SCS評価制度（セキュリティ対策評価制度）とは何か？ タイムズなど被害続出で大注目

タイムズなど続々…日本企業が震える「サイバー攻撃の恐怖」

　2026年、企業の個人情報漏えいが相次いでいる。9月下旬、「タイムズカー」でも約660万件のアカウント情報の漏えいが確認されている。

　10月には「焼肉きんぐ」を運営する物語コーポレーションが、公式アプリの会員管理システムへの不正アクセスにより、約1,079万件の会員情報が漏えいしたと発表。宅配すし「銀のさら」などを展開するライドオンエクスプレスホールディングスも、最大約650万件の個人情報が漏えいした可能性を公表した。

　これらの事案は、攻撃経路や被害状況こそ異なるものの、企業が保有する大量の情報が狙われている現状を浮き彫りにした。

　さらに、攻撃の高度化も懸念されている。情報通信研究機構（NICT）は10月13日、公開されているスマートフォンアプリを解析し、接続先のサーバを攻撃する「A2B攻撃」について注意喚起した。AIの活用によってアプリの解析や脆弱性の発見が効率化され、攻撃対象が広がる可能性も指摘している。

　ただし、前述の個別事件で生成AIが使われたと確認されたわけではない。攻撃の高度化に加え、企業が警戒すべきなのが、取引先や委託先を通じて被害が広がるリスクだ。

　たとえば「銀のさら」などの事案では、登録者情報を保管するサーバの運営会社がランサムウェア攻撃を受けたと報告されている。これに伴い、公式サイトやアプリからの注文が停止するなど、実際の事業運営にも影響が及んだ。自社で直接管理していないシステムであっても、事故が起きれば顧客対応やサービス停止を迫られることがある。

　こうしたリスクに対応するため、政府が導入を進めているのが「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」だ。

大注目「SCS評価制度」とは何か？

　SCS評価制度とは、企業のセキュリティ対策を共通の基準で評価し、その実施状況を見えるようにする仕組みだ。経済産業省と内閣官房国家サイバー統括室が制度構築を進め、情報処理推進機構（IPA）が運営を担う。


　発注企業が取引先の対策水準を把握しやすくするとともに、受注企業にとっても、自社の対策状況を共通の基準で説明できるメリットがある。

　2026年3月に公表された制度構築方針では、2026年度末ごろ（2027年1～3月ごろ）の申請受付開始を目指すとしている。ただし、制度運営基盤の整備状況などによって変更される可能性があり、開始日は確定していない。

　では、SCS評価制度はどの企業に関係し、何を求める制度なのか。

SCS評価制度を「取得すべき理由」

　まず知っておきたいのが、法律上は任意でも、企業間取引では対応を求められる可能性があるという点だ。

　対象として想定されるのは、サプライチェーンを構成する企業のIT基盤だ。大企業だけを対象とした制度ではなく、中堅・中小企業も関係する。取引先から業務を委託されている企業や、顧客情報・設計情報などを扱う企業も無関係ではない。

　ただし、★の取得は義務ではない。法律によってすべての企業に取得を強制するものではなく、取得しなかっただけで行政処分を受ける制度でもない。

　では、なぜ対応が必要になる可能性があるのか。

　対応が必要な理由は、企業間取引の中で活用されることを想定しているからだ。たとえば、完成車メーカーが部品メーカーに業務を委託する際、一定のセキュリティ水準を求める場面が考えられる。その水準を示す共通の指標としてSCS評価制度が使われれば、部品メーカーは取得状況を説明する必要が生じる可能性がある。

　もちろん、取得していなければ直ちに取引停止になるわけではない。どの段階の取得を求めるか、取得を契約条件とするかは、取引当事者の判断による。制度自体が取引を規制するものではない点は区別しておきたい。

OTは対象外？ SCS評価制度の「評価対象」

　製造業では、評価対象の範囲にも注意が必要だ。SCS評価制度が直接対象とするのは主にIT基盤であり、製造設備を制御するOT（Operational Technology）システムのうち、IT基盤に該当しない部分は原則として直接の評価対象外となる。


　これは、工場のセキュリティ対策が不要という意味ではない。生産管理システムや設計情報を扱うサーバなど、IT基盤に該当する部分は評価対象となり得る。また、OTについても別のガイドラインなどに基づく対策が重要になる。

　重要なのは、制度の対象となる範囲と、企業が実際に守るべきシステムの範囲を混同しないことだ。

　SCS評価制度では、企業のセキュリティ対策を★3・★4・★5の段階で評価する。2026年10月時点で具体的な要求事項や評価基準が公表されているのは★3と★4だ。

　★3は、一般的なサイバー脅威に対応するための基礎的な対策を確認する段階で、企業自身による評価に加え、企業自身が実施した評価について社内外のセキュリティ専門家による確認・助言を受ける必要がある。一方、★4は侵入後の被害拡大防止など、より広範な対策が求められ、第三者評価機関による確認や技術検証も行われる。さらに高度な攻撃への対応を想定する★5については、具体的な基準や開始時期が検討中だ。

　気になる制度の開始時期は、★3・★4について2026年度末ごろ（2027年1～3月ごろ）の申請受付開始とされている。ただし、開始日は確定しておらず、申請後には必要な確認や評価を受けることになる。

　また、既存のISMS認証との違いも押さえておきたい。ISMSが組織全体の情報セキュリティリスクの管理と継続的な改善を重視するのに対し、SCS評価制度は共通の要求事項に基づく具体的な対策状況を評価する。ISMS認証を取得済みでも、自動的にSCS評価制度の★を取得できるわけではない。

　では、取得にはいくらかかるのか。IPAが公表した登録料は、2028年3月末までの申請で★3が年間1万円、★4が3年間で6万円。ただし、専門家による確認や第三者評価、技術検証、不足する対策の整備などには別途費用が発生するため、登録料だけで取得できるわけではない。

　企業が今から準備すべきことは大きく4つある。（1）取引先から求められるセキュリティ水準の確認、（2）自社のIT資産と管理体制の把握、（3）既存の対策と要求事項の差分確認、（4）取得費用と社内体制の検討だ。最初から上位の★4を目指したり、高額なセキュリティ製品を導入したりする必要はない。

　そして、最も注意したいのが「取得しないとどうなるのか」という問題だ。SCS評価制度の取得は任意であり、未取得そのものに罰則はない。ただし、発注企業が取引先の選定や契約更新に★の取得を求めるようになれば、未取得の企業が新規受注の機会を逃したり、既存取引に影響が生じたりする可能性がある。

　特に多くの企業がつながる製造業では、サプライチェーン全体のセキュリティ水準が重要になる。SCS評価制度を単なる認証取得の取り組みと捉えるのではなく、自社の対策を見直し、取引先からの信頼と事業継続力を高める機会として活用することが求められる。