こんにちは。FGShop店長です。

最近、企業のセキュリティ対策に関する話題の中で、「SCS評価制度」という言葉を目にする機会が増えてきました。

SCS評価制度は、簡単にいうと、取引先や委託先が、どの程度のセキュリティ対策を実施しているかを、共通の基準で確認しやすくするための制度です。

取引先を含めたセキュリティ対策が求められる時代に

これまでのセキュリティ対策は、自社のパソコンやサーバー、ネットワークを守ることが中心でした。

しかし現在は、セキュリティ対策が十分でない取引先や委託先を経由して、大手企業のネットワークへ侵入されたり、重要な情報が漏えいしたりする事故も問題になっています。

そのため、自社だけでなく、取引先や委託先を含めたサプライチェーン全体でセキュリティ水準を高めることが重視されるようになってきました。

中小企業にも関係する制度です

「大企業向けの制度なので、当社には関係ない」と感じる方もいらっしゃるかもしれません。

ただし、大企業や公共機関などと取引している場合、今後は取引条件や調達基準の一つとして、一定水準のセキュリティ対策を求められる可能性があります。

特に、次のような企業は早めに内容を確認しておいた方がよいかもしれません。

  • 大手企業から業務を受託している
  • 顧客情報や機密情報を取り扱っている
  • 取引先のシステムやネットワークへ接続している
  • 製造、物流、IT、建設、医療などのサプライチェーンに関わっている
  • 取引先からセキュリティチェックシートへの回答を求められている

FortiGateを導入するだけでは対応できません

SCS評価制度への対応というと、「セキュリティ機器を導入すればよい」と思われるかもしれません。

しかし、実際にはFortiGateなどのセキュリティ製品だけでなく、社内ルール、情報資産の管理、従業員教育、ログの確認、バックアップ、事故が発生した場合の対応手順など、管理面と技術面の両方を整える必要があります。

FortiGateは、不正アクセスや危険な通信への対策、社内ネットワークの分離など、技術的な対策の一部を支援できます。

さらに、端末管理にはFortiClient EMS、ログ管理にはFortiAnalyzer、多要素認証にはFortiAuthenticatorやFortiTokenなど、必要な対策に応じて製品を組み合わせることも考えられます。

まずは現在の対策状況を確認しましょう

SCS評価制度への対応を考える場合、最初から新しい製品を購入する必要があるとは限りません。

まずは、現在どのような情報や機器を管理しているのか、どのようなセキュリティ対策を行っているのかを整理することが大切です。

  • 社内のパソコンやサーバーを一覧にしているか
  • 使用しているクラウドサービスを把握しているか
  • 重要な情報へのアクセス権限を管理しているか
  • 多要素認証を利用しているか
  • FortiGateなどのログを定期的に確認しているか
  • バックアップから復元できるか確認しているか
  • 事故発生時の連絡先や対応手順が決まっているか

このような項目を確認すると、自社に不足している対策が見えやすくなります。

SCS評価制度について詳しく解説しています

SCS評価制度の概要、★3・★4の違い、企業が準備する主な対策、Fortinet製品で支援できる内容について、専用ページで分かりやすくご紹介しています。

SCS評価制度について詳しく見る

FGShopではFortinet製品の導入をご相談いただけます

FGShopでは、利用人数、拠点数、回線速度、現在のネットワーク構成などを確認し、FortiGateを中心とした製品選定や構成をご提案しています。

「現在使用しているFortiGateで、どこまで対策できるのか」「ログ管理や端末管理も必要なのか」など、Fortinet製品に関するご相談がございましたら、お気軽にお問い合わせください。

なお、FGShopはSCS評価制度の評価機関ではなく、Fortinet製品の導入によって認定取得を保証するものではありません。正式な評価基準や申請方法については、経済産業省およびIPAが公開する最新情報をご確認ください。