8/19ウェビナー開催レポート
はじめに
8月19日、電通総研テクノロジーでは、この制度の開始を見据え、制度概要や★3・★4の違い、企業が今から準備すべきポイントを整理するウェビナーを開催しました。本記事では、当日取り上げたテーマと、対応に向けて押さえておきたい観点をご紹介します。
目次[非表示]
SCS評価制度とは
近年、サプライチェーンを通じたサイバー攻撃や、取引先を起点としたセキュリティインシデントへの関心が高まっています。企業単体での対策だけでなく、取引先・委託先を含めたサプライチェーン全体で、どの程度の対策が講じられているかを把握し、継続的に改善していくことが重要になっています。
こうした背景のもと、経済産業省および内閣官房国家サイバー統括室では、「サプライチェーン強化に向けたセキュリティ対策評価制度」（通称：SCS評価制度）の検討が進められています。本制度は、企業の優劣を競う格付けではなく、取引上求められるセキュリティ対策の水準を共通の“ものさし”で可視化し、各社が自社の立ち位置に応じて必要な対策を整理しやすくすることを目的としています。
電通総研テクノロジーでは、この制度の開始を見据え、制度概要や★3・★4の違い、企業が今から準備すべきポイントを整理するウェビナーを開催しました。本記事では、当日取り上げたテーマと、対応に向けて押さえておきたい観点をご紹介します。
なぜ今、理解が必要なのか
制度の詳細は今後さらに具体化される段階にあります。しかし、制度開始後に初めて対応を検討するのでは、社内体制の整備、規程・証跡の準備、技術対策の確認などに時間を要する可能性があります。特に取引先から一定の★水準を求められる可能性がある企業ほど、早い段階で制度の考え方を理解し、自社の現状を把握しておくことが重要です。
制度対応は単なるチェックリストの穴埋めではなく、IT資産・クラウド利用状況・アクセス管理・脆弱性対応・ログ管理・インシデント対応・復旧体制・委託先管理といった、日常のセキュリティ運用の実態を整理し、改善していく取り組みです。
ウェビナーで取り上げたテーマ
ウェビナーは、第1部「制度と要求事項の概要解説（インターネットプライバシー研究所）」、第2部「対応を支援するソリューションのご紹介（電通総研テクノロジー）」の二部構成で実施しました。
第1部：SCS評価制度と要求事項の概要解説
① 制度の全体像と評価方法
★3は「専門家確認付き自己評価（要求事項26件・有効期間1年）」、★4は「評価機関による第三者評価（要求事項43件・有効期間3年、技術検証あり）」と、水準ごとに評価方法が異なります。制度運用開始は2027年3月頃の見込みで、2026年10月頃に解説書・取得ガイドの公表が予定されています。
② 要求事項の全体像
要求事項は「7テーマ／43要求事項／153評価基準（★3区分81・★4区分72）」の3階層で構成されます。中でもテーマ4「攻撃等の防御」は評価基準が82件と突出して多く、この進み具合が取得時期を左右します。対応が重い理由は、(1)評価基準数が多い、(2)技術的な実装が必要、(3)継続運用・証跡が必要、の3点です。
③ つまずきやすい4つの要求事項
・ID・特権IDの管理と多要素認証：対象システムが多く、人と権限が変わり続けるため漏れが生じやすい。
・ログの取得・保管と監視・検知：認証ログの月次モニタリングなど「続けること」が難しい。
・脆弱性管理とパッチ適用：CVSS7.0以上などは公開から14日以内適用と、期限付き対応が繰り返し発生。
・バックアップと復旧準備：「取って終わり」ではなく、遠隔地保管とリストア検証の記録が必要。
④ 実務への落とし込み
スコープとサンプリングの区別、Fit-Gap分析の進め方、Gapを「規程策定・運用強化・ツール導入」に分けたアクションプラン策定まで、実務目線で解説しました。PマークやISMSは土台として活かせますが、SCS基準に沿った確認は別途必要になります。
第2部：要求事項への対応を支援するソリューション
⑤ 評価を「受けっぱなし」にしない二人三脚体制
制度・評価の専門家であるインターネットプライバシー研究所と、実装・運用の実行部隊である電通総研テクノロジーが二人三脚で伴走します。2026年4月からは先行アセスメントを共同実施中です。
⑥ つまずきの共通点は「あるつもり」
★3の合否を分けるのは、対策の“実施”ではなく“証跡”の整備です。「台帳はあるが事実と差異がある」「MFAが一部だけ」「バックアップはあるが復元テストの記録がない」といったケースが典型で、証跡を整えるだけで評価が上がることも少なくありません。
⑦ 実例：従業員約400名・販売業の★3対応
先行アセスメント（81基準）の出発点は「〇10% / △30% / ×60%」でした。一見厳しく見えますが、△の大半は「運用はあるが文書がない」状態で、明文化だけで評価が上がります。対応は3区分（A:ルール・体制の整備 約50項目／B:既存設定の見直し 約15項目／C:仕組みの導入 約15項目）に分かれ、新規投資が必要なのは“検知”に絞ったCの部分だけでした。
※ 本アセスメントは公表済みの要求事項（★3水準・81基準）に基づく先行実施であり、制度上の正式な評価ではありません。
⑧ 毎年の更新まで含めた「伴走のサイクル」
簡易診断 → ギャップ分析 → ロードマップ → 導入・証跡整備 → 運用（24時間/365日のSOC監視）→ 翌年更新は“差分”だけ、という輪を二人三脚で回します。初年度に証跡が“仕組み”になれば、2年目以降は確実に軽くなります。
こんな方におすすめです
・SCS評価制度の概要を早めに把握しておきたい方
・★3・★4の違いを理解したい方
・取引先からセキュリティ対策水準の提示を求められる可能性がある方
・自社がどの水準を目指すべきか検討したい方
・制度開始前に、何から準備すべきかを整理したい方
・ガバナンス面と技術実装面の両方から対応イメージを持ちたい方
電通総研テクノロジーが考える、制度対応のポイント
SCS評価制度への対応は、一度きりで完了するものではなく、継続的なセキュリティ対策の改善活動として捉えることが重要です。多くの企業は発注側・受注側の両方の立場を持つため、制度対応は自社のセキュリティ対策だけでなく取引先管理のあり方にも関わってきます。当社では制度の最新動向を踏まえ、現状把握・対応方針の整理・必要なソリューションの検討を、専門家と二人三脚で支援していきます。
本日の3つの数字
①“アセスメント結果 ×6割”でも普通
②投資は81項目中、約15項目だけ
③2年目は“差分”だけ
