特集
「SCS評価制度」★取得を目指す情シスは何をすべきか？ アセスメントソリューションを手がけるIIJに聞く
【前編】最大の意義は、経営と情シスが同じゴールを見据えること
2026年10月27日 07:00
経済産業省と内閣官房国家サイバー統括室（NCO）が主導する「サプライチェーン強化に向けたセキュリティ対策評価制度」（以下、SCS評価制度）は、2026年度末頃に運用開始が予定されている。企業のセキュリティ対策の水準を★の数で可視化し、取引先同士がそれを共通の物差しとして使える仕組みだ。
この制度への対応を支援するサービスとして、インターネットイニシアティブ（IIJ）は、「IIJ SCS評価制度アセスメントソリューション」（以下、アセスメントソリューション）の提供を開始した。★3・★4の取得に向けた現状評価、課題抽出、施策検討を標準2カ月のパッケージとして提供する。参考価格は★3対応が300万円から、★4対応が400万円からとなっている。
IIJではこのサービスの利用者に対し、取得のためにどのような支援を行うのか。取得を目指す企業にとっての課題となるのは何か。同サービスを担当するIIJの川畑弘臣氏に、2回に分けて話を聞く。前編では、SCS評価制度の意義と、アセスメントソリューションでできることを聞いた。
経営層にも浸透し始めたSCS評価制度
川畑氏によると、SCS評価制度に関する相談は、8月から急増しているという。相談に来る企業は、大きく2つのタイプに分かれるようだ。1つは、経営層がSCS評価制度について聞きつけ、「とにかく取得せよ」と情シスに指示を出すケース。この場合、★3と★4のどちらを取得するのかといった詳細までは議論されていないことが多いというが、経営層から降りてくるということは、制度の存在がかなり浸透してきているとも言えそうだ。
もう1つは、情シスが制度の内容にキャッチアップし、「現状で★3は難しそうだが、どうすれば取得できるか」と相談に来るケース。要求事項を読み込んだ情シスほど、★3でも求められる水準が高いことに気づき、自社の弱みを自覚してのスタートになる。
SCS評価制度はセキュリティチェックシートに代わる「共通言語」に
これまで数多くのセキュリティサービスを提供してきたIIJから見て、SCS評価制度にはどんな意義があるのか。川畑氏が挙げたのは、自社のセキュリティ対策の水準を、サプライチェーンの中で伝え合う共通言語になることだ。
これまでは、取引のたびにセキュリティチェックシートをやり取りするのが一般的だった。取引先ごとに形式の違うシートに回答する側は疲弊し、確認する側も結局は回答を信じて受け入れるしかない場面が少なくなかった。制度によって一律の水準が示されれば、「うちはここまでできている」と、同じ尺度で簡潔に伝えられるようになる。
制度の内容も、多くの企業が取り組んで効果があるものだと評価しているという。要求事項はNISTなど国内外のフレームワークが取り込まれており、セキュリティ強化の観点から見て網羅的だ。IIJはこれまで、NISTサイバーセキュリティフレームワークをベースとしたアセスメントも手がけてきたが、日本企業にとっては解釈が難しい部分も多かった。その点、「SCS評価制度は日本企業に合った制度だと思う」と川畑氏は言う。
そのため、IIJは★取得とは別の形でも、SCS評価制度を活用している。例えば、制度とは関係なく「セキュリティを強化したい」という相談を受けた場合、川畑氏は★4の要求事項を軸に、現状どこまでできているかを確認し、目指す姿を提案することがあるという。
SCS評価制度への対応は任意だ。ただ筆者が以前取材したランサムウェア被害企業の経営者も「SCS評価制度は見ておいた方がいい。セキュリティを強化する上でのベースになる」と語っていたのが印象に残っている。
セキュリティ担当がいなくても始められる。鍵は情シスと規程担当の連携
ここからは、「IIJ SCS評価制度アセスメントソリューション」そのものについて聞いていこう。
まず、対象となる企業について。川畑氏は「企業規模も業種も問わない」と言う。中小企業であれば、リソースや知見が足りない部分をIIJが補い、現状の評価からギャップ分析、対策の優先順位づけまでを一緒に進める。大企業であれば、グループ会社をどう扱うかといった論点も加わる。
では、セキュリティの専任担当者がいない企業では、誰が中心になって進めればよいのか。川畑氏は、情シスが主管になるべきだと言う。情シスという名前の部署がなくても、PCの払い出しやITツールの管理など、社内ITを担当する人やチームが旗振り役になるのが良いという。
ただし、情シスだけで完結する話ではない。SCS評価制度は、ツールの導入以上に、ルールや体制の整備が求められる制度だからだ。社内規程を管理している部門があれば、早い段階から一緒に進めておくとスムーズだ。
現状分析から施策検討まで。情シスには荷が重い経営層への説明も代行
アセスメントソリューションの流れは、前半1カ月が現状調査、後半1カ月が課題抽出・施策検討・レポート作成となっている。
まず企業自身がセルフチェックを行う。IIJは実装例や判断基準の補足説明を加えた独自のチェックシートを用意しており、回答しやすい形で自己評価を進められるようにしている。その結果に対し、IIJのコンサルタントがセキュリティ規程やシステム規程、ネットワーク構成図などの文書を確認し、ヒアリングを行って内容を精緻化する。チェックシートや文書だけでは把握できない実際の運用状況や、現場の暗黙のルールまで踏み込むのが狙いだ。
その上で課題を洗い出し、3カ年で何をすべきかロードマップを引く。最後にレポートをまとめ、報告会を開く。
川畑氏は、この報告会にこそアセスメントソリューションの価値があると言う。できる限り経営層に同席してもらい、IIJが直接、現状と今後の方向性を説明する。情シスから経営層に的確な説明をするのは、多くの企業のケースでハードルが高いからだ。
その理由は、経営層と情シスで視点が違うことにある。経営層が知りたいのは「守れているか否か」であり、どんなツールで守っているかという手段にはあまり関心がないことが多い。一方、情シスの説明は手段が先行しがちで、「ここはこのツールで守っています」という話になりやすい。
「リスク管理」という言葉の捉え方でも、同じようなすれ違いが起きやすい。情シスがリスク管理と言うとき、管理対象の端末やサーバー、ツール、運用のそれぞれについて、対策が行き届いているかを指すことが多いのではないか。一方、経営層がイメージするのは、「攻撃を受けたらどれくらいの被害が出るのか、それを防ぐのにいくらかかるのか」といった話だろう。
SCS評価制度の★4には、このリスク管理に関する要求事項がある。自社がどんな資産を持ち、攻撃を受けたときに金額や信用も含めてどれだけの被害が出るかを把握し、それを仕組みとして運用することが求められる。本来はリスク管理部門（サイバーリスクに限らず、人的な不祥事、社会情勢の影響など企業の事業展開に関したあらゆるリスクを評価し、経営への情報提供や助言を行う部門）が担うべき領域で、「情シスに説明させるのは（業務の範囲を大きく超えていて）酷だと思う」と川畑氏は言う。
だからこそ、最初の段階では、外部の専門家という立場であるIIJがアセスメントの結果を経営層に説明し、予算を取って進めるべきプロジェクトとして認識してもらうことに意味がある。共通のゴールを見据えられたら、その先は情シスが自ら経営層に説明していけるはずだ。
オプションで実行計画やコスト試算や規程作成から、申請時の再評価まで支援
アセスメントソリューションは、報告会までで一区切りとなる。その先の実行計画やコスト試算、★の取得に向けた実務支援は、別途オプションとして用意されている。
しかし実際には、アセスメントと実行計画、コスト試算をセットで依頼する企業が多いという。経営に説明できるところまで伴走してほしいという要望が強いためだ。一方で、ロードマップまでで十分という企業もあるため、敢えてプランを分けているとのことだ。
★の取得に向けた支援としては、規程や手順書の作成、ルールに対応するためのツールの選定と導入、全体を進めるPMO、申請時の再評価などがある。ツールはIIJの製品に限らず、他社製品を組み合わせて提案することもある。人材が足りない企業には、委員会の立ち上げなど組織体制づくりについても助言する。これらはSCS評価制度に限らず、以前から相談が多い領域だという。
自力で★取得を目指すなら、最大の壁は規程や手順書の整備
最後に、セキュリティの知見が十分でない企業が、外部を頼らず★取得を目指した場合、何が大変なのかを聞いた。川畑氏が真っ先に挙げたのは、ドキュメントの整備だ。
申請の具体的な手順や提出様式は、制度の運営主体であるIPA（情報処理推進機構）が、今後順次公開していく予定だ。ただ川畑氏は、チェック項目に「○」を付けるだけでは通らないはずだと見ている。要求事項そのものが、規程や手順書を整え、実際に運用していることを求めているからだ。規程がなければ、そもそも要求事項を満たしていないことになる、と川畑氏は言う。規程を作るところから始めるとなると、相当な負担だ。
実際、IIJへの相談でも「要求事項を満たしていないことは分かっている。規程や手順書を一緒に整理してほしい」という声が非常に多いという。要求事項を満たす書きぶりで規程を作るところまで、IIJがサポートするケースも少なくない。
次回（10月28日公開予定）は後編として、中小企業が★3・★4を目指す場面を想定し、経営層を本気にさせる伝え方、工数の目安、つまずきやすいポイントといった実務寄りの話を聞く。
情報システム部出身のノンフィクションライター。広報、イベント企画、コミュニティ運営、MCなどの活動をしながら、行政から民間まで取材。日本初のGoogle Cloud公式エンタープライズユーザー会「Jagu'e'r（ジャガー）」のアンバサダー。著書に『ルポ 日本のDX最前線』（集英社インターナショナル）など。