく、きちんと導入を行い、運用フェーズも考慮し、運用フェーズでの支援や、マネージドサービスを提供するパートナーを選ぶことが重要になります。
そもそもランサムウェア被害にあった”あの”大手企業ですら未導入であった SASE、イミュータブルバックアップ、マイクロセグメンテーションの導入が必要となってきていますので、限られたリソース（ヒト・モノ・カネ）の中、費用対効果が高いソリューションから導入を進めるべきだと考えています。
