「取引先から、自社の情報セキュリティ対策について聞かれたら、何を実施しているか説明できますか？」
顧客情報や業務データを預かる企業にとって、情報セキュリティは自社だけの問題ではありません。委託先で起きた情報漏えいやシステム停止が、取引先の事業にも影響するためです。
こうしたサプライチェーン全体のリスクを踏まえ、企業の対策状況を共通の基準で見えるようにする「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の準備が進んでいます。今回は制度の概要と、中小企業が今から取り組めることを整理します。IPA 独立行政法人 情報処理推進機構
SCS評価制度で何が変わるのか
SCS評価制度は、サプライチェーンにおける企業の役割やリスクに応じて、必要なセキュリティ対策を示す仕組みです。取引に際して、発注側が委託先に適切な対策の段階（★）を示し、その実施状況を確認することが想定されています。
公表されている概要では、★3は一般的なサイバー脅威に対処するための水準、★4は侵入後の被害拡大防止や取引先のデータ・システムの保護も視野に入れた水準です。★3・★4の運用開始は2027年3月頃の予定とされています。IPA 独立行政法人 情報処理推進機構
現時点で、すべての中小企業に一律の★取得が義務付けられたわけではありません。自社にどのような対策が求められるかは、取引の内容や預かる情報を踏まえて考える必要があります。
まずは「守るべき情報」を具体的にする
制度の詳細を待つ間にも、自社でできることがあります。最初の一歩は、日々扱っている情報と業務を洗い出すことです。
たとえば、顧客名簿、見積書、設計データ、取引先から借りているアカウント。これらについて、次の三つを確認してみてください。
- 外部に漏れたら、誰に影響するか
- 内容が書き換わったら、どの判断を誤るか
- システムが使えなくなったら、どの業務が止まるか
情報漏えいだけに目を向けず、データの正確さや、必要なときに使える状態も含めて考えると、優先すべき対策が見えてきます。
対策を「決めた」から「実行できる」へ
次に確認したいのは、対策が日常業務で実行されているかどうかです。
不審なメールを受け取ったとき、社員はどこに相談するでしょうか。誤送信に気づいたとき、最初に誰へ報告するでしょうか。バックアップは取っていても、復元できるか確認しているでしょうか。
IPAは、2026年に改訂した「中小企業の情報セキュリティ対策ガイドライン」で、基本的な取り組みに「バックアップを取ろう！」を追加しました。社内ルールを整えるだけでなく、担当者、実施方法、確認方法まで具体化することが大切です。IPA 独立行政法人 情報処理推進機構
社員研修では「迷う場面」を練習する
情報セキュリティ研修を、脅威の名前を覚えるだけで終わらせないことも重要です。実際の業務で判断に迷う場面を扱うと、研修後の行動につながります。
たとえば、不審なメールのリンクを開く前に何を確認するか。顧客データを社外のサービスで分析したいときに、誰に相談するか。誤送信をしたときに、どの順番で報告するか。
加えて、データを安全に守れても、誤ったグラフや集計結果を根拠に判断してしまえば、情報を適切に活用できているとはいえません。情報を守る力と、データを正しく読み解く力を一緒に育てることが、現場での判断を支えます。
情報セキュリティ研修を準備したい方へ
当ショップの「情報セキュリティとデーリテラシー」研修教材は、全階層を対象とした約2.5時間のプログラムです。
情報セキュリティの基本、サイバー脅威、日常業務での実践、インシデント発生時の報告に加え、データの読み方やデータに基づく判断も扱います。30枚のスライド、講師ノート、ワークシートが付属し、編集して自社の事例や連絡先を盛り込めます。価格は15,000円（税込）です。企業研修教材・研修マニュアル｜すぐに使えるPowerPoint教材
この教材は、SCS評価制度の★取得を保証するものではありません。自社の対策を点検する取り組みとあわせて、社員が情報を安全かつ適切に扱うための研修素材としてご活用ください。
まとめ
SCS評価制度は、中小企業が取引先に説明できるセキュリティ対策を考えるきっかけになります。まずは自社が扱う情報と、業務が止まった場合の影響を整理すること。そのうえで基本対策を点検し、社員が迷いやすい場面を研修で練習することから始めてみてはいかがでしょうか。
制度の申請方法や開始時期は、公開時にIPAの公式情報を再確認してください。