2026年度から、経済産業省と内閣サイバーセキュリティセンターが2026年3月に公表した制度構造方針に基づき、情報処理推進機構（IPA）が「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の運用を開始する。まずは「★3」と「★4」の2段階でスタートする。企業のセキュリティ対策状況を共通の基準で可視化し、発注企業と受注企業がセキュリティ要件を分かりやすくやり取りできる仕組みだ。
この制度は任意であり、企業を格付けして選別するためのものではない。発注側がリスクに応じた段階の★を提示し、受注側の実施状況を双方で確認しながら進めることが想定されている。
両機関は2026年4月、評価を取得しないと取引から排除されるといった営業活動が制度の趣旨と異なるとして注意喚起を出した。評価基準の達成に特定製品の導入は必須ではない。出発点は、IPAが公開する一次情報の確認だ。
1032人調査で見えた現状と課題
ソリトンシステムズのエバンジェリスト・江頭将子氏は、制度を前向きに捉えている。「発注側と受注側でセキュリティ対策にスムーズに取り組むには共通の物差しが必要です。一企業や一業界だけでは解決できないサプライチェーンのセキュリティ対策に対し、国が枠組みを示すことには大きな意義があります」
では、企業側の準備はどこまで進んでいるのか。ソリトンシステムズが2026年4月に国内企業の意思決定者1032人を対象に実施した「サプライチェーンセキュリティ実態調査2026」から、現在地を見ていく。
今回の調査で分かったのは、セキュリティ対策が既に企業間取引の前提になっていることだ。「セキュリティ対策を取引条件としている」との回答は64.3％に達した。江頭氏は「SCS評価制度に関係なく、セキュリティ対策は既にビジネス上の取引条件になっています」と指摘する。
SCS評価制度への対応も進んでおり、「★3または★4取得に向けて取り組み中」との回答は67.7％に上った。
ただし、取引上の立場による差は見逃せない。発注側を含む立場では7割超が取り組み中である一方、主に受注側では44.9％にとどまり、約30ポイントの開きがある。受注側は発注側からの要件提示を待っているのかもしれないが、自社の現在地を先に把握しておくほうが準備も楽になる。受注側にとって、待ち時間は準備時間だ。
理解の壁から実装の壁へ
制度対応の課題として最も多かった回答は「評価基準や対象範囲の解釈・判断が難しい」（49.3％）。次いで「対策実施の証拠整備が難しい」（41.7％）、「対策の導入・運用コストが大きい」（39.8％）、「期限内での対応が難しい」（37.1％）と続いた。
解釈の課題は、制度整備が進めば整理されていく可能性が高い。一方、証拠整備や期限内の対応可否が上位に来ていることは、企業の多くが制度理解の段階を越え、実装と運用に入りつつあることを示す。
実装段階で壁になるのが、サプライチェーン環境の特性だ。今回の調査では、他組織と何らかの形で業務システムを共同利用している（または予定がある）との回答が89.1％に達した。そして、こうした環境でセキュリティ対策が難しい理由のトップは「管理外端末への対応が困難」だった。フリーコメントには「自社だけならなんとかなるが、取引先を巻き込むことが難しい」（5000人以上／金融業）という声もあった。
「他組織まで展開するとなると一気に難易度が上がります」と江頭氏。自社の管理が及ばない領域とどう切り合うかが、実装段階でいちばんの悩みどころになっている。
現実的な進め方、四つの足場
ここまでの調査結果と制度の掛け合わせを踏まえると、進め方の足場が見えてくる。
1つ目は、一次情報を起点にすること。IPAの公式サイトは順次更新されるため、そこで最新情報を確認したい。
2つ目は、適用範囲の検討と現状とのギャップの洗い出しだ。申請主体は原則法人単位だが、妥当性が確認されれば事業部やグループ単位とすることもできる。範囲の設定は簡単ではないが、今から、自社にとって現実的な範囲の仮説を立て、要求事項と現状の差分を洗い出しておけば、やるべきことの総量が見え、期限とコストの見通しも立てやすくなる。
3つ目は、関係部署で必要な論点を整理し、経営層の判断を得ながら進めることだ。★3の取得には経営層による自己適合宣言が求められる。制度は事業継続リスクと情報管理リスクの両面を扱うため、特定部署だけで完結する話ではない。
4つ目は、取引先との対話に向けた準備だ。本制度は発注者と受注者、2社間のやり取りが前提となる。発注側なら取引先のリスクに応じて★3か★4かを決め、経済産業省と公正取引委員会が公表しているパートナーシップ構造の考え方を参考に、コスト負担にも配慮しながら要求方法を考える。直ちに★を取得できない取引先には、要求事項・評価基準をチェックリストとして配布するという段階的な取り組みも例示されている。受注側なら自社の対策状況を整理して備えられる。企業間の話し合いを通じて、サプライチェーン全体で水準を引き上げていく姿が期待されている。
サプライチェーンMFAとデジタル証明書の統合運用
その上で残るのが、調査でも困難さが際立っていた二つの実装課題、サプライチェーン環境でのMFA（多要素認証）とデータ保護だ。ここは、ユーザーの注意力や判断に依存する運用でカバーするのではなく、仕組みで解決することで、★4で求められる評価機関による審査にも耐えられる対策にしたい。
評価基準では★3の段階から、重要な機密情報を取り扱うクラウドサービスでユーザーと管理者にMFAが求められ、★4では同様のシステムを対象に、インターネット経由で社内環境へ接続する場合などへ範囲が広がる。基準はユーザーの属性を区別しない。取引先と共同利用するシステムが機密情報を扱うなら、他社のユーザーも例外ではない。
MFAの中でも安全性が高い方式の一つがデジタル証明書方式だが、導入にはハードルもある。「どのようにデジタル証明書を配布するかで悩む企業は少なくありません。ましてや、他の企業へとなると難題になりがちです」と江頭氏は言う。
ソリトンシステムズの国産IDaaS「Soliton OneGate」は、デジタル証明書の発行から配布、多要素認証、シングルサインオンまでを一貫して引き受け、認証の土台となるプライベートCAまで含めてISMAPの言明範囲に収めた国産IDaaSは、現時点でSoliton OneGateだけだ（※2026年7月時点、ソリトンシステムズ調べ）。専用アプリ「Soliton Key Manager」で証明書とWi-Fi・VPNの接続プロファイルを一括配布でき、クラウドの認証から社内ネットワーク接続まで同じ基盤で運用できる。
取引先への展開では、招待メールのリンクをクリックするだけでデジタル証明書を導入できる招待コード方式が有効だ。ある大手製造業では、受発注システムのクラウド化を機にSoliton OneGateを導入し、仕入れ先企業でもデジタル証明書によるMFAを実現した。取引先を巻き込むMFAは難題だが、解けない問題ではない。
取引先に渡したデータの統制
調査で「情報漏えい対策が不十分と感じる面」として浮上したのは、「社外端末でのデータ持ち出し」（55.5％）と「取引先でのデータ保護統制」（53.7％）の二つだった。
SCS評価制度の★4は、持ち出しPCでの機密情報の暗号化やリモートワーク時の機密管理に、ルールの策定と点検を求める。だが、扱うたびに暗号化し、利用後に削除する運用が、現場で回り続けるだろうか。
ソリトンシステムズの提案は、機密データを端末に残さない「データレスタイプ」の情報漏えい対策だ。ブラウザ業務には「Soliton SecureBrowser」、Microsoft Office製品を使った業務には「Soliton SecureWorkspace」が対応する。いずれも端末内に隔離領域（セキュアコンテナ）を作り、機密データはその中でのみ取り扱う。一時保存データは自動で暗号化され、隔離領域の終了時にキャッシュごと消去される。
ユーザーが意識しなくても暗号化と削除が実行され、周知に頼らず仕組みで順守を説明できる。統制するのは端末ではなく隔離領域だから、取引先の管理外端末やBYODでも、相手の端末を管理下に置かずに、渡したデータを守れる。
着実に前へ進むために
江頭氏はこう語る。「攻撃の被害は深刻化し、一企業の問題にとどまらず、日本の社会や経済の全体に関わる事態になっています。国がSCS評価制度という共通の枠組みを示し、産業界全体で取り組む体制を整えたことを、私たちは前向きに捉えています」
新しい制度に期待と懸念の両方が交錯するのは当然だ。それでも、サイバー攻撃の被害が続く今の状況を変えようとする動きが、政府にも産業界にも生まれている。個々の企業に求められているのは、形だけの回答を急ぐことでも、本業に無理を強いてまで一気に対応することでもない。自社の現状を正直に見つめ、実のある対策を、続けられる歩幅で積み重ねることだ。
ソリトンシステムズは認証やデータ保護の実装支援に加え、コンサルタントによるSCS評価制度に即したアセスメントと対策ロードマップを提供する「SCS Navi」を用意している。本調査の詳細な分析やフリーコメントを含む調査レポート全文は、ホワイトペーパー「サプライチェーンセキュリティ実態調査2026」として公開されている。次の一手を考える材料として活用してほしい。
