バックオフィス業務のお悩みや、PCAの業務ソフトをお使いの皆様の
お悩み解決を提供する総合サイト

制度創設の背景にあるサプライチェーンリスクの増大

近年、セキュリティ対策が強固な大企業を直接狙うのではなく、取引関係にあるセキュリティが脆弱な中小企業を踏み台にする「サプライチェーン攻撃」が深刻化しています。一つの企業のセキュリティインシデントが、部品供給の停止や機密情報の漏洩などを通じて、サプライチェーン全体に連鎖的な影響を及ぼすリスクが増大しているのです。このような背景から、個々の企業努力だけでは限界があり、サプライチェーン全体で連携してセキュリティレベルを底上げする必要性が高まったことが、本制度創設の直接的な要因となっています。

経済産業省が目指すサイバーセキュリティ強化の全体像

本制度は、経済産業省が推進するサイバーセキュリティ政策の重要な一環です。同省はこれまでも「サイバーセキュリティ経営ガイドライン」などを通じて企業に対策を促してきましたが、その取り組み状況を客観的に示す統一的な指標がありませんでした。この評価制度は、それらのガイドラインの実践度を測るものさしとして機能し、企業の自主的な取り組みを促進するとともに、取引の安全性を示す「共通言語」となることを目指しています。最終的には、日本産業全体のサイバーレジリエンス（回復力）と国際競争力の強化に繋げることが大きな目標です。

従来の対策の限界と新たなアプローチの必要性

これまで多くの企業で行われてきたセキュリティ対策は、ファイアウォールやアンチウイルスソフトの導入など、自社のネットワークの内と外を分ける「境界防御モデル」が中心でした。

しかし、クラウドサービスの普及やリモートワークの定着により、守るべき情報の置き場所や働き方が多様化し、この従来の境界防御モデルでは巧妙化するサイバー攻撃を防ぎきれないケースが増えています。自社だけが強固な対策を講じても、取引先が攻撃の侵入口とされてしまえば、サプライチェーン全体がリスクに晒されてしまいます。このため、個社最適の対策から脱却し、サプライチェーンに関わる企業全体で連携し、セキュリティレベルの底上げを図るという新たなアプローチが不可欠となっているのです。

取引先選定の新たな基準となる可能性

サイバー攻撃による被害は、事業停止や機密情報の漏洩といった直接的な損害だけでなく、顧客や取引先からの信頼失墜という形でビジネスに深刻な影響を及ぼします。もはやセキュリティ対策は単なるITの問題ではなく、事業継続を左右する重要な経営課題です。

この評価制度が導入されると、企業のセキュリティ対策レベルが客観的な指標で「見える化」されます。これにより、発注元企業が委託先を選定する際に、価格や品質だけでなく、セキュリティ評価を重要な判断基準の一つとする流れが加速すると考えられます。適切なセキュリティ対策を講じている企業にとっては、それが信頼の証となり、新たなビジネスチャンスの獲得や競争力の強化につながる可能性があるのです。

なお、IPA（情報処理推進機構）が実施する「SECURITY ACTION」制度の「一つ星」「二つ星」が、この評価制度の基礎段階（☆1、☆2）として位置づけられています。

評価基準のベースとなるNISTサイバーセキュリティフレームワーク

評価基準の検討にあたっては、国際的な標準であるNIST（アメリカ国立標準技術研究所）のサイバーセキュリティフレームワーク（CSF）が参照されています。NIST CSFは、組織がサイバーセキュリティリスクを管理・低減するためのベストプラクティスを体系的にまとめたもので、世界中の多くの企業で採用されています。このフレームワークは、主に以下の5つのコア機能で構成されています。

• 特定（Identify）：組織の資産やリスクを理解・管理する
• 防御（Protect）：重要なサービスを提供し続けるための適切な安全防護策を策定・導入する
• 検知（Detect）：サイバーセキュリティイベントの発生を迅速に発見する
• 対応（Respond）：検知したイベントに対して適切なアクションをとる
• 復旧（Recover）：サイバーセキュリティインシデントによって損なわれた能力やサービスを回復させる

国内では、経済産業省とIPAが公開している「サイバーセキュリティ経営ガイドライン Ver 3.0」もNIST CSFを参考にしており、本制度もこれらの指針との整合性を保ちながら、日本企業の現状に即した基準となることが目指されています。

【関連記事：ファイル共有サービスとは？仕事やビジネスでの利用時に必要な機能や選定のポイントを解説】

企業が今から準備すべき具体的なセキュリティ対策

2026年度から開始が予定されている「セキュリティ対策評価制度」は、もはや他人事ではありません。制度への対応は、単に評価を得るためだけでなく、自社の事業継続性を確保し、競争力を高めるための重要な経営課題です。ここでは、企業が今すぐ着手すべき具体的な対策を3つのステップで解説します。

自社のセキュリティ状況の把握と目標設定

対策の第一歩は、自社の現状を正確に把握することから始まります。どこに弱点があり、何が不足しているのかを客観的に評価することが不可欠です。IPA（情報処理推進機構）が提供する「サイバーセキュリティ経営ガイドライン」などを活用し、自己診断を行いましょう。

とくに、評価基準のベースとなるNISTサイバーセキュリティフレームワーク（CSF）の考え方を理解することが重要です。CSFはセキュリティ対策を「特定」「防御」「検知」「対応」「復旧」の5つの機能に分類しており、最近のバージョン2.0では、これらを統括する「ガバナンス」が加わりました。まずはこれらの機能ごとに自社の取り組み状況を整理し、可視化することをお勧めします。

診断結果に基づき、自社が目指すべき評価段階（☆3、☆4など）を明確に設定し、現状とのギャップを埋めるための具体的な行動計画を策定します。

サプライチェーン全体の管理体制の見直し

この制度の核心は、自社だけでなくサプライチェーン全体でのセキュリティレベルの向上にあります。取引先がサイバー攻撃の踏み台にされ、自社が被害を受けるケースは後を絶ちません。そのため、委託先や協力会社を含めた管理体制の見直しが急務となります。

主な見直しポイント

• 取引先のリストアップとリスク評価：
  重要な業務を委託している取引先や、機密情報を共有している取引先をすべて洗い出し、それぞれのセキュリティ対策状況を評価します。アンケートやヒアリングシートを活用して、定期的に確認するしくみを構築しましょう。
• 契約・規約へのセキュリティ条項の追加：
  取引基本契約書や業務委託契約書に、セキュリティ対策の実施義務、インシデント発生時の報告義務、立入検査権、損害賠償に関する条項などを盛り込むことを検討します。
• 定期的なコミュニケーションと監査：
  定期的に取引先とセキュリティに関する情報交換会を実施したり、必要に応じてセキュリティ対策状況の監査を行ったりすることで、サプライチェーン全体で継続的にセキュリティレベルを維持・向上させる体制を築きます。

評価制度に対応するための社内体制の構築

セキュリティ対策は、情報システム部門だけの問題ではありません。経営層がリーダーシップを発揮し、全社的な取り組みとして推進することが成功の鍵です。

構築すべき社内体制

• 責任者の任命と経営層への報告体制：
  CISO（最高情報セキュリティ責任者）のような責任者を任命し、セキュリティリスクや対策状況を定期的に経営会議へ報告する体制を確立します。
• インシデント対応チーム（CSIRT）の整備：
  セキュリティインシデントが発生した際に、迅速かつ的確に分析・対応できる専門チーム（CSIRT）を設置または強化します。中小企業の場合は、外部の専門サービスを活用することも有効です。
• 全従業員への教育と訓練の徹底：
  標的型攻撃メール訓練や不審なWebサイトへのアクセス制限など、実践的な訓練を定期的に行い、全従業員のセキュリティ意識を高めます。情報セキュリティに関する基本方針や関連規程を整備し、周知徹底することも重要です。

制度の定着と将来的な展望

この制度は、単に個社のセキュリティレベルを評価するだけでなく、将来的には業界の標準的な指標となることが期待されています。評価結果が取引先選定のデファクトスタンダードとなり、日本の産業全体の競争力向上に繋がることが目標とされています。また、将来的には海外の類似制度との相互認証も視野に入れられており、グローバルなサプライチェーンにおける信頼性の証明としての活用も期待されます。