はじめに

「うちは小さな会社だから、サイバー攻撃なんて関係ない」
「大企業やIT企業の話でしょ」
「取引先から何か言われたら、その時に考えればいい」

もし、そう感じているなら、少しだけ立ち止まって考えてみてください。

今、サイバー攻撃は大企業だけを狙うものではありません。むしろ、取引先や委託先など、つながりのある企業を入口にして攻撃が広がるケースが問題になっています。

経済産業省と内閣官房国家サイバー統括室は、こうした背景を受けて「サプライチェーン強化に向けたセキュリティ対策評価制度」、いわゆるSCS評価制度の構築方針を公表しています。これは、企業のセキュリティ対策状況を共通の基準で見える化し、サプライチェーン全体の安全性を高めるための制度です。

なぜ今、サプライチェーンのセキュリティが問題なのか

サプライチェーンとは、商品やサービスを提供するまでに関わる企業同士のつながりのことです。

たとえば、製造会社であれば、部品会社、物流会社、外注先、システム会社、販売代理店などが関係します。IT企業でなくても、メール、請求書、顧客情報、受発注システム、クラウドサービスを使っていれば、すでにデジタル上のつながりがあります。

攻撃者は、必ずしも一番大きな会社を正面から狙うとは限りません。セキュリティ対策が弱い取引先や委託先を入口にして、そこから本来の標的へ近づくことがあります。

IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの脅威として「ランサム攻撃による被害」が1位、「サプライチェーンや委託先を狙った攻撃」が2位に挙げられています。

つまり、これは一部の大企業だけの話ではなく、企業間取引をしているすべての会社に関係する話です。

SCS評価制度とは何か

SCS評価制度は、企業のセキュリティ対策状況を共通の基準で評価し、見える化するための制度です。

経済産業省の説明では、委託元企業は「取引先のセキュリティ対策状況が外から判断しづらい」という課題を抱えています。一方、委託先企業は「取引先ごとに違うチェックリストや対策を求められて負担が大きい」という課題を抱えています。SCS評価制度は、こうした双方の負担を減らしながら、サプライチェーン全体のセキュリティ水準を底上げする仕組みとして位置づけられています。

簡単に言えば、

「あなたの会社は、取引先として最低限どのくらい安全に業務を任せられる状態ですか？」

を、共通のものさしで示す制度です。

中小企業・零細企業にも関係する理由

「うちは発注元ではなく、受注側だから関係ない」と思うかもしれません。

しかし、むしろ受注側の中小企業こそ関係があります。

SCS評価制度では、2社間の取引契約などにおいて、委託元が委託先に必要な段階、つまり★を提示し、対策を促し、実施状況を確認することが想定されています。

制度自体は任意とされていますが、取引の現場では「この仕事を任せるなら、最低限このレベルの対策はしておいてください」という確認が増える可能性があります。

IPAも、サプライチェーンを構成する中小企業はセキュリティ対策のリソースが限られやすく、自社のリスクを踏まえた対策のハードルが高いため、この制度の活用効果が大きいと説明しています。

「まだ先の話」と思うことの危険性

SCS評価制度の★3・★4は、2026年度末頃の制度開始、つまり申請受付開始を目指すとされています。

「まだ時間がある」と思うかもしれません。

しかし、セキュリティ対策は、書類を1枚作れば終わるものではありません。パソコン管理、パスワード、バックアップ、ウイルス対策、社内ルール、委託先管理、事故発生時の連絡体制など、日々の業務に関わる部分を少しずつ整える必要があります。

しかも、ランサムウェア被害は中小企業にも広がっています。警察庁の資料では、中小企業のランサムウェア被害が前年比で約4割増加したことが示され、VPN機器などのソフトウェア更新、パスワード強化、バックアップ、ログ取得などの基本対策が呼びかけられています。

「何か言われてから対応する」では、間に合わない可能性があります。

今日から確認したい最初の一歩

まずは、難しい専門用語を覚える必要はありません。

最初に確認すべきことは、次のような基本です。

• 自社で使っているパソコン、サーバー、クラウド、メール、VPN、業務システムを把握できているか。
• 退職者のアカウントが残っていないか。
• 重要なデータのバックアップがあり、復元できるか。
• セキュリティ事故が起きた時、誰に連絡するか決まっているか。
• 取引先からセキュリティ確認を求められた時、答えられる資料があるか。

これらは、特別な大企業向けの話ではありません。会社を守るための基本です。

まとめ＋要約

SCS評価制度は、サプライチェーン全体のセキュリティ対策を見える化するための制度です。

制度自体は任意ですが、取引先から対策状況の確認を求められる場面は増える可能性があります。

中小企業・零細企業であっても、取引先、委託先、外注先として関わっている以上、無関係ではありません。

ランサムウェアやサプライチェーン攻撃のリスクが高まる中で、早めに基本対策を整えることが、取引継続と信頼確保につながります。

FAQ