【徹底解説】製造業のサプライチェーンを守る！「SCS評価制度」の目的と現場での活用法

この記事は、工場の生産性向上や現場改善、そして安定したサプライチェーン構築を目指す製造業の経営者、工場長、現場リーダー、そしてIT・セキュリティ担当者の皆様に向けた内容です。 近年、サプライチェーンを通じたサイバーセキュリティインシデントが頻発しており、一企業だけでなく取引先を含めたサプライチェーン全体での対策強化が待ったなしの状況となっています。そうした現場の切実な課題を背景に、経済産業省が構築を進めている「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、私が現場で培ってきた視点を交えながら、その目的や具体的な活用方針を徹底的に解説していきます。

1. なぜ今、「SCS評価制度」が必要なのか？

サプライチェーンにおけるサイバーセキュリティの現状と課題（委託元・委託先双方の負担）

現場を回っていると、サプライチェーン全体のセキュリティ対策を進める上で、発注側（委託元）と受注側（委託先）の双方から以下のような悩みがよく聞こえてきます。

• 委託元企業の課題：委託先が実際にどのようなセキュリティ対策を行っているかが外部からは可視化しづらく、取引先に提示している要求事項（チェックリスト等）が果たして適正なのかどうか、その担保も難しいという状況に直面しています。
• 委託先企業の課題：複雑に入り組んだサプライチェーンの中で、様々な委託元から「独自のフォーマット」で多種多様な対策を要求されるため、それが現場の過度な負担につながっています。特にリソースが限られている中小企業にとっては、自社のリスクを正確に把握し、個別にセキュリティ対策を検討・実施することは非常にハードルが高いのが実情です。

SCS評価制度の目的と目指す効果（対策状況の可視化とサプライチェーン全体の底上げ）

こうした現場の課題を根本から解決するため、サプライチェーンを構成する企業のセキュリティ対策状況を「共通の基準」で評価・可視化する仕組みとして、このSCS評価制度が構築されます。

本制度の最大の目的は、サプライチェーンにおける企業の位置づけや想定リスクに応じた「包括的な対策」を提示することにあります。これにより、企業の対策決定を容易にし、サプライチェーン全体でのセキュリティ水準の底上げ（サイバーレジリエンスの強化）を図ることを目指しています。 具体的には、企業間の取引において、委託元が委託先に対して適切な対策の段階（★）を提示し、その実施状況を確認するという活用方法を想定しています。これにより、現場には以下のような効果が期待されます。

• 受注企業（委託先）への効果：自社に必要な対策や、その費用対効果が明確になります。その結果、発注企業に対する自社のセキュリティ対策状況の説明が、説得力を持って容易に行えるようになります。
• 発注企業（委託元）への効果：取引先に求めるべき対策の内容や水準を決定しやすくなります。対策状況の把握が容易化・適切化されることで、結果として自社のサプライチェーン・リスクの低減に直結します。
• 社会全体への効果：効率的かつ効果的な可視化が進むことで、取引に係る社会的なコストが低減し、経済・社会全体でのサイバーレジリエンス強化に大きく寄与します。

※なお、本制度はあくまで企業の対策状況を可視化するためのものであり、事業者のセキュリティ対策レベルを競わせることを目的とした格付け制度ではないという点には、しっかりと留意しておく必要があります。

2. 制度の対象となるリスクと適用範囲

本制度を正しく活用するためには、「どのようなリスクを防ぐための制度なのか」、そして「自社のどのシステムを対象に対策を講じるべきなのか」を正確に把握することが不可欠です。

対象となるサプライチェーンリスク

本制度では、取引先へのサイバー攻撃を起点として自社（発注元）に波及する「サプライチェーンリスク」として、主に以下の3つを想定して対策を組んでいます。

1. 事業・サービスの提供途絶（事業継続への影響）：部品メーカー等のサプライチェーン企業がサイバー攻撃を受けたことによる、調達部品の供給遅延や停止。または、調達しているクラウドサービスへの攻撃によるサービスの停止など、ビジネスそのものが止まってしまうリスクです。
2. 機密情報の漏えい・改ざん（データ保護への影響）：業務委託先（BPO事業者）やITベンダー、クラウド事業者等への攻撃に起因して、共有・提供していた重要な機密情報が漏えいしたり、改ざんされたりするリスクです。
3. 踏み台としての不正侵入：取引先やITベンダー等のセキュリティが手薄な環境が攻撃者に乗っ取られ、そこを踏み台（中継地点）にして発注者側のシステム環境へ不正アクセスされてしまうリスクです。

制度の対象範囲（IT基盤や外部ネットワーク境界）

本制度がセキュリティ評価の適用範囲（対象）としているのは、サプライチェーンを構成する企業の「IT基盤」および「外部ネットワーク境界」です。

• IT基盤：特定の業務領域によらず、企業全体の業務に共通して使用されるサーバー群（Webサーバーやメールサーバーなどのインターネット公開サーバーを含みます）や、PC・スマートフォンなどのエンドポイント機器が含まれます。自社で構築・運用するオンプレミスのシステムだけでなく、クラウド環境で運用するものも対象となります。
• 外部ネットワーク境界：外部ネットワーク（インターネット等）と自社ネットワークの境界に設置されるファイアウォールやルーター、VPN装置などのネットワーク機器が対象です。

対象外となる領域（製造環境のOTシステムや提供する製品等）

一方で、現場の方々からよく質問を受けますが、以下のような領域は本制度の直接的な評価対象からは明確に除外されています。

• 製造環境等の制御（OT）システム：工場などの製造現場で稼働する制御システム（OT）は、一般的なIT基盤とは求められるセキュリティ対策の性質が全く異なるため、対象外となります。
• 発注元等に提供・販売する製品等：自社が開発して顧客に納品・販売する製品（ソフトウェアやIoT機器など）そのものや、自社の管理・運用下にない機器は対象外です。

このように、本制度はあくまで「企業という組織全体のガバナンス」や「自社IT基盤の防御・検知」といった、企業活動の基盤となる情報セキュリティ対策を評価の対象としています。工場システムのセキュリティやIoT製品自体のセキュリティについては、「工場向けガイドライン」や、今後整備される「IoT製品に対するセキュリティラベリング制度（JC-STAR）」など、別の制度やガイドラインに沿って対策を行うことが想定されています。

3. 制度が設けるセキュリティ対策の段階（★3・★4・★5）

SCS評価制度では、企業のサプライチェーンにおける位置づけや、想定されるリスクの大きさに応じて、段階的なセキュリティ対策の水準（★マーク）を設けています。

★3：基礎的な対策（一般的な攻撃への対処）

• 想定する脅威：広く認知された脆弱性などを悪用する、一般的なサイバー攻撃です。
• 対策の考え方：すべてのサプライチェーン企業が最低限実装すべきセキュリティ対策として、基礎的な組織的対策とシステム防御策を中心に実施します。
• 到達水準：組織内の役割や責任が明確に定義されており、自社IT基盤への初期侵入や侵害拡大を防ぐ対策が講じられていること。また、インシデント発生時に取引先を含む関係各所へ報告・共有するための最低限の手順が定義され、実施されているレベルを指します。

★4：包括的・標準的な対策（サプライチェーン強靭化）

• 想定する脅威：供給停止によってサプライチェーン全体に大きな影響を与える企業への攻撃や、機密情報の漏えいなどをピンポイントで狙った攻撃です。
• 対策の考え方：サプライチェーン企業が「標準的に目指すべき対策」として、組織ガバナンスから取引先管理、システムの防御・検知、さらにはインシデント対応まで、包括的な対策を実施します。
• 到達水準：取引先のシステムやデータを含む内外への被害拡大リスクを低減する対策に加え、事業継続に向けた取り組みや、自社の重要な取引先の対策状況を把握するなど、自社の立ち位置に適合した「サプライチェーン強靭化策」が講じられているレベルです。

★5：さらに高度な対策（今後の検討事項）

未知のゼロデイ攻撃を含む高度なサイバー攻撃を想定し、国際規格などにおけるリスクベースの考え方に基づき、自組織に必要な改善プロセスを整備した上で、システムに対して現時点でのベストプラクティスに基づく対策を実施する段階です。こちらは令和8年度（2026年度）以降に、具体的な要件や評価スキームが検討される予定です。

※なお、上位の段階は下位の段階で求められる事項を包括する設計となっているため、「★3を事前に取得していなければ★4を取得できない」といった制約は一切ありません。

取引先や再委託先への適用レベル判断の考え方

発注元企業が取引先に対してどの段階（★3か★4か）を求めるかは、主に以下のリスク観点から判断することが想定されています。

• 事業継続リスク：その取引先の事業が停止した場合、自社の事業継続上重要な業務に許容できない遅延等が生じるかどうか（代替品の調達可否や、影響が及ぶ範囲などを考慮します）。
• 情報管理リスク・不正アクセスリスク：その取引先が、自社の重要な機密情報にアクセスできる環境にあるか。あるいは自社のシステムやネットワークへのアクセスが可能かどうか。

また、再委託先（二次請けなど）への本制度の適用については、元の発注者が直接管理して要請するのではなく、直接の取引先（一次請け）が自らの判断で要請を行う形をとります。ただし、一次請け企業に★4が適用される場合、★4の要件には「重要な取引先におけるセキュリティ対策状況の把握」が含まれているため、結果的に重要な機密情報を共有している再委託先等にも、適切な対策の適用が期待される仕組みとなっています。

4. 評価スキームと登録・公開の仕組み

SCS評価制度では、企業の対策段階（★3か★4か）に応じて、評価の厳密さやプロセスが大きく異なります。

★3の評価スキーム：セキュリティ専門家の確認付き自己評価

★3は、すべてのサプライチェーン企業が最低限実装すべき基礎的な対策を対象とするため、比較的現場の負担が少ない「専門家確認付き自己評価」というスキームが採用されています。具体的な手続きの流れは以下の通りです。

1. 自己評価の実施：取得希望組織が、★3の要求事項・評価基準に基づいて自己評価を行います。
2. 専門家による確認・助言：情報処理安全確保支援士（登録セキスペ）などの一定の資格と研修を受けた「セキュリティ専門家」が、企業の自己評価内容を確認します。必要に応じて助言や修正を行い、内容に問題がなければ専門家として署名します。この専門家は社内の人材でも、外部に依頼しても構いません。
3. 事務局への提出：経営層による自己適合宣言を含め、専門家の署名が入った評価結果を事務局（IPA）へ提出し、問題がなければ★3として登録されます。

★4の評価スキーム：評価機関による第三者評価と技術検証

サプライチェーン強靭化を担う★4は、より客観性と信頼性を担保するため、指定委員会から指定を受けた評価機関による「第三者評価」と、システムに対する「技術検証」が必須となります。

1. 文書確認：提出された自己評価や関連規程などの書類に、矛盾や不足がないかを厳格に確認します。
2. 実地審査：評価機関が取得希望組織へヒアリングを行ったり、実際の操作画面などを確認したりします（リモートでの実施も可能です）。特に、脆弱性の管理体制やインシデント対応手順、事業継続に向けた復旧準備などの重要項目が重点的にチェックされます。
3. 技術検証：インターネットに公開されているVPN装置やルータなど、悪用されると内部侵入のリスクが高い機器を対象に、既知の脆弱性がないかを実際にスキャン（脆弱性検査）して検証します。

評価の有効期間と更新の手続き

セキュリティ対策は陳腐化を防ぐため、定期的な見直しが絶対条件となります。そのため、取得した★には有効期間が設けられています。

• ★3の有効期間（1年）：有効期間は1年間です。更新するためには、年次でセキュリティ専門家の確認・助言を経た自己評価を、再度事務局へ提出する必要があります。
• ★4の有効期間（3年）：有効期間は3年間です。ただし、取得後3年間何もしなくてよいわけではなく、有効期間内は1年ごとに自己評価を実施し、その結果を評価機関に提出して維持・確認を行う仕組みとなっています。3年後の期限を迎えた際には、改めて評価機関による第三者評価を受けて更新します。

※なお、★3・★4ともに、システムの構成や関連規程に大きな変更があった場合（大規模なリプレイスやクラウドへの移行など）は、有効期間内であっても再度評価や確認を受ける必要があります。

評価結果の台帳登録と公開の仕組み

★3または★4を取得した企業の情報は、事務局（IPA）が管理する「台帳」に登録され、Webページ等で検索・閲覧できる形で広く公開される予定です。 公開される台帳には、以下のような情報が記載される想定です。

• 法人名（個人事業主の場合は屋号）と所在地
• 登録日と有効期限
• 適用範囲：評価の対象となった組織部門（例：全社、特定の事業部）や、システム（例：全社IT基盤）
• 評価を行った機関名（★4の場合。技術検証事業者名も含みます）

この公開システムにより、発注元企業は「取引先がSCS評価制度のどの段階を、どの範囲（システム・部門）で取得しているか」を容易に確認できるようになり、取引先管理の負担が劇的に軽減されます。

5. 中小企業等に向けた制度の導入促進・支援策

サプライチェーン全体のセキュリティを底上げするためには、リソース（予算・人材・ノウハウ）が限られている中小企業の対策強化が必要不可欠です。そこで経済産業省とIPA（情報処理推進機構）は、中小企業がSCS評価制度の「★3」や「★4」を円滑に取得できるよう、様々な導入促進・支援策を展開しています。

「サイバーセキュリティお助け隊サービス（新類型）」による支援

中小企業が★3・★4を安価かつ簡便に取得するための新たな支援策として、「サイバーセキュリティお助け隊サービス（新類型）」の創設が予定されています。この新サービスは、主に以下のステップで提供される予定です。

• STEP1（課題の可視化）：本制度の要求項目ごとに、中小企業の現在の対策状況を診断・評価します。
• STEP2（支援の実施）：診断結果に基づき、「ITツールによる支援（★取得に推奨されるツールの導入）」だけでなく、セキュリティ規程の整備や従業員教育といった「ITツール以外の支援（自助努力では達成しづらい支援）」を組み合わせて提供します。 ※このサービスについて、2026年春頃から実証事業を開始し、品質や価格の要件などを検討していく予定です。

「中小企業の情報セキュリティ対策ガイドライン」改訂と活用

中小企業が自らの力で対策を進められるよう、IPAが提供している「中小企業の情報セキュリティ対策ガイドライン」が、SCS評価制度に対応する形で改訂・公開されました。 具体的には、ガイドライン実践編の「STEP3」において、本制度の要求事項を踏まえた対策の考え方が整理されています。また、付録として用意されている情報セキュリティ規程のサンプルやひな型についても、SCS評価制度の要件を満たせるように拡充されており、これらをフル活用することで効率的に社内ルールの整備を行うことができます。

「中小企業向けサイバーセキュリティ対策支援者リスト」による専門家とのマッチング

★3を取得する際に必要な「専門家による確認・助言」を、どこの誰に頼めばよいか分からないという企業のために、「中小企業向けサイバーセキュリティ対策支援者リスト」が整備されています。 このリストには、国家資格である「情報処理安全確保支援士（登録セキスペ）」のうち、中小企業向けの支援を得意とする専門家が地域別・得意業界別等に掲載されています。リストに掲載されている専門家に対して、★3取得時の適合可否の確認や、セキュリティ規程の整備、クラウドサービスの安全利用、インシデント対応といった具体的な指導（支援ツールを活用した指導）を直接依頼することができます。

取引先とのパートナーシップ構築と費用負担・価格交渉の考え方

発注元からセキュリティ対策を要請されたものの、「費用は自社（受注側）の全額負担となり、価格転嫁もできない」といった現場の悲鳴を防ぐための取り組みも進められています。 経済産業省と公正取引委員会は、独占禁止法や中小受託取引適正化法（取適法）の観点から「問題とならない」想定事例と解説文書を作成し、公表しました。この中では、以下のような考え方が明確に示されています。

• 発注元からのセキュリティ対策要請は、合理的範囲を超えた負担を課すものであってはならない。
• セキュリティ対策に要する経費は間接経費として計上されるものであり、対策に要したコストに関して発注元と受注側で適切に価格交渉を実施し、合意すること。
• 交渉にあたっては「下請かけこみ寺」などの支援機関を積極的に活用すること。

これらの支援策をフル活用することで、中小企業であっても過度な負担なくSCS評価制度に対応し、自社のセキュリティ水準とビジネス競争力を同時に高めることが可能になります。

6. 今後のスケジュールとまとめ

制度開始までのロードマップ（2026年度末頃の運用開始予定）

SCS評価制度は、現在、制度の運用に向けた最終的な準備段階にあります。具体的なスケジュールは以下の通り予定されています。

• ★3・★4の開始時期：2026年度末（令和8年度末）頃の制度開始（申請受付の開始）を目指して、制度運営基盤の整備が急ピッチで進められています。
• 評価ガイド等の公表：制度を利用する企業に向け、要求事項や評価基準を満たすための具体的な実装例などをまとめた「評価ガイド等」が、2026年秋頃を目処に公表される予定です。
• ★5の検討：より高度な対策を求める★5については、令和7年度の実証事業等を通じて意見を収集し、2026年度（令和8年度）以降に要求事項や評価スキームの具体化が進められる予定です。

ISMS適合性評価制度や技術情報管理認証（TICS）など、他の制度との関係と活用方法

本制度は、既存のセキュリティ関連制度と競合して現場を混乱させるものではなく、「SECURITY ACTION」や「自工会・部工会ガイドライン」などを含め、相互補完的な制度として両輪で発展していくことを目指しています。企業は、自社の状況や目的に合わせてこれらを柔軟に使い分ける、あるいは併用することが強く推奨されます。

• ISMS適合性評価制度との違いと関係：ISMSは、組織自らがリスクアセスメントを行って必要な管理策を決定し、そのマネジメントシステムが適切に運用されているかを認証する仕組みです。一方、本制度（SCS評価制度）は、代表的なサイバー脅威を前提に「インターネットに接続している自社IT基盤」などを対象とした具体的な対策項目が最初から決められているため、「何から手を付ければよいか迷うことが少ない」という特徴があります。ISMSを取得している企業が、サプライチェーン取引における要請にスピーディーに応えるために、追加で本制度の★を取得するといった活用も大いに想定されています。
• 技術情報管理認証（TICS）との違いと関係：TICSは、企業の強みとなる「技術情報」の管理体制を審査・認証し、情報漏えいを防ぐことに特化した制度です。対して本制度は、情報漏えいだけでなく、サイバー攻撃による「事業継続の停止」を含めたセキュリティ対策全般を対象としています。例えば、製品の企画や設計において顧客から重要な技術情報の提供を受ける取引を行う場合には、TICSや本制度の★4の取得を進めるなど、取引内容に応じて賢く使い分けることが有効です。

まとめ：サプライチェーン全体のサイバーレジリエンス強化に向けて

SCS評価制度は、発注側と受注側が同じ基準（共通の物差し）でセキュリティ対策の状況を共有することで、双方の負担（社会的コスト）を大幅に軽減しながら、サプライチェーン全体の防御力を高める非常に画期的な取り組みです。 今後、制度の本格稼働に向けて各種ガイドラインや支援策が順次整備されていきます。すべての企業がこの「共通の物差し」を活用し、自社と取引先とのパートナーシップをさらに深めながら、社会全体のサイバーレジリエンス（攻撃を跳ね返し、事業を継続する力）を高めていくことが期待されています。現場の改善活動と同じように、一歩ずつ確実に対策を進めていきましょう。