【じーじは見た！】前編：SCS評価制度（案）を見てみた！

定年のおっちゃんねる

2026年1月8日 05:30

Z世代応援団、未来世代応援のじーじです！

さて、新年第2弾の「じーじは見た！」シリーズです。
前回はコンビニ、そして今回はサイバーセキュリティーがテーマです。

SCS（supply chain security）評価制度を政府が構築しようとしています。
通常国会で閣議決定されるであろう正式名称は、サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）です。

この長ったらしい名称で制度設計が進んでいます。
どんなことを考えているのか、一緒に見ていきましょう。

1️⃣ 背景

2025年は、サイバー攻撃、特にサプライチェーン攻撃の急増、ランサムウェア被害の深刻化、フィッシングや認証情報使い回しによる不正アクセスを特徴として、大手保険、物流、食品、証券業界などで大規模な情報漏洩や事業停止が発生しました。

特にアサヒGHD（ランサムウェア被害）、アスクル（ランサムウェア被害）、証券10社（不正取引5240億円）など被害規模の大きい事例が目立ちました。

IT音痴だからという経営層の言い訳は許されなくなってきましたよ。
経営層のなお一層の関与と多要素認証強化が急務となっています。

発注企業にとっては、取引先におけるセキュリティ対策が可視化しづらく、要求事項（チェックリスト等）の適正性の担保も難しいことから、企業個々バラバラに動くと、受注企業は複雑なサプライチェーン下で様々な取引先から様々な要求事項を求められ、過度な負担を中小企業が強いられることになります。

そのため「この企業は星３つの対策企業です。★３」といった認証制度によって適正性を担保する制度設計を進めているようです。

●発注者・受注者双方にとって、適切なセキュリティ対策の決定や対策状況の説明が容易・適切となることが期待される。
● また、取引先のセキュリティ対策が適切に実装されることで、発注企業のサプライチェーン・リスクの低減や、経済・社会全体でのサイバーレジリエンスの強化が期待される。

会議資料より引用①

2️⃣ 方針案の主管は経済産業省と国家サイバー統括室

2015年1月に内閣官房の下に設置された国家サイバー統括室（NISC：National center of Incident readiness and Strategy for Cybersecurity）は、2022年に「サイバーセキュリティ戦略本部」の下で、より強力な司令塔機能を果たすように機能強化されました。アサヒHDやアスクルの被害事例などからも、最近では経済安全保障の観点からも重要性が増しています。

プログラム一本すら組んだことのない経営陣であっても基本的なところを学んでおかないと、IT技術者丸投げでは済みませんよ。

これからの時代は事業停止リスクに適切な対応（Sier丸投げでは200万円でできる対策に2億円請求されても経営陣には判断できない）を取れない企業の生き残りは難しくなる（サプライチェーンから外される）でしょう。

この後は、評価制度の概要と導入促進策を順にみていきましょう。

3️⃣ 評価制度の概要（１）

１）制度の運用体制案

経産省のIPA（*1 ）とデジタル庁の関係が縦割りなのが気になっていますが、今回は、IPA（経産省）が主役の体制を作るようですね。じーじには、デジタル庁の名前が出てこないことが、気になって仕方ありませんけどね。
*1 IPA：独立行政法人情報処理推進機構
*2 セキュリティ専門家向けの研修に係るスキームは今後検討予定

２）制度の対象とする組織

サプライチェーン企業が対策を実施するに当たって、発注者による協力が必要な場合があることから、制度が想定する対象事業者(制度利用者)の範囲は、赤枠囲いとする。なおサプライチェーン企業は、取引によっては発注者にもなりえる。
評価取得の申請主体は、自社IT基盤を中心とした自社のセキュリティ対策の向上に責任を有する単位(基本的には法人単位、企業グループ単位又は事業部単位)とする。

会議資料より引用②