迫る「SCS評価制度」…未対応だとどうなる？何をすればいい？ガートナーが疑問を詳解

国内企業の約7割が取引先から「漏えい報告」

　国内企業の約7割が、過去1年間に取引先や業務委託先から情報漏えい、あるいはその可能性について報告を受けている。ガートナーが2026年2月に国内企業400社を対象に実施した調査では、そんな実態が浮かび上がった。


　背景には、企業のサプライチェーンそのものの変化がある。ガートナー シニア プリンシパル, アナリスト、木村陽二氏は、企業間の連携が業界の枠を超えて広がり、サプライチェーンは単純な「鎖」ではなく、「網の目」のようになっていると指摘する。

　サプライチェーンを一本の鎖で描く図は広く知られている。自社が事故を起こせば鎖が切れ、他社に迷惑がかかるという構図だ。だが実際の姿はそれほど単純ではなく、現在の企業間取引をこの図だけで捉えるのは難しい。

　企業同士はシステムで接続され、膨大なデータをやり取りしている。その中にはセキュリティ担当者が把握しきれていないものもある。

　インシデントの傾向も変わった。ランサムウェアがサプライチェーン全体に影響を及ぼす例や、取引先とのメールのやり取りを事前に調べた上で送られてくる巧妙なビジネスメール詐欺など、さまざまなインシデントがサプライチェーンと絡み合って発生するようになった。

　さらにガートナーは2030年までに、サイバーセキュリティインシデントの60％以上がサードパーティ／サプライチェーンに起因するものになると予測しているという。

　では、企業は増え続ける取引先のリスクをどう見分ければいいのか。実は、そのために広く使われてきた方法そのものが、新たな問題を生み始めている。

企業を苦しめる「チェックリスト疲れ」の正体

　その代表的な方法が、取引先にセキュリティ対策を尋ねる「チェックリスト」だ。こうした確認自体は新しいものではない。従来、自動車業界や金融業界ではチェックリストへの回答を求め、必要に応じて現地調査も実施してきた。ただしこれはごく一部の企業の話であり、多くの企業は必要性を感じながらも着手できずにいた。

　しかし、サプライチェーンリスクの急速な高まりを受けて、業界を問わず同様の取り組みが始まっている。その結果、さまざまなチェックリストが企業間で飛び交い、その対応に日々追われる「チェックリスト疲れ」とも言える状況が生まれている。

　さらに、チェックリストは自己回答のため回答の信憑性が分からないという問題もあり、それを補うために現地調査を行うケースも増えている。

　こうした確認は今後も拡大する。企業間の取引では、相手の財務状況や事業実態を調査するのが当たり前だった。取引先へのサイバー攻撃で自社のビジネスが止まれば、売掛金が回収できないどころではない実害が出る。

　取引先のセキュリティ対策状況の確認が標準になるのは自然な流れだ。加えて、リスクは双方向に存在する。相手へのビジネスインパクトを考え、双方でビジネスの安全性を高める視点が必要になる。

　こうした発注側と受注側双方の負担を減らす「共通言語」になり得るのが、経産省が制度設計を進める「SCS評価制度」である。 【次ページ】対応しないとどうなる？「SCS制度」のよくある疑問をガートナーが解説