迫る「SCS評価制度」…未対応だとどうなる？何をすればいい？ガートナーが疑問を詳解(2/2)

内容は？対応しないとどうなる？「SCS制度」のよくある疑問

　では、どう取り組めばよいのか。木村氏によれば、取り組みは契約によるリスクヘッジ、アセスメントや認証取得による対策状況の確認、有事のアクションに大別できると言う。中でも今、大きな変化が起きているのがアセスメント・認証取得の分野だ。

　この分野で大きな変化をもたらそうとしているのが、経済産業省が策定中のSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）だ。

　受注企業が発注企業からの要請または自主的に★3～★4の段階別評価を受け、認定（★取得）を受ける制度で、2026年度終盤の運用開始が想定されている（経産省は★5については今後検討としている）。制度への関心は高く、ガートナーには多くの相談が寄せられていると言う。木村氏は代表的な疑問に答えた。

Q.制度の全貌が見えないが、経産省は本気なのか
　制度に法的な拘束力はなく、あくまで任意である以上、経産省の本気度を気にしても仕方がないというのが木村氏の答えだ。対応方針を決める材料は2つある。1つは自社の方針だ。

　サプライチェーンの一員として★4取得を必須と位置づける企業もあれば、まずは★3を目指す企業、当面は現行のやり方を続ける企業もある。もう1つは主要な発注企業から要請がありそうかどうか。要請はセキュリティ部門ではなくビジネス部門に届くため、日頃からの情報共有が重要になる。

Q.認証を取得しないと取引を打ち切られるのか
　即取引停止とはならないが徐々に影響が出る。制度対応しないと取引停止になるとあおり、自社製品の購入に誘導するベンダーも見られるが、根拠は乏しい。当面は、制度対応していることが受注企業の自助努力として加点評価されると考えるのが妥当だ。ただし制度の浸透とともに、取引や入札の要件となるケースが出てくる可能性はある。

Q.制度は浸透するのか
　緩やかに浸透していく可能性が高い。ガートナーが2026年2月に行った調査では、制度開始1年前の段階で約25％の企業が「取引先に制度対応を求めるつもり」と回答した。約46％は制度の詳細が判明してから判断すると言う。評価機関のリソースの限界や、中小企業も視野に入れた裾野の広さを考えれば、開始と同時に一斉に認定取得が進む展開にはなりにくい。

　それでも取り組みは避けられないと木村氏は強調する。「SCS評価制度に対応するか否かにかかわらず、インシデントの発生状況と、サプライチェーンの一員としての企業の責任を考えれば、サプライチェーン・サイバーリスク・マネジメントに取り組まないという選択肢はもはやありません」（木村氏）。

　制度には留意点がある。審査費用や運用負担がかかり、★4は3年ごとの更新審査が必要だ。制度がアップデートされず形骸化するリスクや、制度対応しておけばよいという過信も懸念される。国内の制度のため海外取引先には通用せず、ISMSなど別の方法で取り組みを示す必要もある。

　一方で利点も多い。統一的な評価基準により、発注・受注双方が「チェックリスト疲れ」から解放される。顧客や投資家などステークホルダーへの開示にも使える。自社やグループ会社のセキュリティ成熟度を測る物差しになる。

　★3はセキュリティ専門家、★4以上は評価機関による評価が入るため、自己評価から脱却できる。国の制度への対応という理由は、セキュリティ予算確保の説明材料になる。インシデントが起きても、国が求める対応は実施済みという説明責任を果たせる。「制度対応を面倒な義務と捉えるのではなく、これまでの悩みを解決する武器として活用できます」と木村氏は話す。

数千、数万社をどう選ぶ？ 「トリアージ」の始め方