2026.08.31

SCS評価制度とは？製造業の情シスが知っておきたい制度の概要と企業への影響

近年、企業を狙ったサイバー攻撃は年々巧妙化・高度化しており、その被害は大企業だけでなく、中堅・中小企業にも広がっています。特に製造業では、多くの取引先や委託先と連携して事業を進めているため、自社だけでなくサプライチェーン全体のセキュリティ対策が重要視されるようになっています。その背景にあるのが、サプライチェーン攻撃の増加です。これは、セキュリティ対策が比較的手薄な取引先や委託先を侵入口とし、最終的な標的である企業へ侵入する攻撃手法です。近年ではランサムウェアによる被害も相次いでおり、企業規模を問わず対策の必要性が高まっています。

このような状況を受け、これまで高度なセキュリティ対策が求められる場面は主に大企業が中心でしたが、現在ではサプライチェーンを構成する中堅・中小企業にも、一定水準のセキュリティ対策が求められる時代になっています。その取り組みの一つとして、経済産業省が進めているのが「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」です。SCS評価制度は、企業のセキュリティ対策状況を共通の基準で評価し、サプライチェーン全体のセキュリティレベル向上をめざす制度です。本制度は製造業に限定されたものではなく、業種や企業規模を問わず、サプライチェーンを構成する幅広い企業が対象となります。そのため、取引先との関係性やセキュリティ対策の重要性が高まる中で、SCS評価制度への注目は今後さらに高まっていくことが予想されます。

本コラムでは、多くの取引先や委託先との連携が求められる製造業を例に、SCS評価制度の概要と企業への影響についてご紹介します。

SCS評価制度が解決する企業の課題とは

サプライチェーン全体でセキュリティ対策を進める必要性が高まる一方、企業間でセキュリティ対策状況を確認する際には、さまざまな課題があります。これまでは、発注企業が取引先に対して独自のチェックシートなどを用いてセキュリティ対策状況を確認することが一般的でした。そのため、取引先企業では取引先ごとに異なる調査への対応が必要となり、確認する側・回答する側の双方に負担がかかっていました。

また、企業ごとに求めるセキュリティ対策の内容や水準が異なるため、「自社はどこまで対策すればよいのか」を判断しにくいことも課題の一つです。

SCS評価制度では、企業のセキュリティ対策状況を共通の基準で評価することで、こうした課題の解決をめざしています。

SCS評価制度によって期待される変化

SCS評価制度とは？対象企業と★3・★4・★5の考え方

SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化する制度です。発注企業が取引先に求めるセキュリティ対策の水準を「★」で示し、取引先企業がその水準に応じた評価を受けることで、対策状況を共通の基準で確認できる仕組みが想定されています。

制度では、求められるセキュリティ対策の水準として「★3」「★4」「★5」が設定されています。

・★3：最低限実装すべき対策
・★4：標準的にめざす対策
・★5：高度な対策

★3では基礎的なシステム防御や体制整備、★4ではガバナンスやリスク管理、取引先管理、防御・検知、インシデント対応など、より包括的な対策が求められます。★5は、リスクに応じた改善プロセスや、より高度な対策を実施するレベルとして位置づけられています。

また、SCS評価制度は製造業や中小企業に限定された制度ではありません。業種や企業規模を問わず、サプライチェーンを構成する幅広い企業が対象となります。そのため、多くの取引先や委託先とつながる製造業にとっても、自社のセキュリティ対策状況を確認し、必要な対策を整理しておくことが重要です。

現在、SCS評価制度の詳細な評価基準は順次整備が進められていますが、各評価レベルで求められる対策には、アクセス制御やアカウント管理、ログ管理、脆弱性管理、インシデント対応体制の整備などが含まれるとされています。特に製造業では、IT環境だけでなく、工場ネットワークやOT環境との接続、外部ベンダーによるリモート保守など、一般的なオフィス環境とは異なるセキュリティリスクも存在します。そのため、制度への対応を検討する際は、単にチェック項目を満たすことを目的とするのではなく、自社のシステム構成や事業特性を踏まえて必要な対策を整理することが重要です。

SCS評価制度の概要