SCS評価制度★3・★4・★5をざっくり解説！

今日はSCS評価制度に出てくる★についてご紹介します。

SCS評価制度における「★」の仕組みは、
企業のサイバーセキュリティ対策の成熟度を３〜5の5段階で示すものです。

★3は「基本的なセキュリティ対策ができている」

★3で想定しているのは、「広く認知された脆弱性等を悪用する一般的なサイバー攻撃」です。

例えば、
・知られている脆弱性を放置して攻撃される
・基本的なセキュリティ設定が不十分で侵入される
といった一般的な脅威に対応できる状態を目指します。

そのため★3では、全てのサプライチェーン企業が最低限実装すべきセキュリティ対策として、
基礎的・組織的な対策を中心に実施します。

具体的な到達イメージ
・組織内の役割と責任が決まっていること
・一般的なサイバー脅威への対策があること
・インシデント発生時に取引先を含む関係者へ報告・共有する最低限の手順があること
などが挙げられています。

要求事項は26件。評価方法は「専門家確認付き自己評価」で、有効期間は1年とされています。

★4＝取引先への影響まで考えて、より強く備える

★4になると「自社だけでなく、取引先への影響」まで見ることになります。

★4は★3より一段上です。

初期侵入を防ぐだけにとどまらず、侵入された後の被害拡大防止や、
攻撃者の目的遂行のリスク低減まで考えるとされています。

さらに重要なのが、取引先のデータやシステムを守ることです。

例えばアビリティがX社から業務を受託し、X社の重要な情報を扱っているとします。

★3では、

「アビリティ自身が基本的なセキュリティ対策をできているか」

が中心。

★4では、それに加えて、

「もしアビリティが攻撃されたら、X社のデータやシステムに大きな被害が及ばないようにできているか？」

というところまで重要になってきます。

また、取引先のセキュリティ対策状況を把握するなど、
自社だけでなくサプライチェーン全体を意識した対策も求められます。

要求事項は43件。★3とは異なり、第三者評価を受ける仕組みで、有効期間は3年とされています。

★5＝高度な攻撃まで想定し、組織として継続的に対応する

★5は「高度な攻撃にも対応できる」

★5はさらに上位です。「未知の攻撃も含めた、高度なサイバー攻撃」を想定しています。

単に決められた対策を実施するだけではなく、
国際規格などを踏まえたマネジメントシステムを構築し、組織のリスクを適切に把握したうえで、
必要な対策を改善し続けることが想定されています。

さらに、インシデントを迅速に検知・対応することや、
取引先への指導・共同訓練などを通じて、
自社だけでなくサプライチェーン全体のセキュリティ水準を高めることまで視野に入っています。

★５についての要求事項や有効期間については、今後検討されるとのことです。

★3を取らないと★4に進めない？

★3 → ★4 → ★5と順番に取る資格制度ではありません。

★4には★3以下で求められる事項も含まれています。
そのため、必要な水準を満たしている企業であれば、★3を先に取得せず★4を目指すことも想定されています。

そして、ここまで読んでいただいた方の中には、

「あれ？ ★1と★2はどこいった？！」

と感じられた方もいらっしゃるのではないでしょうか。

実は、★1・★2は、★3・★4とは少し位置づけが異なります。

★1・★2は、IPAが運営する「SECURITY ACTION」という、
中小企業が情報セキュリティ対策への取り組みを自己宣言する制度に位置づけられています。

次回は、「★1・★2って何？」をテーマに、SECURITY ACTIONについてわかりやすくご紹介します！

今回は、SCS評価制度における「★3・★4・★5の違い」についてご紹介しました。

8月は、SCS評価制度についてのコラムを順次発信していく予定です。
「制度の内容が難しくてよく分からない」という方にも理解していただけるよう、
身近な例を交えながら、一つひとつ丁寧に、わかりやすくお伝えしていきます。

また、アビリティでは現在、SCS評価制度「★3」の取得を目指す企業さまを、
準備から申請までワンストップで支援するサービスを準備中です。

サービスの詳細についても、今後のコラムでお知らせしていきます。
ぜひ次回もご覧ください！