企業のセキュリティ対策を共通の基準で確認する「SCS評価制度」は、★3と★4について2027年3月ごろの運用開始が予定されています。取引先ごとに異なる確認作業を減らし、サプライチェーン全体の対策状況を確認しやすくするための制度です。
法律で一律に取得が義務付けられる制度ではありませんが、取引先から対応を求められる可能性はあります。制度の開始を待つのではなく、対象となる業務や現在の対策状況を確認しておくと、依頼を受けた際に対応しやすくなります。
企業の順位を決める制度ではない
正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。委託元が取引先に求める対策の段階を示し、その実施状況を確認する使い方が想定されています。
星の数は企業の順位を示すものではありません。取引関係や業務の性質によって、必要とされる対策の範囲が異なるためです。取引先から「SCSへの対応」を求められた場合は、★3と★4のどちらを想定しているのか、最初に確認してください。
対象は企業のIT基盤
制度の対象は、サプライチェーンを構成する企業などのIT基盤で、クラウド環境も含まれます。一方、製造現場のOTシステムや、取引先へ納入する製品そのものは直接の対象ではありません。
同じ会社でも、すべての業務が一律に対象になるとは限りません。確認を求められた際は、自社全体が対象なのか、特定の業務やシステムに限られるのかを取引先へ確認してください。
2026年8月時点では、申請の受け付けは始まっていません。★3と★4は2027年3月ごろの運用開始が予定されており、★5の要求事項や開始時期は引き続き検討されています。
今のうちに確認できること
- 端末、クラウド、アカウント、外部接続の一覧は最新か
- バックアップ、アクセス権、ログはどのように運用しているか
- 事故が発生した場合の責任者と連絡先は決まっているか
- 取引先から求められる対象範囲と期限は明確か
これらはSCSの申請に限らず、日常のセキュリティ対策を確認するうえでも役立ちます。まずは把握できていない項目を洗い出し、社内の担当者や委託先に確認してください。
申請方法や費用など、まだ公表されていない項目もあります。「取得を保証する」といった案内を受けた場合は、その場で契約せず、経済産業省とIPAが公表している最新情報を確認してください。