「サプライチェーン強化に向けたセキュリティ対策評価制度」の全体像｜企業は何を求められ、どう対応すべきか

1. サプライチェーン攻撃が「経営リスク」になった背景

 近年、サイバー攻撃はあらゆる業種、業態の組織に影響を及ぼす経営リスクとして認識され始めています。とりわけ注目されているのが、取引先や委託先を起点に被害が連鎖する「サプライチェーン攻撃」です。自社のシステムが直接侵害されていなくても、セキュリティ対策が不十分な取引先を経由して情報漏えいや業務停止に至るケースが相次いでいます。その意味で、セキュリティの確保はいまや個々の企業努力に委ねられる段階を超えており、サプライチェーン全体でのセキュリティ対策の強化が必須といえます。

実際、独立行政法人 情報処理推進機構（IPA）が公開している「情報セキュリティ10大脅威 2025」においても、組織の脅威として「サプライチェーンや委託先を狙った攻撃」が7年連続で選ばれています（2025年度の順位は2位／図1）。サプライチェーンが複雑化・多層化する中で「どこまで対策できていれば十分なのか」を個社ごとに判断することは、ますます難しくなっているといえるでしょう。

図1：組織における「情報セキュリティ10大脅威」

出典：独立行政法人 情報処理推進機構（IPA）「情報セキュリティ10大脅威 2025」を基に作成

この問題をさらに複雑にしているのが、セキュリティ対策水準のばらつきです。発注者側が高いセキュリティ水準を求めていても、受注者側の体制や成熟度はさまざまで、要求内容や評価基準が統一されていないケースが多く見られます。

その結果、取引ごとに異なる質問票や監査対応が求められ、企業側の負担が増大すると同時に、実効性のあるリスク低減につながっていない課題も指摘されています。

さらに、サプライチェーン攻撃の影響は、単なる情報漏えいにとどまりません。生産停止やサービス停止、ブランド価値の毀損、取引関係の見直しなど、企業活動全体に波及する可能性があります。

IPAが2025年2月に公開した「2024年度中小企業における情報セキュリティ対策の実態調査報告書」によれば、2023年度にサイバーインシデントの被害を受けたと回答した企業のうち、約7割が「サイバーインシデントにより取引先に影響があった」と回答。そのうち「サービスの停止や遅延により取引先の利益が失われた」との回答は36.1%にのぼりました（図2）。

図2：「サービスの障害、遅延、停止による逸失利益」などの影響が挙げられている

出典：独立行政法人 情報処理推進機構（IPA）「2024年度中小企業における情報セキュリティ対策の実態調査報告書」を基に作成

特に社会インフラや重要産業に関わる企業では、サイバーインシデントが社会的混乱を引き起こすリスクも無視できません。こうした状況を受け、国としてもサプライチェーン全体のセキュリティ水準を底上げするための仕組みづくりに乗り出しています。その一つが、共通の評価基準で対策状況を評価・可視化する取り組みです。

2. 「サプライチェーン強化に向けたセキュリティ対策評価制度」とは何か

サプライチェーン全体でのセキュリティ対策強化が求められる中、日本の行政府が主導して整備を進めているのが「サプライチェーン強化に向けたセキュリティ対策評価制度」です。

同制度は、企業や組織が実施しているセキュリティ対策の状況を、共通の基準で評価・可視化することを目的としています。これにより、発注者・受注者双方が同じ物差しでリスクを認識し、取引におけるセキュリティ水準を合理的に判断できる環境を整える狙いがあります。

これまで、サプライチェーンにおけるセキュリティ評価は、各企業が独自に行うケースが一般的でした。そのため、発注者ごとに質問項目や評価観点が異なり、受注者側はその都度対応を迫られる一方、発注者側も「本当にリスクを把握できているのか」という不安を抱えたまま取引を継続せざるを得ない状況が続いてきました。今回の制度は、こうした非効率や不透明さを解消し、セキュリティ対策の“最低限の共通理解”を社会全体で形成することを目指しています。

（1）評価段階

制度の特徴の一つが、対策レベルを段階的に示す評価体系です。

評価は複数のレベルに分かれており、基本的な対策が実施されている状態から、より高度で組織的な対応ができている状態までを段階的に定義しています（図3）。これにより、すべての企業に一律の高度対策を求めるのではなく、事業内容や取引の重要性に応じた現実的な対応を促す設計となっています。発注者は、取引の性質に応じて必要な評価レベルを判断し、受注者は自社の現状を把握した上で段階的な改善を進めることが可能になります。

図3：セキュリティ対策の段階を（★3～★5）の3段階で評価することが予定されている

出典：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）」（SCS評価制度の構築方針（案））／2025年12月26日更新を基に作成

（2）評価項目

評価対象となる項目は、単なる技術対策の有無にとどまりません。「ガバナンス体制の整備」や「リスク管理の考え方」「インシデント発生時の対応プロセス」「復旧や再発防止の取り組み」など、組織としてのセキュリティ対応力を幅広くとらえる内容となっています。これは、サイバー攻撃が高度化・巧妙化する中で「防御」だけでなく「検知」「対応」「復旧」を含めた総合的なレジリエンス（＝しなやかな回復力）が重要視されていることの表れでもあります。

また、本制度は国際的なセキュリティフレームワークとの整合性も意識して設計されています。海外の標準やガイドラインと方向性をそろえることで、国内取引にとどまらず、グローバルなサプライチェーンにおいても活用しやすい枠組みとする狙いがあります。これにより、日本企業が海外企業と取引する際にも、自社のセキュリティ水準を客観的に説明しやすくなるという効果が期待されています。

（3）評価制度の意義

今回の評価制度は、単なるチェックリストや認証制度ではありません。企業に対して「どこまで対策できていれば十分なのか」を明確に示し、何を改善すべきかを考えるための指針として機能できる点に大きな意義があります。サプライチェーン全体のセキュリティ水準を引き上げる上では、発注者・受注者の双方が同じ視点で課題を共有し、段階的な改善に取り組むことが不可欠です。

なお、制度は2026年10月以降の運用開始が予定されています。今後は、制度の内容を踏まえた評価や確認が、段階的に実務の中に組み込まれていくことが想定されます。

3. 評価段階・評価項目が示す「これからのセキュリティ常識」

「サプライチェーン強化に向けたセキュリティ対策評価制度」を読み解く上で重要なポイントは、評価段階や評価項目を単なるチェックリストとしてとらえないことです。この制度は、企業に対して「最低限守るべきライン」から「目指すべき到達点」までを段階的に示しており、それを示すことでセキュリティ対策の考え方そのものをアップデートしようとしています。

例えば、先に触れた評価段階では、基本対策が実施されている状態から、組織的で高度な対応が可能な状態までを複数のレベルで表現しています。

ここで注目すべきは、最初の段階で求められているのが高度な技術対策ではなく、セキュリティに関する方針や体制、役割分担といった「ガバナンスの確立」である点です。これは、サイバー攻撃への対応力は、ツールなどの技術的な対策だけで決まるものではなく、組織としての意思決定やガバナンスの仕組みに大きく左右されるという認識が前提にあります。

評価項目を見ても、その考え方は明確です。NIST サイバーセキュリティフレームワーク（CSF）や ISO/IEC 27001との整合性を確保したかたちで、ガバナンス、リスク管理、委託先管理、インシデント対応、復旧・改善といった項目が網羅されており、「防御」だけでなく「検知」「対応」「復旧」までを含めた全体像が明確に示されています。

加えて、サプライチェーンを意識した評価項目が含まれている点も特徴的です。自社の対策状況だけでなく、委託先や再委託先の管理、契約時のセキュリティ要件の明確化などが評価対象となっており、発注者と受注者が同じ評価軸で対策状況を確認できるようにした上で、過度な要求や曖昧な確認を避け、建設的な対話につなげることが期待されています。

さらに、評価段階では、インシデント対応訓練の実施や、対策の継続的な見直しといった「運用の成熟度」も問われます。これは、セキュリティ対策を一度導入して終わりにするのではなく、事業環境や脅威の変化に応じて改善し続けることが前提となっていることを意味します。評価段階が上がるほど、経営層の関与や部門横断的な連携の重要性が高まる点も見逃せません。

まとめれば、今回の評価制度が目指しているのは「高度な対策を一部の企業だけが実施する世界」ではなく、「多くの企業が段階的にセキュリティ水準を引き上げていく世界」です。評価段階や評価項目は、そのための共通言語であり、企業が自社の立ち位置を把握し、次に何をすべきかを考えるための指針として機能します。

4. 企業はどう備えるべきか？ 発注者・受注者それぞれの実務対応

今回の評価制度に関しては、制度として理解するだけでは十分ではありません。重要なのは、自社が「発注者」と「受注者」のどちらの立場にあるのか、あるいは両方の立場を併せ持つのかを整理した上で、実務にどう制度を落とし込み、運用していくかを考えることです。

図4：発注者・受注者それぞれの実務対応と共通ゴール

（1）発注者側の対応

発注者側では、制度を単なるチェック手段として扱うのではなく、社内体制・社内方針の整備を含めて、どのように制度を運用していくかを検討することが重要となります。

発注者の立場にある企業にとって、今回の制度は「取引先にどこまでのセキュリティ対策を求めるか」を判断するための指針となります。これまで多くの企業では、独自の質問票やチェックリストを用いて取引先のセキュリティ状況を確認してきましたが、その内容や粒度はバラバラでした。評価制度を活用することで、共通の基準に基づいた要求水準を設定でき、取引先との認識のずれを減らすことが期待されます。

一方で、評価段階をどこに設定するかは、単なるセキュリティ部門の判断では済みません。取り扱う情報の重要性や事業への影響度、万が一のインシデントが与える社会的影響などを踏まえた上での経営判断が求められます。

過度に高い評価レベルを一律に要求すれば、取引先の負担が増え、結果として取引継続が難しくなる可能性もあります。評価制度は「排除のための道具」ではなく、リスクに応じた適切な水準を合意形成するためのツールとして活用する姿勢が重要です。

（2）受注者側の対応

受注者にとっては、まず自社の対策状況を把握し、評価段階を踏まえた改善の優先順位を明確にすることが出発点となります。

受注者の立場にある企業にとって、評価制度への「待ちの対応」は避けなければなりません。制度の本格運用が進むにつれて、発注者から評価結果の提示や、一定レベル以上の対策の遂行を求められる場面が増えることが想定されるからです。その際に慌てて対応するのではなく、早い段階で自己診断を行い、自社の現状と評価項目とのギャップを把握しておくことが重要です。

とはいえ、中小企業などの場合、すべての評価項目に一度に対応することは現実的ではありません。評価段階が示す「段階的な改善」という考え方に則りながら、まずは基本的なガバナンスやルール整備から着手し、徐々に技術対策や運用の高度化を進めていくアプローチが有効です。評価制度は、その優先順位付けを行うための道しるべとしても有効といえます。

（3）共通する課題との向き合い方

発注者・受注者の双方に共通する課題として、セキュリティ人材の不足や運用負荷の増大が挙げられます。また、評価項目に対応するための文書の整備や運用見直しは、一時的な作業ではなく、継続的な取り組みです。そうした観点からいえば、セキュリティ対策を特定の担当者にすべて担わせようとするのは避けなければならず、組織全体で対策の運用を推進する体制づくりが欠かせません。

評価制度への対応は「チェックを“とりあえずクリア”するための手段」になりがちです。ただし、それでは本来の目的であるサイバーリスクの低減にはつながりません。自社の事業や取引関係を守るために、どの対策が本当に必要なのかを見定めるための材料として評価制度を活用する姿勢が大切です。

（4）制度の採用によって期待される効果

今回の評価制度を取り入れることで期待される最大の効果は、サプライチェーン全体におけるセキュリティ対策の「見える化」です。

発注者・受注者が共通の評価軸を持つことで、これまで属人的・感覚的に行われてきたリスク判断を、より客観的に行えるようになります。

また、評価段階という考え方を採用することで、すべての企業に同じ水準の高度な対策を求めるのではなく、事業内容やリスクに応じた現実的な対応が可能になります。これは、過度な要求に起因した取引の停滞を防ぎつつ、サプライチェーン全体の底上げを図る仕組みとして有効といえます。

さらに、評価制度を起点に自社の対策状況を定期的に見直すことで、セキュリティ対策を「一過性の施策」ではなく「継続的な経営課題」としてとらえ、対応に当たる文化が醸成されることになるはずです。

 5. 評価制度がもたらす変化と、企業が見据えるべき次の一手

経済産業省は、2025年度中に評価制度の実証事業を実施し、2026年度下期での運用開始を目指しています。

繰り返すようですが、サプライチェーン上の弱点を突いたサイバー攻撃がさまざまなインシデントを引き起こしている今日においては、セキュリティは企業単体では完結しえない課題になっています。今回の評価制度は、その前提に立ち、取引関係にある企業同士が共通の視点でセキュリティリスク、あるいはサイバーリスクをとらえ、対話するための基盤を提供するものです。

ただし、評価段階や評価項目が示すとおり、今回の制度は、すべての企業に一律に高度な対策を強いるものではありません。むしろ、事業内容やリスクに応じて「どの水準を目指すのか」を明確にし、段階的な改善を進めることの重要性を示しています。これは、セキュリティを単なるコスト、あるいは負担としてとらえるのではなく、事業継続や信頼性の確保に向けた段階的な投資と見なす発想の転換を促すものといえます。

今後、評価制度の浸透が進めば、セキュリティ対策は調達先の取捨選択を行う上での重要な判断材料となるはずです。というのも、評価制度によって、発注者は取引先のセキュリティ水準を客観的に把握しやすくなるからです。

また、評価制度の始動により、受注者も自社の取り組みを説明する標準化された手段を手に入れることができ、かつ、発注者からの過度な要求や曖昧な確認が減り、より建設的な関係構築につなげられるという効果が期待できます。

そうした効果を実際に手にするためには、自社の事業やサプライチェーン全体を見渡し、どのリスクにどう備えるべきかを主体的に考えることが大切です。逆に「取引先から指示されたので対応する」という受け身の姿勢では、対策が後手に回り、各評価段階に到達するのが遅れ、ビジネス機会を逸してしまうリスクがあります。ゆえに、早い時点から現状把握や予算と体制の確保を検討することが望ましいといえるでしょう。

CTCでは、長年にわたるセキュリティ運用の支援やコンサルティングの知見を生かしながら、企業ごとの事業特性やリスクに応じたセキュリティ対策の設計・実装を支援しています。今回の評価制度を「対応を強いられるルール」としてとらえるのではなく、自社のセキュリティ成熟度を高める機会として活用する──、そのための伴走支援を提供していきます。