近年、サプライチェーン（取引先・委託先ネットワーク）を標的としたサイバー攻撃が急増しています。セキュリティ対策が強固な大企業を直接狙うのではなく、セキュリティ対策の手薄な委託先や関連企業を足がかりにして侵入する「サプライチェーン攻撃」です。
こうした脅威に対し、企業規模を問わずサプライチェーン全体のセキュリティ水準を底上げする枠組みとして、経済産業省と内閣官房が主導し、独立行政法人情報処理推進機構（IPA）が運営する公的制度「サプライチェーン強化に向けたセキュリティ対策評価制度（通称：SCS評価制度）」の準備が進められています。
本記事では、公的機関が公表している制度方針をもとに、中小企業が把握しておくべき制度の概要と、求められる具体的な対策について解説します。
1. SCS（サプライチェーンセキュリティ）評価制度とは？
SCS評価制度は、企業等のIT基盤における基本的なセキュリティ対策状況を、共通の評価基準に照らして客観的に評価・可視化する仕組みです。
これまで、発注元（委託元企業）と委託先（サプライヤー）の間では、以下のような課題が存在していました。
- 委託元の課題：取引先が十分なセキュリティ対策を行っているか把握しにくく、個別のチェックシートによる確認に多大な負担がかかる。
- 委託先の課題：取引先ごとに異なるセキュリティ基準やチェック項目を要求され、過度な対応負荷が発生している。
SCS評価制度が導入されることで、公的な共通基準のもとで対策状況が「星の数（★）」等で客観的に証明できるようになり、双方の取引コストや確認負担の軽減が期待されています。
【参考・公式情報】
2. 対策の段階（★の区分）と評価の仕組み
SCS評価制度では、企業の役割やリスク水準に応じて段階的な評価区分（★3〜★5）が設計されています（※★1・★2は既存の「SECURITY ACTION」制度が基礎を担います）。
- ★3（三つ星）
- 位置づけ：サプライチェーンを構成する企業が最低限備えるべきセキュリティ対策水準。
- 評価手法：定められた要求事項・評価基準に基づき自己評価を実施した上で、認定されたセキュリティ専門家による確認・助言・署名を経て登録申請を行う「専門家確認付き自己評価」。
- ★4（四つ星）
- 位置づけ：重要インフラや機密性の高い情報を取り扱う企業が標準的に目指すべき高度な対策水準。
- 評価手法：認定を受けた第三者評価機関による実地審査および技術検証。
2026年度末頃（2027年春）の本格的な運用開始に向けて、ガイドラインや具体的な要求基準の策定が順次進められています。
3. なぜ中小企業において早期の準備が重要なのか？
SCS評価制度は法律で一律に義務付けられるものではありません。しかし、実務上は「取引条件としての実質的な要請」となるケースが増えると考えられています。
自動車産業や製造業、医療、官公庁案件などを筆頭に、サプライチェーン全体でのインシデント防止が強く求められています。今後、「★3以上の取得」や「一定水準のセキュリティ体制構築」が新規取引・契約更新の要件として提示される場面が現実化しつつあります。
取引要請が来てから慌てて対応しようとしても、システムの改修や社内ルールの策定には相応の準備期間が必要です。そのため、今から自社のセキュリティ現状を棚卸ししておくことが推奨されています。
4. SCS評価制度で求められる主な「技術的対策」
SCS評価制度では、セキュリティポリシーの策定や社員教育といった「組織的対策」と並び、システム面での確実な「技術的対策」が重視されます。具体的には、以下のような運用が求められます。
- IT資産・ソフトウェアの棚卸しと可視化
社内ネットワークに接続されているPC端末、OSバージョン、インストールされているソフトウェアの状況を網羅的に把握・台帳管理すること。 - OS・ソフトウェアの脆弱性管理（パッチ適用）
利用端末の脆弱性情報を定期的にスキャンし、セキュリティ修正パッチを遅滞なく適用すること。 - マルウェア・ランサムウェア対策
全端末に最新のウイルス対策エンジンを導入し、定義ファイルを常に最新に保ち、脅威を迅速に隔離・駆除できる体制を維持すること。 - 外部デバイスの制御（USBメモリ等）
私物USB等の不用意な接続による情報漏えいやウイルス混入を防ぐため、デバイス利用の制限や許可制ルールを運用すること。 - 操作ログ・通信ログの取得と監査
インシデント発生時の原因調査や不正操作の抑止のため、セキュリティ関連ログや端末の稼働履歴を適切に記録・保存すること。
5. コストと専任者不在の壁をどう乗り越えるか
中小企業にとって最大の課題となるのが、「コスト」と「運用の人手不足」です。
従来、上記のような要件を満たすためには「高額なIT資産管理ツール」と「アンチウイルスソフト」を別々に契約し、複数の管理画面を個別に運用する必要がありました。IT専任者がいない中小企業では、予算的にも運用の難易度的にも導入のハードルが高かったのが実情です。
端末防御と資産管理を1つに統合する「KAS」という選択肢
こうした中小企業の課題に応えるため、キングソフトが提供を開始したのが「KINGSOFT Asset Security（KAS）」です。
- アンチウイルス同等価格で資産管理までカバー：年額3,000円/ID〜（セキュリティプラン）から導入可能。
- 1コンソール・1エージェントで負荷削減：ウイルスの検知・隔離から、OS脆弱性の確認、端末情報の自動収集、各種ログの記録まで、単一の画面で直感的に管理可能。
- 段階的なセキュリティ統制：上位の「アセットプラン」では、USB制御や詳細な操作ログ監査にも対応し、取引先から求められるガバナンス要件のクリアを強力に支援します。
制度の正式運用開始を見据え、まずは自社の端末状況を可視化し、基本的な防御と資産管理の基盤を整えることからスタートしてみてはいかがでしょうか。