【中小企業向け】「SCS評価制度」の概要と対策。対策を怠ると取引停止の可能性も!?

【中小企業向け】「SCS評価制度」の概要と対策。対策を怠ると取引停止の可能性も!?

2026年7月24日

サプライチェーンを狙うサイバー攻撃、なぜ中小企業が狙われるのか？

近年、多くの企業や組織においてサプライチェーンに含まれる中小企業を狙った「セキュリティ攻撃」の増加が深刻な課題となっています。

サプライチェーンとは、製品の原材料の調達から製造、物流、販売を経て消費者に届くまでの、ビジネスの一連の流れ(つながり)のことです。
昨今のサイバー攻撃では、セキュリティが強固な大企業を直接狙うのではなく、対策の比較的甘い中小企業の取引先や委託先を最初のターゲットにしています。

ここで誤解されがちなのが、攻撃者は大企業との繋がりの有無に関係なく中小企業を踏み台として「大企業への攻撃」を行うため、全ての中小企業が攻撃の対象となるのです。

 

狙われる「経路」とは「中小企業」そのもの

攻撃者は、大企業へ不正侵入するための「踏み台」として、セキュリティ対策の甘い中小企業に侵入し、その企業自身に対しても攻撃を仕掛けてきます。

最近では、以下のような被害が発生しています。

 

 

「自分たちは大丈夫！」という油断が最大の弱点

根拠のない油断が、セキュリティにおける最大の「弱点」となります。
サプライチェーン攻撃において注意すべきことは、自社が攻撃の「踏み台」にされるリスクだけではありません。「被害者」となった企業自身もまた、様々な被害を受けます。

次のデータは被害に遭った企業が、どのような損害や負担を負うことになったのかを調査した結果です。

１位：サービスが止まったことによる利益の損失（36.1%）
２位：顧客・取引先への賠償・補償（32.4%）
３位：調査や復旧にかかる莫大なコスト（23.2%）

など、会社のお金や信用に直接影響する被害が挙げられています。
現代のビジネス環境において、セキュリティは自社だけの課題ではありません。
あらゆる中小企業が「ビジネスパートナーの一員 」としての意識を持ち、全員でセキュリティ対策に取り組んでいくことが重要になっています。

 

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）とは？

このようなリスクに対抗するため、経済産業省が中心となって推進しているのが、SCS評価制度(サプライチェーン強化に向けたセキュリティ対策評価制度)です。

一言で言えば、「発注側が、委託側(取引先)に対して『我が社の基準を満たすセキュリティ対策ができているか』をチェック・格付けする仕組み」で、セキュリティレベルを5段階に区分けしています。

新たに創設される「SCS評価制度」は★3からスタートする枠組みですが、その前段階にあたる★1（一つ星）および★2（二つ星）には、IPA（独立行政法人情報処理推進機構）の「SECURITY ACTION」がそのまま位置付けられます。
「SECURITY ACTION」は、中小企業が自発的な情報セキュリティ対策への取り組みを自己宣言する制度であり、新制度でもその実績が引き継がれる形となります。

セキュリティ対策の段階は「★3」および「★4」の2区分とし、それぞれの基準に基づいて評価を行います。
なお、「★5」の具体的な対策基準や評価方法については、2026年末以降に策定予定となっております。

 

• はじめてのセキュリティ水準：★1（SECURITY ACTION）
• どんなレベル？：
  セキュリティ対策に初めて取り組む企業が、今日からでもスタートできる「最初の一歩」のレベルです。
• 主な対策：
  「情報セキュリティ5か条」の実施。具体的には、OSやソフトを最新にする、ウイルス対策ソフトを入れる、パスワードを強くする、共有設定を見直す、脅威の手口を知る、という基本中の基本の5つです。
• 評価方法：
  企業自らが「情報セキュリティ5か条に取り組みます」と自己宣言することです。

 

• 組織的なルールづくりの水準：★2（SECURITY ACTION）
• どんなレベル？：
  自社のセキュリティの「現状」を客観的に把握し、会社として守るべきルールを明文化して外にアピールできるレベルです。
• 主な対策：
  ★1の5か条に加え、IPAが用意した25項目の「情報セキュリティ自社診断」を実施し、自社の強みと弱みを分析します。その上で、経営者として「情報セキュリティ基本方針」を策定・外部に公開します。
• 評価方法：
  こちらも審査はありません。自社診断と基本方針の公開を終えた段階で、自己宣言を行います。

 

• すべての企業が目指す基礎水準：★3（Basic）
• どんなレベル？：
  一般的なサイバー攻撃から自社を守るための、最低限の防御ができているレベルです。
• 主な対策：
  アクセス権の管理、パソコンやスマートフォンのセキュリティ、万が一ウイルスに感染した際の連絡ルートの整備など、基本的な対策が中心です。
• 評価方法：
  83項目について、自社で評価した上で認定を受けたセキュリティ専門家が評価を行います。

 

• 信頼される標準水準：★4（Standard）
• どんなレベル？：
  万が一、ウイルスに「侵入された後」のことまで想定したレベルです。被害を最小限に食い止め、取引先（お客様）に被害を広げないための包括的な体制が求められます。
• 主な対策：
  ★3の対策に加え、サイバー攻撃を素早く検知する仕組み（EDRなど）、取引先の管理体制、組織全体のセキュリティルール（ガバナンス）の確立などが含まれます。
• 評価方法：
  157項目について、IPAが指定した「第三者評価機関」が評価を行います。

 

一般的な中小企業の場合、「★3」を目指すことが望ましいと言われています。

 

「サプライチェーン攻撃」の対策を怠る中小企業に潜むリスク

サイバー攻撃を狙われた場合、これらの被害が起こる可能性があります。

 

1.　取引先への「踏み台」にされ、取引先の信頼を失う

自社のシステムやネットワークが乗っ取られ、本当に狙われている親会社や主要な取引先を攻撃するための「侵入口」や「踏み台」として悪用されてしまいます。

2.　取引停止や経営危機の直面

製品によっては、便利な機能が実装されている場合があります。
自社の管理・運用方法に応じて、これらの機能も考慮してみましょう。

3.　自社の業務停止と復旧コスト

ランサムウェアなどの被害による業務影響が発生し、社内のPCやサーバーが暗号化され、受発注、製造、出荷などの業務がストップします。

4.　企業ブランド・社会的信用の崩壊

「加害者」としての報道： 情報漏洩やサイバー事件として実名で報道・公表され、「セキュリティ意識の低い会社」というレッテルが貼られます。

 

対策をすれば「強力な営業武器」や「自社の信用力」になる

競合他社が対応に遅れている中で、いち早くセキュリティ体制を整えて、「国の基準をクリアしています！」とアピールできれば、発注側から「安心して仕事を任せられる信頼できるパートナー」として選ばれやすくなります。また、営業先の新規開拓の強力な武器になります。

2026年度末の本格運用に向けて注目が集まるSCS評価制度(サプライチェーン強化に向けたセキュリティ対策評価制度)。
発注側から提示されるクリアすべきステップ（★）に応えるためには、自社の全体的なセキュリティ対策や、PCなどの端末の管理状況の可視化が強く求められます。

そうは言っても 、「どこから手をつければいいか分からない」という中小企業のご担当者様も多いと思います。まずは、サプライチェーン攻撃のリスクを最小限に抑え、SCS評価制度の基準をしっかりとクリアしていくための「今すぐできるアプローチ」から着手しましょう。
自社の弱点に合わせて、以下の防御策から自社に必要な対策をぜひご検討ください

 

まずはここから！　中小企業が今すぐできるアプローチ！

【IT基盤の防御】社内ネットワークからの感染拡大を防ぐ

SCS制度でも必須となるIT基盤の管理。万が一、1台のPCがウイルスに感染しても、他のサーバーや重要機器に被害を広げないための「内部対策」が重要です。

 

【情報漏えい防止】取引先とのデータやり取りを安全にする

サプライチェーン上でインシデントが起きやすいのがファイルの受け渡しです。
安全にファイルの受け渡しを行い情報漏洩を防ぎます。

 

【メール対策】ヒューマンエラーによる機密流出をなくす

日々の業務で発生しがちな「メールの宛先間違い」や「添付ファイルのミス」をシステム側で自動的にブロック・チェックする仕組みを導入します。

 

【認証の強化】「なりすまし」や不適切なアクセスを遮断する

社内ネットワークやWi-Fi環境への不正アクセスを防ぐには、「誰が、どの端末からアクセスしているか」を厳格に認証する必要があります。

 

 

お問い合わせはこちら

お問い合わせや相談も受け付けております。以下よりお気軽にどうぞ。
＼ご相談・お見積り無料／
お問い合わせフォーム