SCS評価制度対応と言われたら何を確認すべきか｜不安を煽る勧誘に惑わされない委託先管理

サプライチェーン全体のセキュリティ対策への関心が高まるなかで、「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」という言葉を耳にする機会が増えてきました。委託先管理やセキュリティチェックシートの運用に関わる担当者のなかには、取引先や営業先から「SCS対応が必要になる」「今すぐ評価を取得したほうがよい」「この製品を入れれば対応できる」といった説明を受けた方もいるかもしれません。

ただ、こうした説明をそのまま受け取る前に、立ち止まって確認したいことがあります。SCS評価制度は、制度開始に向けて準備が進められている任意の枠組みであり、特定製品の導入や即時の評価取得を迫るものではありません。実際に、経済産業省と内閣官房国家サイバー統括室は、本制度を引き合いにした不適切な勧誘について注意喚起を発表しています。

この記事では、制度そのものの解説を繰り返すのではなく、「SCS評価制度対応」と言われたときに、何を確認し、どこまで準備すればよいのかを、情シス・総務・法務・委託先管理の担当者の目線で考えます。SCS評価制度の全体像や委託先管理への影響そのものは、既存記事「SCS評価制度を見据えた委託先管理」で詳しく解説していますので、制度の基本を押さえたい場合はそちらをご覧ください。委託元として★3・★4のどちらを求めるかを検討する場合は、SCS評価制度★3・★4を委託先へ求めるとき、何をどう依頼すればいいかが参考になります。

営業や提案を受けたとき、その内容が制度の趣旨と合っているかを見分ける材料があると、落ち着いて判断できます。
確認したいのは、大きく次の3つです。

最初に確認したいのは、説明されている内容が、公式情報と一致しているかどうかです。

SCS評価制度は、経済産業省と内閣官房国家サイバー統括室が制度構築方針や注意喚起を公表し、IPA（情報処理推進機構）が特設サイトで詳細情報を公開しながら準備が進められている制度です。
要求事項や評価基準、よくある質問なども、IPAの特設サイトで順次公開されています。

営業や提案の内容に不安を感じたときは、その場で判断せず、まず経済産業省やIPAの公式情報と照らし合わせてください。
経済産業省・内閣官房も、制度の詳細はスキームオーナーであるIPAが構築・周知するため、IPAから正しい情報を入手するよう案内しています。
説明と公式情報がずれている場合は、その提案を急いで受け入れる必要はありません。

次に確認したいのは、その提案が「評価取得を保証する」かのような説明になっていないかです。

制度開始の時期については、公式情報で2026年度末頃の開始が目指されています。2026年6月時点では、今後も要求事項や評価基準、申請方法などの関連情報が順次公開・更新されていく段階です。制度の詳細が順次公開・更新されている段階で、「確実に評価を取得できる」「導入すれば対応が完了する」と言い切る説明には、慎重になったほうがよいでしょう。

提案を見るときは、それが「評価取得の代行や保証」をうたっているのか、「委託先確認の運用を支援する」ものなのかを分けて捉えると、判断しやすくなります。前者を保証する説明には注意が必要です。

3つ目は、特定の製品やツールの導入が、あたかも必須であるかのように説明されていないかです。

SCS評価制度は、セキュリティ対策の「状態」を確認する枠組みであり、評価基準を達成するために特定のセキュリティ対策製品の導入が必須とされているものではありません。「この製品を導入しないと対応できない」という説明は、制度の趣旨とは異なります。

実際、経済産業省・内閣官房が発した注意喚起では、「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」といった、不安を煽る営業文言が問題として挙げられています。こうした説明を受けたときこそ、公式情報に立ち返って確認することが大切です。

確認の話を一歩進めると、SCS評価制度で問われるのは、何かを導入したという事実ではなく、実際にどう運用されているかです。

たとえば、アカウントの管理、アクセス権限の管理、ログの取得・保管、インシデント発生時の対応、委託先の管理といった日々の運用は、製品を導入しただけで整うものではありません。ツールを入れても、運用ルールが定まっていなかったり、設定が放置されていたりすれば、対策が機能しているとは言いにくくなります。

「製品を入れたから対応済み」と考えてしまうと、そこで思考が止まり、実際に何をどう運用し、それをどう確認したのかという記録が残りません。
SCS評価制度を見据えるうえで効いてくるのは、導入したツールの数ではなく、自社や委託先が行っている対策を、根拠とともに説明できる状態になっているかどうかです。

ここからは、委託元（発注側）と委託先（受注側）、それぞれの立場で考えてみます。まず委託元の側です。

委託元が、すべての委託先に対して一律で高い水準の確認を求めればよい、というものではありません。委託している業務の内容、取り扱う情報の重要度、自社システムへのアクセスの有無、再委託の有無によって、求めるべき確認の深さは変わります。重要な情報を預ける委託先と、限定的な業務だけを担う委託先に同じ確認を課すのは、現実的とは言えません。

一律に高い水準を求めると、委託先の負担が増えるだけでなく、回答が形だけのものになりやすくなります。とりあえず項目を埋めて返す、という対応を誘発してしまえば、確認したという形は残っても、対策の実態は見えにくくなります。

そのため委託元には、すべての相手に同じ確認を求めるのではなく、業務内容や取扱情報に応じて確認の深さを変える姿勢が求められます。そして、なぜその委託先にはその水準の確認にしたのか、という判断の理由を残しておくことが大切です。確認の深さを変えた根拠が残っていれば、あとから第三者にも説明できますし、委託先との対話の土台にもなります。

次に、委託先（受注側）の立場です。
発注元から、自社の業務範囲に見合わないほど詳細なチェックや、高い段階の対応を求められる場面もあるかもしれません。

そのときに大切なのは、感覚で「そこまでは不要では」と反論することではなく、自社の対策状況を、根拠を示しながら説明できることです。説明できる材料を手元に持っているかどうかで、対話の質が変わります。

そのために、日頃から次のようなものをそろえておくと役立ちます。情報セキュリティに関する規程、取得している認証、自己点検の結果、アクセス管理やログ管理などの運用記録、従業員への教育記録、インシデント発生時の対応手順などです。あわせて、自社が請け負っている業務の範囲と、その業務で取り扱う情報の範囲を明確にしておくことも重要です。

これらがそろっていれば、「この業務範囲であれば、ここまでの確認が妥当ではないか」と、具体的な材料をもとに発注元と話し合えます。SCS評価制度は、発注側と受注側が業務リスクに応じた対策の段階を確認し合うことを想定した枠組みです。一方的に要求を飲むのでも、感覚で押し返すのでもなく、現実的な確認方法を相手と相談できる状態をつくっておくことが、委託先側の備えになります。

すでにISMS（ISO/IEC 27001）やプライバシーマーク、IPAのSECURITY ACTIONに取り組んでいる企業も多いと思います。SCS評価制度が始まると、これらの取り組みが無駄になってしまうのか、という不安を感じるかもしれませんが、そうではありません。

SCS評価制度では、ISMSについて相互補完的な制度と位置づけられています。一方で、ISMSやPマーク、SECURITY ACTIONなどの既存の認証・取り組みがあれば、SCS評価制度に関する確認がすべて不要になる、という意味ではありません。

これまで積み上げてきたセキュリティ対策の取り組みは、対策状況を説明するうえでの重要な材料になります。認証書や宣言そのものだけでなく、その背後にある規程、運用記録、教育記録、自己点検結果などをあわせて示せる状態にしておくことが重要です。

委託先確認の場面で「この認証や取り組みは、こうした運用に支えられている」と示せる状態にしておけば、既存の取り組みをそのまま説明材料として活かせます。

ここまで見てきたことをまとめると、今すぐ評価取得を急ぐより先に取り組めるのは、委託先確認の履歴を残せる状態をつくることです。制度の詳細が順次公開されていく段階だからこそ、日々の確認のプロセスを記録に残しておくことが、後々の備えになります。

具体的には、委託先ごとに次のような記録を残しておくと、確認の経緯をあとからたどれます。何を確認したか。どの回答根拠を見たか。どの証跡資料を確認したか。誰が確認済みと判断したか。差し戻しをした場合、その理由は何か。前回の確認から何が変わったか。

こうした記録が残っていれば、制度の要求事項が具体化したあとでも、自社の確認状況を説明しやすくなります。逆に、確認したという結果だけが残り、その経緯が追えない状態だと、制度が動き出してから資料を集め直すことになりかねません。

委託先確認をExcelやメールで運用すること自体は、委託先の数が限られているうちは十分に可能です。ただ、確認の履歴を残すという視点で見ると、規模が大きくなるにつれて難しくなる場面が出てきます。

回答ファイル、添付された証跡資料、確認コメント、差し戻しのやり取りが、それぞれ別の場所に残ることになり、どれが最新版なのかが分かりにくくなります。どの根拠を見て確認済みと判断したのかがたどれなくなり、前回との差分の確認も目視に頼ることになります。担当者が変わると、それまでの確認の経緯が引き継がれず、判断の理由が分からなくなることもあります。

SCS評価制度を見据えるなら、確認の結果だけでなく、その証跡と判断の履歴を後からたどれる状態にしておくことが重要になります。Excel運用で起きやすい課題は、既存記事「セキュリティチェックをExcelで管理する限界」でも詳しく解説しています。

マモリスは、SCS評価制度への準拠や評価取得を保証するツールではありません。また、制度の公認ツールでもありません。この点は、はじめに明確にしておきます。

そのうえで、マモリスは、ここまで述べてきた委託先確認の運用を整えるために活用できます。チェックシートの作成、回答依頼、回収状況の管理、差し戻し、確認済みの管理、前回回答の確認、回答への資料添付、PDFでの証跡保管、そして自社としての判断履歴の保存に対応しています。

これらにより、誰に何を確認し、どの根拠を見て、自社としてどう判断したのかという確認の経緯を、委託先ごとに残せます。評価取得そのものではなく、説明できる証跡と判断履歴を蓄積していく運用づくりを支えるツールとして、SCS評価制度を見据えた委託先確認の土台を整えやすくなります。

SCS評価制度対応と言われたときに、まず立ち返りたいのは公式情報です。制度は任意の枠組みとして準備が進められており、特定製品の導入を必須とするものでも、即時の評価取得を迫るものでもありません。「取得しないと取引できない」「入札から除外される」といった説明には、注意が必要です。

実務として大切なのは、評価取得を急ぐことよりも、委託先確認の運用を整えることです。委託元は、すべての委託先に同じ水準を求めるのではなく、業務のリスクに応じて確認の深さを変え、その判断理由を残す。委託先は、自社の対策状況を説明できる証跡をそろえ、業務範囲に見合った確認について対話できるようにしておく。ISMSやPマーク、SECURITY ACTIONといった既存の取り組みは、その説明材料として活かせます。

そして、チェックシートの回答そのものだけでなく、回答根拠、証跡資料、判断履歴を残しておくことが、制度の詳細が固まったあとの備えになります。マモリスは評価取得を保証するものではありませんが、こうした委託先確認の運用を整えるために役立つツールです。

Q1. SCS評価制度対応をうたう営業を受けた場合、どう確認すればよいですか？

まず、経済産業省やIPAなどの公式情報と照らし合わせてください。SCS評価制度は任意制度として準備が進められており、特定の製品導入が必須とされているものではありません。「今すぐ評価を取得しないと取引できない」「入札から除外される」といった説明を受けた場合は、公式情報に基づいて慎重に確認することが重要です。

Q2. ISMSやPマークを取得していれば、SCS評価制度への準備は不要ですか？

不要とは言い切れません。ISMSやPマークなどの既存認証、SECURITY ACTIONのような既存の取り組みは、セキュリティ対策状況を説明する重要な材料になります。ただし、それだけでSCS評価制度に関する確認がすべて不要になるわけではありません。認証書や宣言だけでなく、規程、運用記録、教育記録、自己点検結果などをそろえ、必要に応じて説明できる状態にしておくことが重要です。

Q3. 委託元として、すべての委託先に同じ確認を求めるべきですか？

一律に同じ確認を求めればよいわけではありません。委託業務の内容、取り扱う情報、システムへのアクセス有無、再委託の有無によって、必要な確認の深さは変わります。重要なのは、委託先ごとのリスクに応じて確認項目や証跡資料を調整し、なぜその確認水準にしたのかという判断理由を残すことです。

Q4. マモリスを使えばSCS評価制度に対応できますか？

マモリスは、SCS評価制度への準拠や評価取得を保証するツールではありません。ただし、委託先へのチェックシート作成、回答依頼、回収状況管理、差し戻し、確認済み管理、前回回答の確認、資料添付、PDF保存など、委託先確認の運用を整えるために活用できます。評価取得そのものではなく、確認履歴や証跡を残す運用づくりを支援するツールです。

• 経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に係る不適切な勧誘に御注意ください」
• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」を公表しました
• IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」特設サイト
• IPA「SCS評価制度の詳細情報」
• IPA「要求事項・評価基準」