サプライチェーン時代に求められるセキュリティ対策を、取得準備から運用まで支援します
近年、企業を狙ったサイバー攻撃では、攻撃者が直接大企業へ侵入するだけでなく、取引先や委託先、ITベンダーなどを経由して侵入する「サプライチェーン攻撃」が大きな課題となっています。
こうした状況を背景に、経済産業省・IPAでは、企業のセキュリティ対策状況を段階的に評価し、その水準を「★」で可視化する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の整備を進めています。
特に今後、多くの企業にとって重要になると考えられるのが「★3」への対応です。
SCS評価制度とは？
SCS評価制度は、企業がどの程度のセキュリティ対策を実施しているかを共通の基準によって評価・可視化する制度です。
これまで企業間取引では、発注企業ごとに独自のセキュリティチェックシートが使用されることも多く、発注側には「取引先の安全性を判断しにくい」、受注側には「取引先ごとに異なる質問へ回答しなければならない」という課題がありました。
SCS評価制度によって共通の評価基準が普及すれば、企業のセキュリティ対策状況を取引先に説明しやすくなり、サプライチェーン全体のセキュリティ向上につながることが期待されています。
★3では何が求められるのか？
★3では、企業が要求事項・評価基準に基づいて自社のセキュリティ対策状況を確認し、必要な対策を実施したうえで、専門家による確認を受ける仕組みが予定されています。
求められるのは、単にセキュリティソフトを導入することではありません。
例えば、
・情報セキュリティに関する社内ルールや体制の整備
・PCやスマートフォンなどの端末管理
・アカウント、パスワード、アクセス権限の適切な管理
・多要素認証（MFA）の活用
・OSやソフトウェアの脆弱性対策
・マルウェア・不正アクセスへの対策
・データのバックアップ
・ログの取得・管理
・委託先・クラウドサービスの管理
・インシデント発生時の対応手順
・従業員へのセキュリティ教育
・対策を実施していることを示す証跡の保存
など、組織として継続的にセキュリティを管理する仕組みが重要になります。
「規程を作るだけ」ではなく、実際の運用が重要
SCS評価制度への対応で特に重要なのは、セキュリティ規程やマニュアルを作成するだけではなく、実際にそのルールに基づいた運用が行われていることです。
例えば、「OSを最新の状態にする」という規程があれば、実際に更新状況を管理していることを確認できる資料や記録も必要になります。
そのため、★3取得を目指す場合には、
要求事項の確認 → 現状調査 → ギャップ分析 → 改善 → 規程整備 → 運用 → 証跡整備 → 申請準備
という流れで取り組むことが重要です。
株式会社光翼が★3取得準備をご支援します
株式会社光翼では、企業のDX・IT環境の構築や運用支援で培った経験を活かし、SCS評価制度「★3」の取得を目指す企業様の準備をご支援します。
まず、SCS評価制度の要求事項に対して現在どこまで対応できているかを確認し、
「対応済み ○」「一部対応 △」「未対応 ×」
という形で整理します。
そのうえで、不足している対策について優先順位を決め、必要な規程・手順・IT環境・運用方法・証跡などを一つずつ整備していきます。
「何から始めればよいのかわからない」という企業様でも、現在の環境を確認しながら段階的に進めることが可能です。
こんな企業様におすすめです
・大手企業との取引がある、または今後増やしたい
・取引先からセキュリティチェックシートへの回答を求められている
・自社のセキュリティ対策を客観的に説明できるようにしたい
・情報セキュリティ規程はあるが、実際の運用に不安がある
・Microsoft 365などのクラウドサービスを利用している
・社内に専任のセキュリティ担当者がいない
・SCS評価制度の★3取得に向けて早めに準備を始めたい
こうした企業様は、制度開始を待つのではなく、現在のセキュリティ環境を一度確認しておくことをおすすめします。
まずは「★3取得可能性診断」から
いきなりすべての対策を変更する必要はありません。
まずは現在のIT環境、社内規程、運用方法などを確認し、SCS評価制度★3の要求事項に対して「何ができていて、何が不足しているのか」を明確にすることが第一歩です。
株式会社光翼では、
現状ヒアリング → ★3要求事項とのギャップ分析 → 改善項目の整理 → 取得までのロードマップ作成
という流れで、SCS評価制度への対応をご支援します。
SCS評価制度への対応は、単なる「★取得」のためだけの取り組みではありません。
自社の情報資産を守り、取引先から安心して仕事を任せてもらえるセキュリティ体制を構築することが本来の目的です。
「SCS評価制度の★3について知りたい」
「自社が★3を取得できる状態なのか確認したい」
「何を改善すればよいのか整理したい」
という企業様は、株式会社光翼までお気軽にご相談ください。
株式会社光翼
SCS評価制度 ★3取得支援
セキュリティ対策の現状確認から、ギャップ分析、改善計画、規程・運用・証跡整備まで、★3取得に向けた取り組みをご支援します。