はじめに
独立行政法人情報処理推進機構（IPA）は、2026年8月28日に「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の基本規程等を公開しました。SCS評価制度は、取引先や委託先を含むサプライチェーン全体におけるセキュリティ対策の水準を可視化し、適切な要求事項を提示することを目的とする制度です。
今回の公開では、制度の基本枠組みだけでなく、評価機関、技術検証事業者、研修事業者向けの説明会の開催案内と、第2回指定委員会の配付資料・議事要旨も合わせて公表されました。今後、企業が外部委託先のセキュリティ水準をどう確認し、どう実務に落とし込むかが重要なテーマになります。
1. 何が起きたか
IPAは2026年8月28日、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の「基本規程等」を公開しました。併せて、以下の情報も公表されています。
- 評価機関、技術検証事業者、研修事業者向け説明会の開催案内
- 第2回指定委員会の配付資料
- 第2回指定委員会の議事要旨
この制度は、2026年3月に経済産業省および内閣官房国家サイバー統括室が示した「制度構築方針」を踏まえて進められており、IPAが事務局役割を担って運営します。制度の狙いは、サプライチェーン全体を対象にしたセキュリティ対策の標準化と、取引先への要求水準の明確化です。
近年、委託先や下請け、クラウド・SaaS、IT関連サービスの脆弱性は、企業の情報資産だけでなく業務継続性にも影響を及ぼすケースが増えています。SCS評価制度は、こうした外部依存のリスクを「自社の対策だけでなく、関係先の対策も見える化する」仕組みとして設計されています。
2. SCS評価制度とは
SCS評価制度は、サプライチェーンにおけるセキュリティ対策の成熟度を評価し、取引先がどのレベルの対策を持っているかを把握しやすくする仕組みです。制度の中では、特に以下の評価段階が設けられています。
- ★3：セキュリティ専門家による確認を伴う自己評価
- ★4：第三者評価と技術検証を伴うより高度な評価
IPAの公開情報によれば、★3では、取得希望組織が自己評価を作成し、セキュリティ専門家の確認を経て登録を受けます。一方、★4では、評価機関および技術検証事業者による第三者評価・技術検証が行われます。
このような制度設計は、単なる「チェックリスト」ではなく、サプライチェーン上の各企業が自社のセキュリティ体制を機械的に説明するだけではなく、取引先との信頼関係を前提にした対策実施を促すことを意図しています。特に、個々の会社ごとに要求されるセキュリティ要件がばらつく中で、共通の評価軸が必要とされている背景がここにあります。
3. 公開された内容と意味
3-1. 基本規程等の公開
今回公開された基本規程等は、制度の運営体制や評価の考え方を明確にするものです。IPAは、制度の管理運用に関する説明や、指定委員会の審議内容を公開することで、企業や関係事業者が制度を確認しやすくしました。
特に重要なのは、制度が「制度構築方針」から実運用へ移行している点です。今後、評価機関・技術検証事業者・研修事業者の実務が具体化し、企業がどう評価を受け、どのような対策を整備すべきかがより明確になる見込みです。
3-2. 指定委員会の構成と役割が具体化
指定委員会は、評価機関や技術検証事業者、研修事業者の指定・監督に関わる重要な機関です。公開された資料では、こうした事業者の役割分担と制度全体の運営に関する論点が整理されています。
このため、企業の情シス担当者は今後、以下のような観点で動向を追う必要があります。
- 取引先・委託先に対してどの段階の評価を求めるべきか
- 自社が評価を受ける前提として、どんな体制が必要か
- 提携先のセキュリティポリシーや証跡管理に何を求めるべきか
3-3. 説明会が本格化
評価機関、技術検証事業者、研修事業者向けの説明会が開催案内として公開されたことは、制度の実務化が進んでいることを示します。今後は、制度の理解を企業側に広げるための情報発信が加速し、特に中小企業や情シス担当者を抱える組織にとって重要な転機になる可能性があります。
4. 情シス担当者が確認すべきポイント
今回の制度は、単純な法令対応ではなく、サプライチェーン全体の管理体制を見直す契機です。企業の情報セキュリティ担当者は以下の観点を確認する必要があります。
4-1. 取引先への要求事項を標準化する
これまで、委託先ごとに異なるセキュリティ要求を求める事例がありました。SCS評価制度はその見えにくさを改善し、要求水準の共通化を進める方向です。今後、業務委託先やクラウドベンダーに対して、どの程度のセキュリティ基準を求めるべきかを整理しておく価値があります。
4-2. 事業継続とサプライチェーンのリスクを見直す
IPAが説明している制度は、単なる「情報漏えい抑止」だけでなく、サプライチェーン全体の事業継続性に関わるリスク低減を狙っています。業務の外注率が高い企業では、自社だけでなく取引先や下請けの運用体制を把握し、脆弱な構成を特定していく必要があります。
4-3. 制度への対応を、今から準備する
SCS評価制度は、今すぐ全企業が取得対象になる制度ではありませんが、今後の取引環境や要求事項の変化を踏まえると、早めの準備が有利です。以下のような視点で現状を整理しておくとよいでしょう。
- 自社のセキュリティ管理体制は、外部関係者から見て妥当か
- 取引先に対するセキュリティ要件は文書化されているか
- 重大インシデント時に連携できる体制があるか
- 重要システムやデータに対するアクセス管理・ログ管理は適切か
5. まとめ
IPAが公開したSCS評価制度は、サプライチェーンにおけるセキュリティ対策を“見える化”し、“要求水準を標準化”するための制度として重要な意味を持ちます。特に、評価機関・技術検証事業者・研修事業者向けの説明会や指定委員会資料の公開は、制度の実運用に向けた本格的な準備が進んでいることを示しています。
情シス担当者にとって本件は、ただの制度のニュースではなく、取引先との関係性を見直すための重要な契機です。今後の制度運用を注視しながら、自社のセキュリティ管理体制や委託先管理を再評価しておくことが求められます。
今回のようなサービス提供者側での不正アクセス事案は、社内で完結しているインシデントではなく、外部依存と内部運用が同時に問われる問題です。管理アカウントの見直しやログ確認を進め、必要に応じてYJKで影響範囲の洗い出しと対策支援を行うことをおすすめします。