本コラムは、SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）への対応を、実際の診断現場から見えてきた知見をもとに読み解く連載です。第1回となる今回は、診断を通じて見えてきた現状の傾向と、制度そのものが持つ構造的な性質について取り上げます。
今年度に入り、SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の取得支援やコンサルティングに関するお問い合わせが急増しています。当グループでも、これに応える形で、診断・規程作成から運用支援・各種教育支援まで、一貫したソリューションをご用意しています（制度開始までに随時アップデートを継続していきます）。
4月以降、実際に要求事項・評価基準に沿った診断を複数の事業者様に対して実施してきました。その中で見えてきたのが、「検知」以降の対策が、意外なほど手薄であるという傾向です。ネットワークの接続状況や端末の挙動を監視する仕組み、インシデントが発生した際の対応手順、そしてバックアップからの復旧体制。これらが、規程としても実装としても整っていないケースが目立ちます。
理由は、決して各社の取り組み不足が原因というわけではありません。多くの企業にとって、これまでのセキュリティ対策とは「侵入させない」ための事前防御が主軸でした。ファイアウォールを立て、ウイルス対策ソフトを入れ、パスワードルールを定める。これは間違った投資ではありませんが、「万が一、侵入された後にどうするか」という発想が、後回しになりがちだったということです。
10月には、SCS評価制度の要求事項・評価基準の解説書と、事業者自身が適合・不適合を判断するための取得ガイドが公表される予定です。制度の本格運用開始まで、残された時間は半年余りです。この記事を読んで、自社の対応状況に不安を感じた方は、制度の本格運用開始を見据え、今から準備を進めていくことをおすすめします。
★3や★4の取得は、決して「セキュリティ対策が完了した」ことを意味しません。リスクアセスメントが不要になるわけでもありません。
SCS評価制度の要求事項・評価基準の最大の特徴は、ベースラインアプローチにあります。すべての対象事業者に共通の最低基準を示すことで、発注者・受注者双方の負担を軽減する。これは制度趣旨として妥当ですし、価値のある設計です。
しかし、実際のセキュリティ対策には、リスクベースアプローチが欠かせません。たとえばEDR（Endpoint Detection and Response）の導入ひとつをとっても、「どのような振る舞いを異常として検知すべきか」というリスクの中身は、企業によって異なります。また、事業継続や情報漏洩への影響がほとんどない端末にまで、一律にEDRを導入する必要があるのか。これは本来、各社が自らのリスクアセスメントに基づいて判断すべき投資判断のはずです。
制度方針を読むと、★3は「最低限のレベル」、★4は「標準的なレベル」という位置づけが示されています。ここで注意したいのが、「うちは★3で十分」「★4を取れば標準レベルのセキュリティを確保できる」と考えてしまうことです。
しかし、これらの★は、あくまで事業者が制度を取得するかどうかを判断するためのガイドラインです。今のサイバー攻撃に対して本当に必要な対策水準そのものではありません。では、その「本当に必要な水準」は誰が決めるのか。それは本来、各事業者が自らリスクアセスメントを行って明確にすべきものであり、それを要求事項として掲げているのがISMSです。実際、現在策定中の★5は、ISMSと調和的な関係に位置づけられています（制度方針より）。
興味深いのは、ISMSを取得している事業者であっても、SCS評価制度の★3の要求事項・評価基準に100%適合していないケースが、診断を通じて散見されるということです。ここには、ベースラインアプローチとリスクベースアプローチの間にある、構造的なズレが表れています。
ISMSのようなリスクベースアプローチでは、リスクアセスメントの結果、講じるべき管理策をピックアップし、その選択肢の中に、SCSでいう★3水準・★4水準に相当する対策が考えられる際、どちらを選ぶかで必ずしも★4水準を目指すのではなく、★3水準の管理策を実装することで、審査において「適合」と判定されることがあります。つまり、SCS評価制度において★3か★4のどちらを選ぶかという判断は、意図せずして、ISMSにおけるリスクアセスメントプロセスにおける選択肢を、リスク分析や経営承認といった本来必要となるプロセスを十分に経ないまま選択してしまうことと、実質的に同じ効果を持ってしまう場合があるのです。★3という、よりハードルの低い方を選ぶことは、その先にあるリスクを、実質的に受け入れる判断につながりかねません。
ISMSの本来のリスクアセスメントは、リスクを低減や回避などをするための手段です。もちろん、受容という選択肢もあります（だから、審査で「適合」判定になり得る）。それが、リスクを見送る（受容する）方向に偏って働くのであれば、「サイバーセキュリティ対策の標準レベル」が企業ごとに異なるという状況が生じる可能性があります。SCS評価制度は、このリスクアセスメントの手続きを実質的に省略した意思決定を通じて、特定の対策レベルが業界に一律に広がっていく可能性を秘めているとも言えるのです。
サプライチェーンを構成する企業の多くが、リスクアセスメントを経ないまま同じ最低ラインに収斂していくとすれば、攻撃者にとっては、ひとつの、あるいは似たような攻め方が、複数の事業者に対して同時に通用しやすくなる可能性があるということです。
制度に書かれていないからといって対策をしない、あるいは一度整えた対策のまま更新しないというのは、変化し続けるサイバー攻撃の手法やリスクを前提とすれば、制度の趣旨そのものにも反する姿勢だと私たちは考えています。だからこそ、制度対応と並行して、自社のリスクに応じた判断ができる伴走支援が必要です。
これを読んで、自社の対応状況に不安を感じた方は、今すぐ、ご連絡ください。
