経済産業省が2026年度からの制度開始を目指す「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」。評価を取得すること自体が目的ではなく、自社のセキュリティ対策を見直し、サプライチェーン全体の安全性を高める契機とされる。企業は今、どのような対策に取り組むべきなのか。
ランサムウェア被害とSCS評価制度の概要
ランサムウェアをはじめとした攻撃によって、国内でもさまざまな企業が深刻な被害を受けている。2022年には製造業の主要サプライヤーがランサムウェア攻撃を受け、受発注システムの停止に追い込まれた。その影響は発注側にも及び、国内全工場で生産停止を余儀なくされる事態に発展したことから、典型的なサプライチェーン攻撃として注目を集めた。
こうしたサプライチェーン全体に影響を及ぼす攻撃への対策強化に向け、各社の対策状況を評価・可視化する仕組みとして経済産業省が公表したのが「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」だ。2026年度からの制度開始が予定されており、制度への対応に向けて動き始める企業も増えている。
等級3と等級4の位置づけ
SCS評価制度の中核を成すのは、本制度において設けられるセキュリティ対策の段階「等級3」と「等級4」だ。
等級3は「すべてのサプライチェーン企業が最低限実施すべきセキュリティ対策として、基盤的なシステム防御策と体制整備を中心に実施する段階（専門家確認付き自己評価）」。等級4は「サプライチェーン企業などが標準的に目指すべきセキュリティ対策として、組織ガバナンス・採用先管理、システム防御・検知およびインシデント対応など、包括的な対策を実施する段階（第三者評価）」と定義されている。
SCS評価制度は企業間でセキュリティ対策レベルを競わせるための格付け制度ではない。共通の基準で対策状況を可視化し、サプライチェーン全体のセキュリティ水準の底上げを図ることを目的としている。
上位の等級5と今後のスケジュール
上位の「等級5」は「サプライチェーン企業等が到達点として目指すべきセキュリティ対策として、国際規格等におけるリスクベースの考え方に基づき、自組織に必要な改善プロセスを整備した上で、システムに対しては現時点でのベストプラクティスに基づく対策を実施する段階（第三者評価）」となる。等級5の対策基準や評価スキームの具体化については今後検討される予定だ。
2026年度には等級3、等級4の申請受付開始が予定されているが、具体的に何から取り組めばよいか悩む企業も少なくない。
企業の現状と専門家の見解
こうした状況を受け、企業はどう動いているのか。日立ソリューションズの岡田海渡氏は、「危機感を感じている企業が多いという実感があります。やらなければならない、と思ってはいてもどうやればよいのか、等級3か等級4か、どちらを目指すべきなのか、自分たちでは決めあぐねている企業が大半だと考えています」と語る。
サプライチェーンを構成する企業といっても、多くの企業はバイヤー/サプライヤー双方の立場を兼ねている。そのため、自社のサプライヤーには等級3の取得を求め、自社については社会的責任を果たすという意味も考えて等級4取得を目指すという企業もある。
この状況に対して岡田氏は、「セキュリティ対策に絶対の安全（100点満点）は存在しませんが、重要なのは継続的に対策を前に進め、ビジネスへの貢献につなげていくことです。そのきっかけとして、SCS評価制度が活用できると考えています。まずは取り組みを始めなければ、セキュリティは向上しません。今からでも一緒に始めていきましょう」と述べる。
制度を活用した対策の進め方
日立ソリューションズの山田公尚氏は、「SCS評価制度の『マーク取得』そのものを目的とするのではなく、制度を活用して自社の対策状況を可視化し、サプライチェーンセキュリティや事業継続性の向上につなげることが重要です」と強調する。
具体的な取り組みとして山田氏は、「まず、採用先から求められる水準や自社の事業継続リスク・情報管理リスク、適用範囲を踏まえ、等級3と等級4のどちらを目指すべきか判断する必要があります。そのうえで、自社のセキュリティ対策がどのようなレベルにあるのかの現状把握から始めて、等級3または等級4の要求事項とのギャップを確認します。次に、改善が必要な項目について、組織的対策と技術的対策の両面から改善案をお客様と一緒に検討し、ロードマップを策定します。必要に応じて、対策を実現するためのソリューション導入も検討します」と説明する。
SCS評価制度はサプライチェーン全体を対象としていることから、対策を講じるに当たっては広い視点を持つことが重要だ。岡田氏は、「自分たちのセキュリティ状況がどうなのか、というところを可視化することからスタートしますが、サプライチェーンセキュリティは自社単体で完結するものではありません。そのため、採用先や委託先を含めたサプライチェーン全体でセキュリティを考えることが欠かせません」と述べる。
セキュリティ対策を経営課題として捉える
セキュリティ対策を経営課題として捉えるための入り口としても、SCS評価制度は機能している。評価の取得を目指す企業は、自社の適用範囲や採用先から求められる水準、外部委託先やクラウドサービスの利用状況などを整理しなければならない。また、制度対応を進める中では、サプライチェーン全体を見据えたセキュリティ管理体制の整備も求められる。
こうした対応を自社だけで進めることが難しいケースも少なくなく、制度対応や評価取得に向けた取り組みを伴走する、信頼できるパートナーが求められている。
日立ソリューションズの支援体制
日立ソリューションズはSCS評価制度対応として、コンサルティングサービスを提供している。山田氏は同社の強みとして、コンサルティング専門企業ではなく、システムインテグレーター（SIer）であることを挙げる。「セキュリティ強化に向けて何を実施しなければいけないかを整理したうえで、それを実現するための製品やサービスの提案まで一貫して対応します」と語る。
日立ソリューションズによるSCS評価制度対応の支援（提供：日立ソリューションズ）
出発点となる現状把握や改善目標の選択に関して岡田氏は、「公式な取得区分ではありませんが、実務上は『等級3取得を前提に、等級4要求事項の一部も先行して満たす』段階的な取り組みを『等級3.5』のように表現するケースもあります。評価取得を目的とするのではなく、セキュリティ向上を目指すために等級3の要件に加え、優先度の高い等級4の要件にも取り組む考え方です」と話す。
岡田氏によると、等級3.5の考え方は、セキュリティ強化につながる部分にまずは集中するというものだという。
巨大なサプライチェーンを構成する日立グループの企業としてサプライチェーンの管理やセキュリティに関する経験、ノウハウを有していることも同社の強みだ。日立グループは2017年に海外のグループ企業を入り口とする攻撃に遭った経験がある。これを契機に、セキュリティ統括専門組織を設置してセキュリティ強化を推進してきた。SCS評価制度のコンセプトと共通する取り組みを先行的に実施しているというわけだ。
さらに、SCS評価制度では主としてIT環境が評価対象となる一方、製造業のサプライチェーンにおいて重要なOT環境に関する知見も豊富であり、OTセキュリティ対策を支援する製品・サービスも提供している。セキュリティ製品のベンダーではないため、特定の技術や製品に偏らず、ユーザー企業にとって適切な対策を提案できる中立性も日立ソリューションズの強みだという。
SCS評価制度の本質は評価認定を獲得することではなく、セキュリティを高めて、攻撃を受けた際に迅速に復旧できるレジリエンス（回復力）を実現することだ。自社を含めたセキュリティ対策状況を可視化・分析したうえでの対策には時間も要する。激化するサイバー攻撃への備えを強化するためにも、現状把握から早めに着手することをお勧めしたい。
