SCS評価制度について、超わかりやすく解説します

ざっくりSCS評価制度とは？

「SCS評価制度」という言葉を聞いて、

• 何のこと？
• 自社にも関係あるの？
• 個人事業や士業には関係ないのでは？

と思った方も多いのではないでしょうか。

SCS評価制度は、
企業間の取引におけるセキュリティ対策を共通の基準で評価する新しい制度です。

取引先となる企業や個人事業者にも影響する可能性が十分にあります。

簡単に言えば、

「会社の情報セキュリティの健康診断」

のような制度です。

健康診断と似てる考え方

会社では、従業員を採用するときに、
健康診断を実施したり、定期的に健康診断を
受けさせないといけないですよね。

目的は、従業員の健康状態を定期的に確認し、
安全に働ける職場環境を維持することです。

健康診断には法律で定められた検査項目があります。

そのため、
「私は健康です。」
と本人が言うだけではなく、
共通の基準で健康状態を確認できます。

SCS評価制度も考え方はよく似ています。

「うちはセキュリティ対策ばっちりです！！」
と言うだけではなく、
共通の評価基準に沿って
セキュリティ対策を客観的に示すための制度です。

この記事では、
・「なぜこの制度ができたのか」
・「どんな目的があるのか」
初心者の方にも分かりやすく解説します！！！

---

SCS評価制度ができた背景

SCS評価制度の目的は、
取引先を含めた企業全体で、
安心して仕事ができる環境をつくること
です。

今回のポイントは、
「取引先を含めて」
という部分です。

自社がしっかりセキュリティ対策をしていても、
取引先の対策が十分でなければ、
そこをきっかけに被害が広がる可能性があります。

ここまで読んで、

「はいはい、大手企業の話でしょ。」

と思った方はいませんか？

実は、そうではありません。
近年は、取引先や委託先を狙い、
そこを入口として本来の標的企業へ侵入する
「サプライチェーン攻撃」が増えています。

最近こんなことありませんか？

取引先から
・情報セキュリティ対策のヒアリングシート
・セキュリティチェックシート

の提出を求められたことはありませんか？

これは、自社だけではなく、
取引先のセキュリティ対策まで確認し、
サプライチェーン全体のリスクを減らそう！
という動きが広がっているためです。

ランサムウェアなどの攻撃も年々巧妙になっており、
取引先を通じて被害に巻き込まれる可能性が増えています。

つまり、

「うちは小さい会社だから大丈夫」

という時代ではなくなってきています。

もしサイバー攻撃を受け、その調査結果で

「原因は委託先のセキュリティ対策が不十分だったため」

と公表されたら、どうなるでしょうか。

まず失うのは、社会的な信用です。

その結果、

• 新しい取引が難しくなる
• 既存の取引が見直される
• 復旧や原因調査に多くの費用がかかる

最悪の場合、会社の存続危機に直結することもあります。

だからこそ現在は、企業間取引において自社だけでなく、
取引先のセキュリティ対策も確認することが当たり前になりつつあります。

---

なぜSCS評価制度が必要なのか

例えば、

「御社ではどのようなセキュリティ対策をしていますか？」

と質問したとします。

その回答が、

「しっかり対策しています。」

だけだったら安心できるでしょうか。

「何を根拠にしっかりしていると言えるの？」

と思いませんか？

例えば、

• 「従業員を雇っていないので大丈夫です。」
• 「ウイルス対策ソフトを入れているので大丈夫です。」
• 「UTMをいれているので大丈夫です。」

これだけでは、本当に会社が求めている
十分なセキュリティ対策ができているのかは判断できません。

企業ごとに基準が違うため、
自社のセキュリティ対策を取引先へ説明するのは意外と難しいものです。

そこで、企業のセキュリティ対策を共通の基準で評価し、
取引先にも分かりやすく示せるようにしたのがSCS評価制度です。

つまり、「うちは大丈夫です。」

と言うだけでは、取引先は安心できません。

大切なのは、「なぜ大丈夫と言えるのか」を、
誰もが同じ基準で確認できることです。

「共通の基準で評価した結果、大丈夫です。」

と示せることに大きな意味があります。

これにより、

• 発注する企業は、安心して取引先を選びやすくなる
• 評価を受ける企業は、自社のセキュリティ対策を客観的に証明できる
• サプライチェーン全体のセキュリティレベル向上につながる

というメリットがあります。

つまり、SCS評価制度は、取引先から信頼され、
選ばれる企業を目指すうえで重要な評価材料になっていくと考えられます。

---

まとめ

SCS評価制度は、これからの企業間取引において
重要性が高まると考えられる評価制度です。

制度の取得自体は現時点で義務ではありません。

しかし、個人的には、制度で求められる情報セキュリティ対策は、
今後、企業として最低限取り組むべき水準になっていくのではないかと感じています。

ただ一つ、ここで問題なのが、

「何を、どこまで対策すればよいのか分からない」
という点ではないでしょうか。

情報セキュリティ対策には、
ウイルス対策ソフトやUTM、EDRなど
さまざまな製品やサービスがあります。
そのため、自社に本当に必要な対策を判断するのは簡単ではありません。

大切なのは、高価な製品を導入することではなく、
自社の業務内容やリスクに応じて、必要な対策を適切に実施することです。

アビリティ株式会社では、お客様の業種や事業規模、
現在のセキュリティ対策状況に合わせて、SCS評価制度の★3取得を目標とした、
申請までのワンストップ支援サービスを現在準備しています。

8月はSCS評価制度をテーマにしたコラムをシリーズで発信していく予定です。

制度の概要や評価項目、★評価の仕組み、企業が取り組むべきポイントなどを、
初心者の方にも分かりやすくご紹介していきますので、ぜひご覧ください！