クラウドサービス、業務委託、ソフトウェア保守など、事業は多くの取引先に支えられています。 一方で、セキュリティ確認が契約前の質問票だけになり、重要な委託先と代替可能なサービスを同じ深さで評価していたり、 回答を受け取った後の改善状況を追えていなかったりする組織も少なくありません。

経済産業省と内閣官房国家サイバー統括室は2026年3月、 「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の制度構築方針を公表しました。 公表時点では、★3・★4の申請受付を2026年度末頃に開始することを目指し、★5は2026年度以降に具体化するとされています。 詳細な日程や提出様式は今後示される予定であり、変更の可能性もあります。

だからこそ、今やるべきことは「星を取るための書類集め」ではありません。 自社がどの取引先に依存し、どのリスクを優先し、どの証拠で対策の実効性を確かめるかを、日常の調達・リスク管理・IT運用へ組み込むことです。

課題は質問票の不足ではなく、判断基準と継続管理の分断

SCS評価制度は、発注側が取引先の対策状況を外部から判断しにくいことと、 受注側が複数の取引先から異なる要求を受ける負担の双方を課題として挙げています。 制度構築方針では、ガバナンス、取引先管理、リスクの特定、防御、検知、インシデント対応、復旧までを対象とする考え方が示されています。

また、NISTのCSF 2.0とサプライチェーンリスク管理向けクイックスタートガイドは、 取引先を重要度で把握し、役割と要求事項を共有し、契約や継続的な改善へつなげることを重視しています。 共通するのは、調達時の一回限りの確認ではなく、経営リスクとして継続的に運営する視点です。

取引先管理の目的は、回答欄をすべて埋めることではなく、事業停止や情報漏えいにつながる依存関係を把握し、許容できないリスクを減らすことです。

実践手順1：対象範囲と責任者を決める

最初に、どの取引先・サービスを管理対象とするかを定義します。 情報システム部門が契約するSaaSだけでなく、事業部門が導入したクラウドサービス、開発・保守委託、 データ処理、コールセンター、機器やファームウェアの供給なども確認します。

責任はセキュリティ部門だけに集めません。 事業上の必要性を判断するサービスオーナー、契約を担う調達・法務、技術リスクを評価するIT・セキュリティ、 改善を実行する取引先の役割を整理します。担当者名ではなく、退職や異動後も残る役割として定義することが重要です。

実践手順2：取引先を「重要度」で層別化する

すべての取引先へ同じ質問と証跡を求めると、双方の負担が増え、重要なリスクへ時間を使えなくなります。 まず、次の観点から事業影響を評価し、例えば「重要」「標準」「限定」のように管理レベルを分けます。

  • 事業継続：停止した場合に、顧客提供や重要業務へどの程度影響するか
  • データ：機密情報、個人情報、認証情報などを保存・処理するか
  • 接続：社内環境や本番システムへ継続的なアクセス権を持つか
  • 代替可能性：切替先の有無、移行に必要な時間、データの持ち出し方法は明確か
  • 連鎖性：再委託先やソフトウェア部品を通じて、依存関係が広がっているか

評価結果はスコアだけで終わらせず、重要と判断した理由、想定する事故、許容できる停止時間、 代替策を記録します。これが、要求事項の深さと改善の優先順位を決める根拠になります。

実践手順3：共通要求と重要度別要求を分ける

全取引先に求める基礎項目と、重要な取引先に追加する項目を分けます。 基礎項目には、責任者、資産・アカウント管理、脆弱性対応、バックアップ、インシデント連絡などを置きます。 重要な取引先には、復旧目標、監視・検知、演習、再委託先管理、変更通知、終了時のデータ返却・消去などを追加します。

SCS評価制度の要求事項やIPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」は、 自社の基準を見直す参照点になります。ただし、星の取得を一律の契約条件にするかは、 取引の重要性、代替可能性、費用、実施時期を含めて判断する必要があります。 SCS評価制度自体は任意であり、取得要否は取引当事者間の契約で決めるものと説明されています。

実践手順4：回答ではなく「運用の証跡」を確かめる

規程があるという回答だけでは、対策が機能しているか判断できません。 重要度に応じて、実際の設定や記録を確認します。例えば、多要素認証の適用状況、脆弱性対応の期限と実績、 バックアップからの復元テスト、権限棚卸し、インシデント連絡訓練、改善会議の記録などです。

証跡は必要最小限にします。詳細なネットワーク構成や他社の機密情報まで収集すると、 発注側が新たな情報管理リスクを抱えます。原本の提出だけでなく、画面共有による確認、第三者評価の報告、 期間を限定した抜粋など、目的に合う確認方法を選びます。

実践手順5：改善、契約、変更管理を一つの台帳で追う

評価で見つかった差異は、合否だけで処理せず、リスク、暫定対策、改善責任者、期限、再確認日を記録します。 すぐに改善できない場合は、アクセス範囲の縮小、監視の追加、代替手順の準備などで残存リスクを管理し、 誰が受容したかを明確にします。

契約更新時だけでなく、重大なサービス変更、再委託先の追加、事故、買収、提供終了などを再評価のきっかけにします。 契約終了時には、アカウント停止、データ返却・消去、接続解除、証跡保管まで確認します。 取引先台帳を調達台帳、構成管理、インシデント管理とつなぐことで、事故時の連絡と影響分析も速くなります。

最初の90日で進める現実的な範囲

  1. 1〜30日：主要部門から取引先・サービスを集め、事業停止とデータ影響が大きい候補を抽出する。
  2. 31〜60日：上位の取引先について役割、依存関係、既存契約、回答済み質問票、証跡の不足を確認する。
  3. 61〜90日：重要度別の要求事項、改善台帳、再評価条件を定め、少数の取引先で運用を試す。

これは一例です。取引先数、事業の重要性、既存の認証や評価結果によって適切な範囲は異なります。 最初から全社展開せず、重要なサービスで評価から改善までを一周させ、負担と判断品質を確かめてから広げます。

注意点：制度対応とリスク低減を混同しない

  • 制度の開始時期や提出様式が確定したと決めつけず、METI・IPAの最新情報を継続確認する。
  • 自己評価や質問票だけで、セキュリティの十分性や事故が起きないことを保証しない。
  • すべての取引先へ同じ水準を求めず、事業影響と実現可能性に応じて優先順位を付ける。
  • 契約条項だけでリスクを移転したつもりにならず、自社側のアクセス制御、監視、代替策も整える。
  • 評価情報の機密性と保管期限を定め、必要以上の証跡を集めない。

本記事は公表資料をもとに一般的な実務の進め方を整理したものであり、 個別の法令適合性、契約条件、制度上の評価取得を判断する法律・認証上の助言ではありません。

まとめ

SCS評価制度への準備で本当に価値があるのは、制度開始を待って書類をそろえることではなく、 取引先への依存を把握し、重要度に応じた要求と証跡を定め、改善を継続管理できる状態をつくることです。 対象と責任を決め、重要度で層別化し、要求事項を分け、運用の証跡を確かめ、改善と変更を追う。 この循環は、将来の評価対応だけでなく、日々の調達判断とサイバーレジリエンスの向上にもつながります。

参考にした公式資料

FW

WRITTEN BYFourthWall Consulting Teamテクノロジーと経営の両面から、企業変革を支援しています。

← 技術ブログ一覧へ戻る