経済産業省と内閣官房 国家サイバー統括室が中心となって準備を進めるSCS評価制度は、2026年度中のスタートが予定されています。評価制度の概要はトレンド記事第1回でまとめていますが、開始まで半年を切った今、各種調査から見えてくるのは、発注側企業と受注側企業の認識ギャップです。その一例が、株式会社ソリトンシステムズが今年4月、全国の企業を「50～200人未満」「200～1000人未満」「1000～5000人未満」「5000人以上」に分類し、各サンプルを等分に割り振る形で実施した、SCS評価制度への対応に関する調査です*1。
調査によると、受注側企業に対し、★3～★4の取得を求める準備を進める発注側企業は76.5％。一方、4月時点で★取得に向けた対応を開始している受注側企業は44.9％でした。インターネット調査の性格を考えると、発注側企業と受注側企業の認識・準備状況のギャップは数字以上に大きいことが考えられます。

SCS評価制度の狙いは、共通の要求事項・評価基準に基づいて企業のセキュリティ対策状況を評価・可視化し、サプライチェーン全体のセキュリティ水準を高めること。同制度はすべての企業に一律で対応を求める性質のものではなく、サプライチェーンにおける役割や重要度に応じたセキュリティ水準の目安として、発注側企業が取引先に★3、★4レベルに相当する対応を求める形で運用されることが想定されます（★5は現在検討中）。
SCS評価制度は発注側企業と受注側企業双方の合意の上で、求められる水準の対策に取り組むことになりますが、同制度の7項目の大分類からなる要求事項・評価項目への対応は、一朝一夕にできるものではありません。発注側企業から具体的なセキュリティ水準を求められてから要求事項・評価基準を満たすまでには、社内体制の整備や技術的対策などに一定の準備期間が必要になることが想定されます。そのため取得までの負荷はかなり大きくなることが予想されます。さらに言えば、★3以上の取得では数カ月以上のログ取得などの運用実績が厳しく問われることになります。対応の遅れが取引上の不利益につながる可能性もあるため、できることから準備を進めておく必要があります。

適切なセキュリティ対策を早期に整備することは、取引先に自社の対策水準を示す材料となり、新たな取引機会につながる可能性もあります。
サプライチェーンを利用した踏み台攻撃の脅威がたびたび指摘される中、中小企業のセキュリティ対策強化は喫緊の課題になろうとしています。企業経営においてセキュリティ対策は、コストと捉えることが一般的ですが、SCS評価制度は投資という観点からも注目したいところです。
なお本シリーズが最初にSCS評価制度を取り上げたのは今年2月のことですが、4月に経済産業省は「同制度が個社間の商取引に規制措置をとるものではない」という注意喚起を行っています*2。「★を取得していないと商取引が規制される」「今すぐ★を取得しないと⼊札から除外される」など、制度の誤認につながりかねない営業活動には注意する必要があります。

では同制度への対応は、どこから手をつけるべきでしょうか。その答えは各社それぞれの考え方次第ですが、その選択肢の一つとして注目したいのがシステムやハードウェアの導入です。特に、要求事項5-1-1「ネットワーク接続・データの監視」で求められる対策の一環として、不正アクセス等をリアルタイム検知・遮断する仕組みの導入は大きな意味を持つはずです。
端末内での不審なプログラムの実行や、ファイルの不自然な操作を監視するネットワーク内のデータ転送の監視する仕組みとしてまず挙げられるのがEDRですが、24時間365日の監視など、運用面の課題は決して少なくないのが実情です。専門家が24時間365日監視し、実際の対応まで踏み込んだサービスを定常するMDRも登場していますが、コストの高額が避けられないのが実情です。
トレンド記事第7回で解説したように、端末から端末への水平展開（ラテラルムーブメント）を検知し、自動遮断するSubGateはEDRの課題を補完する役割を担います。またマルウェア侵入後の被害を最小限に留め、自社ネットワークが踏み台攻撃に利用されることを回避するSubGateの特長は、サプライチェーンのセキュリティ強化にも大きな意味を持ちます。


*1
セキュリティ対策の取引条件化が進行
―ソリトン、「サプライチェーンセキュリティ実態調査2026」を公開 ―
https://www.soliton.co.jp/news/2026/006819.html

*2
サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に関する注意喚起
https://www.meti.go.jp/policy/netsecurity/20260427_scs.html



ライター：滝本一帆