お知らせ
【メディア掲載】SCS評価制度で中小企業の取引はどう変わるかを解説
起業・経営メディア「創業手帳」に、セキュビット代表・増村洋二のインタビュー記事の第2回が掲載されました。
今回は「SCS評価制度で中小企業の取引はどう変わる？専門家が教える今からできる対策」がテーマです。2027年3月に申請受付が始まる予定のSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）について、制度の概要と中小企業の取引への影響、専任担当者がいない少人数の会社でも取り組める対策を解説しています。
記事では、取引先を経由したサイバー攻撃が増えていることを背景に、これまで取引先ごとのチェックシートで確認されてきたセキュリティ対策を、今後は「根拠とともに示す」ことが求められる可能性があると紹介しています。そのうえで、★3と★4の違いや、取引先から★の取得を求められたときに確認すべき点を、支援の現場での実感を交えてお伝えしています。
★3と★4の主な違い
- ★3（要求事項26項目）：
一般的なサイバー脅威に対処できる水準。自己評価をセキュリティ専門家が確認・助言し、経営層が自己適合を宣言したうえで申請する。有効期間は1年 - ★4（要求事項43項目）：
取引先のデータやシステムの保護にも役立つ水準。評価機関による第三者評価に加え、外部から直接アクセスできるVPN装置などへの脆弱性検査（技術検証）が必要。有効期間は3年
出典：IPA（2026年10月28日公開の解説書・評価用ガイド）要求事項・評価基準
主要な取引先の方針は早めに確認しておくことをおすすめしています。
SCS評価制度に向けて今からできる5つのステップ
- 経営者が方針を示し、推進体制をつくる
- IT資産を棚卸しする
- 要求事項とのギャップを確認する
- 対策を「効果×運用負荷」で仕分ける
- 記録が自然に残る仕組みにする
少人数の企業がまず取り組みやすいのは、「IT資産の棚卸し」と「対策を効果と運用負荷で仕分けること」です。
記事で解説しているその他のポイント
- 中小企業がつまずきやすい3つの課題（対策を根拠とともに示すこと、適用範囲を決めること、対策を「足し算」で増やしてしまうこと）
- 自社に必要な対策を見極めて絞り込む「引き算」の考え方と、外部の専門家の使い方
- 取引先から「★を取得して」と言われたときに確認したい4つのポイント（★3か★4か、期限、対象範囲、取得までの取引の進め方）
限られた予算や人員でSCS評価制度への対応を検討する際の参考にしていただければ幸いです。
記事のリンク
関連するお役立ちブログ
SCS評価制度への対応で、現場の運用を止めずに対策を取捨選択する考え方を詳しく解説しています。
代表・増村洋二のプロフィール
増村 洋二（ますむら ようじ）
株式会社セキュビット 代表取締役
2002年より情報セキュリティ業務に従事。LINE、楽天、ジンズ、カルチュア・コンビニエンス・クラブなどで、セキュリティ部門の立ち上げや責任者を歴任。20年以上にわたり計4万時間、5,000件以上の対応経験を重ね、株式会社セキュビットを設立。
現場出身のコンサルタントとして、企業ごとの事業環境や課題を踏まえた情報セキュリティ対策を支援。実践的な視点から情報を発信しており、ZDNET Japanでは「つながりで考えるセキュリティ対策」を連載中。
セキュビットについて
株式会社セキュビットは、限られた人員や予算の中で情報セキュリティ対策に取り組む中小・中堅企業を中心に支援する、セキュリティコンサルティング会社です。企業ごとの事業環境やリスクを踏まえて必要な対策を見極め、現実的で継続できるセキュリティ対策を支援しています。
ランサムウェア対策やインシデント対応体制の整備をはじめ、委託先管理、SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）、ゼロトラスト、シャドーAIなど、幅広い課題を現場経験に基づいて支援しています。
お気軽にご質問・ご相談ください
「取引先から★の取得を求められたが、何から手を付ければよいか分からない」「自社の対策が要求事項とどれくらい離れているか知りたい」といったお悩みがあれば、お気軽にご相談ください。
SCS評価制度への対応に向けた、無償の簡易診断サービスもご利用いただけます。情報セキュリティ簡易診断サービス（無償）
一覧に戻る