SCS評価制度は非製造業にも必要か？

「サプライチェーン」は製造業だけの言葉か？

「弊社は製造業ではないですけど、SCS制度は必要ですか？」

ある非製造業の情シスの方から、こう聞かれました。

SCSは「サプライ・チェーン・セキュリティ」の略です。

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）とは、企業のセキュリティ対策を共通の基準で評価・可視化する制度のこと。サプライチェーン全体のセキュリティ水準を高めることが目的です。

・経済産業省と内閣官房国家サイバー統括室の監督のもと、IPAが運営する
・★3は最低限実装すべき対策、★4は標準的に目指すべき対策を求める
・★3は専門家確認付き自己評価、★4は技術検証を含む第三者評価で確認する
・有効期間は★3が1年、★4が3年
・2027年3月から★3・★4の申請受付を開始する予定
・法律上の義務ではなく、取得は任意

サプライチェーンと聞くと、多くの人はモノの流れを連想します。部品を調達する。工場で組み立てる。製品を出荷する。そのため、製造業の制度というイメージが強くなります。

非製造業が「自分たちには関係ない」と受け止めたのも、無理はありません。

では、非製造業はSCS制度の対象外と考えてよいのでしょうか？

非製造業にもSCS制度が当てはまる

結論から先に言えば、業種を問わずSCS制度は活用すべきだと考えます。

製造業でなくても、多くの企業が社外とつながっているからです。顧客の機密情報を預かる。取引先とシステムを連携する。外部のサービスに業務を任せる。

こうした企業間のつながりも、広い意味でのサプライチェーンです。

そして、サイバー攻撃の被害は自社にとどまらず、取引先にまで広がる可能性があります。SCS制度は、このリスクに備えるための制度でもあります。

注目すべきは、評価の対象です。SCSは、自社のIT基盤を対象とし、技術的な対策だけでなく、組織的な管理体制も評価します。

サーバー、パソコン、スマートフォン、ネットワーク機器、クラウドサービス。どの業種にもあるものばかりです。

一方で、工場の制御システム（OT）は、直接の評価対象になっていません。制度の目的も、ビジネスやITサービスのサプライチェーン全体を見据えています。

顧客データを預かり、顧客のシステムに接続する。こうした業務は、非製造業にも数多くあります。

つまり、SCS制度は、製造業だけでなく、非製造業にも十分に当てはまる制度なのです。

実際に、弊社も2027年にSCS★3の取得を目指しています。

弊社は小規模なコンサルティング会社ですが、複数の顧客企業から重要な機密情報を預かっています。だからこそ、セキュリティ対策を徹底し、お客様に安心して情報を預けていただける環境を整えたいと考えています。

取得を判断する軸は「業種」ではなく「影響」

では、実際にSCSの取得を積極的に検討すべきなのは、どのような企業でしょうか？

判断の軸は「BtoB」か「BtoC」かという区分ではありません。取り扱う「情報」の重要性。そして、サイバー攻撃が事業や顧客、取引先に及ぼす「影響」の大きさです。

さらに、取引先から取得を求められる可能性も考慮する必要があります。

ここでは、代表的な4つのケースを挙げます。

① サプライチェーンの重要な役割を担う企業

自動車、電機、機械、部品製造、物流などです。★3の取得を積極的に検討しましょう。取引先への影響や業務の重要性によっては、★4も視野に入ります。
なお、★4は、供給停止によってサプライチェーンに大きな影響を与える企業への攻撃なども想定しています。この類型は、その代表例です。
 

② 顧客の機密情報・システムを預かる企業

SIer、BPO、コンサルティング会社などです。こちらも★3の取得を積極的に検討します。扱う情報や業務の重要性によっては、★4も検討したいところです。
 

③ 大量の個人情報を扱い、サービス停止の影響が大きい企業

EC、小売、金融、各種オンラインサービスなどです。★3の取得を積極的に検討します。情報漏えいや事業停止の影響が大きいほど、★4の必要性も高まります。
 

④ 大企業・官公庁との取引が多い企業

建設、広告、ITサービスなどです。将来の取引条件になる可能性も踏まえ、★3の取得を前向きに検討します。
 

一方で、情報漏えいや事業停止の影響が比較的小さい企業の場合は、いきなり取得を目指さなくて良いと思います。

まずは★3の要求事項を使い、セキュリティ対策を自己点検しましょう。★3は、毎年の更新が必要となります。正式な取得は、費用対効果を見極めて判断すればよいでしょう。

発注側にとっての「ものさし」

見落としがちなのが、発注側としての活用です。

SCSは、自社が取得するだけの制度ではありません。委託先のセキュリティ対策を測る「ものさし」にもなります。IPAの資料でも、委託元が委託先に求める対策の「共通のものさし」と位置づけられています。

非製造業でも、システム開発、運用保守、BPOを外部に委託する企業は多くあります。委託先の重要度やリスクに応じて、選定・管理の基準にSCSを使う。これも検討したいところです。

DX戦略にSCSをどう組み込むか？

これからDX戦略を策定するなら、業種を問わず「SCS制度の活用」を検討しましょう。

ただし、盲目的に取得を目指す必要はありません。SCSをセキュリティ対策の「ものさし」として使い、正式な取得は企業ごとに判断する。この方針が適切だと考えます。

なぜ、DX戦略に盛り込むべきなのでしょうか。

① セキュリティはDX推進の前提条件

DXが進むほど、クラウド活用、社外とのデータ連携、生成AIの活用が広がります。それにつれて、サイバー攻撃の影響範囲も広がっていきます。

新しいデジタル基盤を整えても、セキュリティ対策が従来のままでは、経営リスクが高まるだけです。
 

② セキュリティ対策の客観的な目標になる

DX戦略に「セキュリティ強化」と書くだけでは、何をどこまでやるのかが曖昧です。

SCSには、★3で26件、★4で43件の要求事項が定められています。これを使えば、現状の不足と今後の対策を具体化できます。

SCSの要求事項を使えば、自社のセキュリティ対策を健康診断のように点検できます。

まずは現状を診断し、不足する対策を整える。そのうえで、事業特性や取引先の要求に応じて、正式な取得を判断すればよいのです。

★の有無より、対策の中身

「せっかくDX戦略を策定するので、SCSも取り入れたいですね」

冒頭の企業でも、現在策定中のDX戦略にSCS制度の活用を盛り込む方向で、検討が始まっています。

SCSは、すべての企業が一律に取得すべき制度ではありません。それでも、セキュリティ対策を見直す共通基準として、幅広い企業が使える制度です。

経営として重視すべきは、★を取ること自体ではありません。自社のリスクに見合った対策を、どこまで講じるかです。そのうえで、正式な取得の必要性を判断すればよいのです。

SCSは、その判断を支える有効な手段の一つです。

貴社のDX戦略には、セキュリティ対策の「ものさし」が組み込まれていますでしょうか？