経済産業省と内閣官房国家安全保障局が2026年3月27日に公表した「サプライチェーン強靱化に向けたセキュリティ対策評価制度に関する制度構築方針」に基づくSCS評価制度（注1）は、2026年度から「3つ星」と「4つ星」の申請受付が予定されている。ノークリサーチは、この評価制度の要求事項を、1300社のユーザー企業を対象にした調査で分析し、企業がセキュリティや運用管理、バックアップのツール導入を検討する際の指標となる調査結果を発表した。
「3つ星」は26項目、「4つ星」は43項目
SCS評価制度で求められる要求事項は、「3つ星」で計26項目、「4つ星」で計43項目に上る。ノークリサーチは、中堅・中小企業がどこから手を付けるべきかを分析している。
セキュリティ対策レベルの評価には、SCS評価制度の前段階となる「SECURITY ACTION」も含めて「1つ星」から「5つ星」までの5段階が設定されている。その中でサプライチェーンを構成する中堅・中小企業に深く関連するのが「3つ星」と「4つ星」だ。
「3つ星」にのみ丸が付いている項目は、その内容がそのまま「4つ星」にも適用される。「3つ星」と「4つ星」の双方に丸が付いている項目は、同じ要求事項でも評価基準が異なる。
例えば、大分類「取引先管理」、中分類「サイバーセキュリティサプライチェーンリスクマネジメント」の要求事項「2-1-2. 機密情報の取り扱い」は、「3つ星」のみに丸が付いている。機密情報の取り扱い方法を自社と共有先の間で明確にするというこの内容は、「3つ星」と「4つ星」の双方に適用される。
「4つ星」では経営層の参画が必要に
一方、大分類「ガバナンスの整備」、中分類「役割、責任、権限」の「1-2-1. セキュリティ推進活動部署」は双方に丸が付いている。「3つ星」ではセキュリティを統括する役員やセキュリティ担当部署の役割や責任の明確化が求められる。「4つ星」ではそれらに加えて、セキュリティリスクへの対応について経営層が参画して経営判断を実施する体制（情報セキュリティ委員会など）の設置が必要になる。
ノークリサーチは、SCS評価制度を契機として製品やサービスの導入を進める際には、自社が抱えるどの課題やニーズが同制度の要求事項と関連するのかを把握することが重要になるとしている。
調査結果によると、中堅・中小企業がCISO（最高情報セキュリティ責任者）を採用・育成することは容易ではない。しかし、要求事項1-2-1では「3つ星」でもセキュリティを統括する役員とセキュリティ担当部署の役割・責任の明確化が求められている。このことから、今後はIT企業がCISO相当の人材を派遣する動きなどが活発になる可能性もあるとノークリサーチはみている。
インシデント対応手順、教育・訓練の優先度
サプライチェーンへのマルウェア被害拡大を防ぐ観点から、要求事項6-1-1はインシデント対応手順の整備を求めている。しかし、中堅・中小企業では対応マニュアルの必要性を感じていても実行できないケースも多い。
標的型攻撃の被害や脅威性が十分に周知されていないという課題に対しては、要求事項4-2-1（4つ星）が求める教育や訓練が有効だとノークリサーチは分析している。注意すべきは、関連する要求事項「4-2-2. セキュリティインシデント発生時の教育・訓練」が3つ星になっている点だ。
より多くの中堅・中小企業が該当すると予想される3つ星では、マルウェア感染の予防に貢献する4-2-1よりも、インシデント発生時の対処に当たる4-2-2が優先されていることになる。こうした点に、サプライチェーンを介したマルウェア被害の拡大を防止するというSCS評価制度の基本思想が表れているとノークリサーチはみている。
バックアップを巡っては、要求事項4-3-4で「バックアップ対象ごとのリストア手順の整備」が求められている。ただし、リストアの検証までは明記されていない。ランサムウェア被害が増加する状況を踏まえると、保護されたバックアップデータを確実にリストアできる手段を日頃から確認しておくことが重要だと同社はみている。
（注1）サプライチェーン強靱化に向けたセキュリティ対策評価制度（SCS評価制度）：経済産業省と内閣官房国家安全保障局が2026年3月27日に公表した「サプライチェーン強靱化に向けたセキュリティ対策評価制度に関する制度構築方針」に基づく制度で、IPAが運営する。詳細はIPA「SCS評価制度の詳細情報」（https://www.ipa.go.jp/security/scs/details.html）を参照
