【セミナーレポート】 サプライチェーン全体でのサイバーセキュリティ対策強化に向けた経済産業省の取り組み ～サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）と活用に向けた支援策について～

サイバーセキュリティラボでは、中堅・中小企業向けに、サイバーセキュリティに関する情報発信の場としてセミナーを不定期開催しています。

2026年6月18日（木）に「サプライチェーン強化に向けたセキュリティ対策評価制度（以下、SCS評価制度とする）」をテーマにセミナーを実施しました。

このセミナーでは、SCS評価制度の所管省庁である経済産業省の小山氏に登壇いただき、社会全体のサイバーセキュリティ動向を交えながら、「SCS評価制度の概要」や「お助け隊サービス（新類型）」などの関連支援策について解説いただきました。

本記事では、セミナーの内容を一部抜粋してお届けします。アーカイブ配信も行っておりますので、あわせてご確認ください。

^{※ 本記事の内容は、セミナー開催時点の情報です。
※ セミナーの内容を一部抜粋する形でまとめているため、アーカイブ配信の内容と異なる場合がございます。
※ 本記事はサイバーセキュリティに関する啓発や考察を目的としています。特定の企業・団体を批判する意図は一切ありません。}

近年、国内外の政府機関や大手企業を狙ったサイバー攻撃が相次ぎ、重要インフラの停止など日常生活にも影響が及んでいます。さらに、生成AIを悪用したマルウェアなどの新たなリスクも登場し、誰もが無関係ではいられない深刻な問題となっています。

独立行政法人情報処理推進機構（以下、IPAとする）が公表した2024年の「情報セキュリティ10大脅威 2026」では、ランサムウェアやサプライチェーンを狙った攻撃が上位を占めています。加えて、ランサムウェア被害の6割以上は中小企業に集中しており、対策が手薄になりがちな中小企業を「踏み台」にして、サプライチェーンでつながる大企業へ攻撃を拡大させる手口が顕著にあらわれています。

近年、デジタル化やDX（デジタルトランスフォーメーション）の進展は、現代のビジネスシーンにおける生産性向上に大きく貢献しています。商工会議所の「中小企業のデジタルシフト・DX実態調査」の集計結果によると、中小企業の約8割がすでにITを導入しており、そのうち約8割が実際に成果を上げているなど、紙や電話を中心としたアナログ業務からデジタルへの移行は着実に進んでいます。同時に、サイバー攻撃の入り口となる部分も拡大しており、攻撃者にとって魅力的な標的が増えているという側面があります。トレンドマイクロ株式会社の「DX推進における法人組織のセキュリティ動向調査」によると、DX推進の中でセキュリティインシデントが発生したと回答している企業は35%にも上っており、DXを進めれば進めるほどセキュリティの重要性は比例して高まります。そのため、デジタル化やDXとセキュリティ対策は常にセットで進めなければならないという認識が不可欠です。

数千万円規模の被害事例も報告されており、中小企業にとってサイバー攻撃はもはや他人事ではありません。「自社には重要な情報がない」という認識は大きなリスクであり、古いOSの利用や私物端末の使用、外出先でのWi-Fi利用といった日常的な行動が被害のきっかけとなり得ます。経済産業省の「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」では、年間約100万円のセキュリティ予算をかけていたにもかかわらず、初期対応や復旧費用だけで約4,000万円以上の費用が発生した事例が紹介されています。操業停止による機会損失を含めると実際の被害はさらに大きく、深刻な影響を及ぼしています。サイバー攻撃の被害は自社を踏み台にして取引先や顧客へ拡大する危険性があります。

そうした背景から大手企業を中心に取引先へ求めるセキュリティ水準が急速に厳格化しています。株式会社アシュアード調べによると大手企業の70%以上が取引先のセキュリティ体制に不安を抱えていることが分かります。また、取引先の管理体制を強化している、あるいは強化したいと考えている企業は83%に上ります。

サプライチェーン全体でのリスクが高まる中、大手企業の約7割が独自のチェックリストや認証制度を活用した評価を実施しています。しかし、企業ごとに仕様が異なるチェックリストの乱立により、「受注側（中小企業）の対応負担の増大」や「発注側における評価妥当性の判断の難しさ」といった課題が生じています。一方で、委託先となる中小企業のサイバーセキュリティ対策状況を見ると、約8割が「サイバーセキュリティ対策を実施している」と回答しているものの、その内容には偏りが見られます。OSやソフトウェアの更新、ウイルス対策ソフトのインストールといった基本的な対策は実施されている反面、セキュリティ教育やポリシーの策定といった組織的な対策は約2割と低い水準に留まっています。こうした対策が進まない背景には、セキュリティの効果が実感しにくいため、単なる「コスト（費用）」とみなされやすいという現状があります。

サイバーセキュリティ対策を行うことは、単なるリスクの軽減に留まらず「取引先からの信頼獲得」に直結します。IPAの「2024年度 中小企業における情報セキュリティ対策に関する実態調査」によると、過去3年間でセキュリティ投資を行った企業の約50%が「実際の取引につながった」と実感しています。サイバーセキュリティ対策は、単なるコストではなく、取引機会の拡大や企業価値の向上に寄与する重要な投資であるという認識を持つことがこれからのビジネスにおいて重要です。

こうした背景から、双方の負担を軽減し、サプライチェーン全体で効率的に運用できる「共通化されたセキュリティ評価の仕組み」へのニーズが急速に高まっています。これを受け、経済産業省では、以下の支援策の準備を進めています。

経済産業省が進めている新しい支援策は、サプライチェーン強化に向けたセキュリティ対策評価制度（以下、SCS評価制度とする）です。SCS評価制度は、企業が取り組むべきセキュリティ対策のレベルを段階的に定義し、その実施状況を★3から★5までの基準を用いて可視化します。統一された基準によって対策レベルを客観的に示せるようになるため、「外部から対策状況の判断が難しい」「複数の取引先からさまざまな対策を要求される」などの課題に対応しています。

SCS評価制度は、既存の支援策である「SECURITY ACTION（★1・★2）」の上位基準として位置づけられており、★3は全てのサプライチェーン関係企業が最低限実装すべきセキュリティ対策として想定されています。

上位レベルを取得するにあたって下位の資格や★の取得は必須とされておらず、企業は自社のセキュリティ成熟度や事業フェーズに合わせて自由にステップアップを図ることができます。
また、事業者同士を比較・格付けするものではなく、主にサプライチェーンにおける取引先との協議や、セキュリティレベルの共有・相談ツールとしての活用が見込まれています。

SCS評価制度では、対策の遅れが指摘される中小企業において、組織的な体制づくりを促すことが目的のため、具体的な要求事項として「セキュリティ担当者の明確化」「ID・パスワードの管理」「インシデント対応手順の整備」などが定められています。

★3を取得し基礎的な水準を満たすことで、昨今多発しているランサムウェア被害などの主な原因となっているネットワーク経由の侵入経路を効果的に遮断することができます。昨今の被害の8割以上がネットワークを介したものであるため、この★3の要求事項をクリアすることは、サプライチェーン全体の足元を確実に固め、高い防衛効果を発揮するうえで非常に有効な手段となります。

SCS評価制度の対象範囲は、クラウド環境での運用を含めた「IT基盤全般」です。一方で、一般的なIT基盤には該当しないOTシステム（制御技術システム）や、発注元などに提供する製品そのものについては対象外としており、対象外の領域に関しては、それぞれ個別に定められている既存の支援策やガイドラインなどに基づいた対策を行うことが想定されています。また、実務において判断が分かれやすい「テレワーク環境」や「出向者の業務環境」といった具体的な境界線（どこまでを対象に含めるべきか）については、詳細が決まり次第、公表される予定です。

SCS評価制度の構築自体は経済産業省をはじめとする国が主導ですが、根幹となる基本的な規則の維持・管理を行う「スキームオーナー」は、経産省が所管するIPAが担うことになっています。IPAは、今後の運用の実務を担うこととなり、評価取得の申請受付窓口や客観的な審査を行う評価機関の指定・監督といった役割を順次進めていく方針を示しています。また、今後、SCS評価制度の取得を目指す組織における自己評価や、評価機関による第三者評価を支援することを目的として、具体的な評価手法やガイダンス情報を提示するための「ガイダンス資料」が2026年10月頃を目途に公表される予定です。

SCS評価制度において★3を取得するためには、企業自らの自己評価に対し、外部のセキュリティ専門家による厳格な確認と承認（専門家確認付き自己評価）を受けるプロセスが必須です。この確認業務を担う「セキュリティ専門家」となるには、以下の2つの要件を同時に満たすことが求められます。

取引先へ★3・★4のどちらを適用するかは、IT基盤への依存度を前提とした上で、以下のリスク観点から判断します。

これらいずれかの影響が大きい場合は、★4を適用し、それ以外は★3を適用することが例として示されています。なお、実際の運用ではインシデント発生状況や再委託の有無に応じて、水準を柔軟に調整することが想定されています。

経済産業省は、中小企業におけるSCS評価（★3・★4水準）の取得推進に向け、既存の支援施策とSCS評価制度を相互に連携・転換できるよう、支援体系の再構築を行っています。ここからは、セミナー内で取り上げた支援策の一部を解説していきます。

「お助け隊サービス（新類型）」とは、サービス事業者が評価制度における各項目の達成状況を診断したうえで、未対応の項目に対してITツールの導入、セキュリティポリシーの策定、インシデント手順書の整備といったセキュリティ対策を伴走支援する仕組みです。現在、経済産業省では、中小企業ができるだけ低コストで★を取得できるよう、価格要件などを設定した体制の整備を目指しています。

「お助け隊サービス（新類型）」を活用することで、中小企業には以下の3つのメリットがあります。

IPAでは、最新の脅威動向や中小企業の実態、SCS評価制度の開始などを踏まえ、「中小企業の情報セキュリティ対策ガイドライン」を以下の通り改訂しました。

中小企業がこのガイドラインを活用することで、SCS評価制度が求めるセキュリティ対策の考え方や基準を理解し、段階的にセキュリティ体制を強化していくことができます。

★3取得の評価基準項目全81項目を解説した全3回のセミナーもぜひご覧ください。