サプライチェーン強化に向けたセキュリティ対策評価（SCS評価制度）
1. 目的：サプライチェーン全体のセキュリティレベルを底上げし、以下を実現する。
(1) 委託先・取引先を含めたリスクの可視化(2) インシデントの未然防止
(3) セキュリティ要件の標準化・共通化
(4) 継続的改善によるレジリエンス強化
| 本制度では、サプライチェーンにおけるリスクを対象にした上で、各企業の立ち位置に応じて必要なセキュリティ対策を提示するため、複数のセキュリティ対策の段階を設けています。こうした段階を設けることにより、特に、限られたリソースの中で自社のリスクを踏まえてセキュリティ対策を行うことが困難な中小企業を中心に、サプライチェーンに属するすべての企業が、容易かつ適切に必要なセキュリティ対策を決定できるようになることが期待されます。本制度の活用促進を通じて、取引先へのサイバー攻撃を起因とした不正侵入等のリスクや製品・サービスの提供が途絶えるリスクの軽減を図り、サプライチェーン全体のセキュリティ対策水準を向上させることが、本制度の目的です。 本制度は、企業のセキュリティ対策への対応状況を可視化するものであり、事業者のセキュリティ対策レベルを競わせることを目的としたもの（格付け制度等）ではありません。（経産省） |
2. 基本コンセプト
(1) リスクベースアプローチ：重要度・影響度に応じて評価レベルを変える(2) 段階的成熟度モデル：一律合否ではなく成熟度で評価（例：Level1〜Level5）
(3) 簡素かつ実効性重視：中小企業でも対応可能な現実的基準
(4) 過剰要求の排除
3. 評価対象領域（コントロールカテゴリ）
(1) 組織・ガバナンス：セキュリティ方針の有無・責任体制（CISO等）・教育/訓練(2) 技術的対策：アクセス制御・マルウェア対策・脆弱性管理・ログ監視
(3) 運用管理：インシデント対応手順・変更管理・バックアップ
(4) サプライチェーン管理：再委託先管理・契約上のセキュリティ要件・データ取扱ルール
(5) 物理的セキュリティ：入退室管理・機器管理
4. 評価方法
(1) 自己評価（セルフアセスメント）：チェックリスト形式/定期提出（年1回など）(2) 第三者評価（必要に応じて）：重要委託先のみ監査・レビュー
(3) 証跡確認：ポリシー文書・ログ・記録・設定画面
| レベル | 内容 |
|---|---|
| Level1 | 最低限の対策あり |
| Level2 | 基本対策実施 |
| Level3★ | 標準的管理（ISMS相当） |
| Level4★ | 高度管理（継続改善あり） |
| Level5★ | 最適化・自動化 |
6. 評価結果の活用
(1) リスク対応：低評価先 → 改善要求・取引制限(2) 契約管理：セキュリティ条項への反映
(3) 可視化：スコアリング・ダッシュボード化
7. 制度運用のポイント
(1) 強制ではなく協働：「監査」ではなく「支援」の姿勢(2) 教育・ガイドライン提供：チェックリストだけでなく改善方法も提示
(3) 継続的改善（PDCA）：年次見直し及びインシデント反映
8. 他規格との整合性：以下と整合させることで信頼性向上
(1) ISO/IEC 27001（ISMS）(2) ISO/IEC 27017
(3) NIST Cybersecurity Framework（CSF）
(4) 経済産業省 のガイドライン
9. 制度構築ステップ
(1) 現状分析（自社・委託先）(2) 評価基準・チェックリスト策定
(3) パイロット運用
(4) フィードバック反映
(5) 本格展開
(6) 継続改善
■ まとめ
SCS評価制度の本質は「サプライチェーン全体を“見える化”し、共通基準で底上げする仕組み」です。単なる評価制度ではなく、取引先と一体でセキュリティレベルを高める“共創型の仕組み”として設計することが成功の鍵になります。MSQAでは、現状調査分析の結果に基づく支援から本格展開に至る支援プロセスを提供しています。
詳しくはお気軽にお問い合わせください。▶︎お問い合わせフォーム