経済産業省「SCS評価制度」の概要

近年、セキュリティ対策が手薄な中小企業などの「委託先」を踏み台にして、本来の標的である大企業へ不正侵入するサイバー攻撃が一般化しています。
サプライチェーン全体のセキュリティ水準を底上げするため、経済産業省が新たな評価制度の整備を進めています。
取引先との間で対策状況を確認し合う場面は、今後増えていくことが見込まれます。
まずは制度の全体像と、今から始められる対策を知ることから始めましょう。

経済産業省の評価制度が本格化

これまで、発注元企業は取引先のセキュリティ状況を把握しづらく、受注側の企業は取引先ごとに異なるチェックシートへの対応を強いられるという非効率さがありました。
こうした課題を解決するため、経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」を発表しました。
これは取引先を含む企業のセキュリティ対策を共通の基準で「星（★）」の数として見える化する、新しい取り組みです。
対象となるのは、業種・規模を問わず、情報のやり取りを行うほぼすべての企業です。
発注元企業＋受注企業の対策が揃うことで、業界全体の安全と信頼につながります。

日本は世界2位のサイバー攻撃標的国

日本は、10,000ワークロード（パソコンやサーバーの台数）あたり101件のランサムウェアを検出しており、これは世界で2番目に多い水準です。
前年比では18%増加しており、日本企業が主要な標的となっている状況が続いています。
また、メールを起点とした攻撃は組織あたりで前年比16%増加し、そのうち83%をフィッシングメールが占めています。
取引先や関係者を装った巧妙なメールによる侵入が、依然として最も警戒すべき攻撃経路です。
「日本は安全」という認識は、すでに過去のものとなっています。

中小企業が踏み台に

「うちは狙われるほどの規模ではない」——そう思われる方も多いかもしれません。しかし実態は異なります。
大企業のセキュリティ対策が強化されるにつれて、攻撃者は防御の手薄な取引先・委託先を狙う「迂回攻撃」を主流の手口とするようになりました。
サプライチェーンの大部分を構成しているのは中小企業です。
そのうちの一社が攻撃の踏み台にされることで、取引網全体に被害が連鎖的に波及し、大企業本体の事業停止に発展するケースも少なくありません。
「自社は大企業と直接取引がないから関係ない」とは言い切れず、サプライチェーンに連なるすべての企業にとって、対策の重要性が高まっています。

製造業・医療機関で被害が増加

2025年下半期のランサムウェア被害は、特定の業界に集中する傾向が強まりました。
中でも製造業は最大の標的となっており、被害全体の15%を占めています。
製造業にとって、工場の稼働停止は納期の遅延・取引先への損害賠償・莫大な損失に直結します。
日本国内では、基幹産業である製造業への攻撃が世界平均を上回るペースで推移しているほか、地方の中核病院やクリニックを狙った攻撃も急増しています。
医療機関は手術の中断や搬送拒否により命に直結するため、復旧を待つ余地がないケースが少なくありません。
そのため金銭目的のサイバー攻撃者からは、最も短期間で高額な金銭を得られることから、非常に「効率よく身代金を回収できる相手」と見なされています。
尚、生涯変わることのない医療データ（個人情報）は、闇市場にて高値で取引されているため、データ盗難目的としても都合の良いターゲットとなります。

5段階評価の概要

SCS評価制度は、対策状況に応じて★1〜★5の5段階で評価される仕組みです。
このうち★1・★2はIPA（情報処理推進機構）の「SECURITY ACTION」で定義された自己宣言の段階で、★3以降が今回新たに定義されます。

まず押さえておきたい「★1」の要件

まだ具体的な対策に着手していない、あるいは何から手を付けるべきか決まっていないという段階であれば、まず取り組みやすいのは★1です。
★1は自己宣言のみで取得できますが、これはより高い評価（★3以降）を目指す上での土台となるものです。
★1の要件となるのが、IPA（情報処理推進機構）が定める「情報セキュリティ6か条」です。

この6か条は、もともと「5か条」でした。しかし直近の改定で、バックアップに関する項目が新たに加わり、現在の6か条となっています。
バックアップは、いまや基本的な対策の一つとして明確に位置づけられています。

※本制度は任意の制度であり、取得しなければ商取引が規制されるといった性質のものではありません。
一方で制度上は、委託元が委託先に対して適切な段階（★）を提示し、対策の実施状況を確認することが想定されています。
自社がどの段階にあるかを把握しておくことは、取引先との対話をスムーズにする上で役立ちます。

具体的な対策手法

実現方法は大きく2通りあります。
ひとつは、項目ごとに個別のツールを選定して組み合わせる方法。もうひとつは、複数の対策を1つのサービスでまとめて運用する方法です。
規模や求められる機能によりツールは様々ですが、専任の担当者を置きにくい環境では、後者のほうが導入後の負担を抑えやすくなります。
弊社では、後者にあたるサービスとして、オールインワンパッケージの「ZENGUARD（ゼンガード）Powerd by Acronis Protect Cloud」を提供しております。
バックアップ・ウイルス対策・資産管理などを1つのサービス、1つの管理画面で運用できるため、6か条の複数項目をまとめてカバーできます。
また、★4までで求められる主要な技術的要件についても包括的にカバー可能です。
当サービスの詳細は以下のページをご確認ください。

※評価基準の達成にあたっては特定のセキュリティ対策製品の導入が必須とされているものではありません。
すでにお使いの仕組みで要件を満たせる場合もありますので、まずは現状の棚卸しから始めることをおすすめいたします。
尚、制度の詳細は経済産業省の公式発表をご確認ください。