SCS評価制度は、取引先のセキュリティ対策を「共通の基準」で確認しやすくするための制度です。
これまで企業ごとに異なっていた確認項目を整理し、取引先・委託先がどの程度のセキュリティ対策を実施しているかを、段階（★）で分かりやすく示すことを目的としています。
SCS評価制度は、単にセキュリティ製品を購入すれば認定される制度ではありません。機器の導入に加えて、社内ルール、情報資産の管理、従業員教育、ログの確認、事故発生時の対応手順など、継続的な運用体制の整備が必要です。
SCS評価制度とは
SCS評価制度の正式名称は、「サプライチェーン強化に向けたセキュリティ対策評価制度」です。
製造業、ITサービス、物流、建設、医療、各種業務委託など、企業同士がつながるサプライチェーン全体のセキュリティ水準を高めることを目的としています。
発注企業は、取引先に必要なセキュリティ水準を伝えやすくなり、受注企業は、自社が実施している対策を共通の基準で説明しやすくなります。
発注側のメリット
- 取引先の対策状況を確認しやすくなる
- 確認項目や要求水準を統一しやすくなる
- 委託先を起点とする事故のリスクを減らせる
- 取引先管理の負担を軽減しやすくなる
受注側のメリット
- 自社の対策状況を客観的に説明しやすくなる
- 取引先ごとに異なる質問票への対応を減らしやすくなる
- 新規取引や契約更新での信頼性向上につながる
- 不足している対策を把握しやすくなる
なぜSCS評価制度が必要とされているのか
サイバー攻撃は、大企業だけを直接狙うとは限りません。セキュリティ対策が十分でない取引先や委託先を侵入口として、取引先ネットワークへの侵入、機密情報の漏えい、システム停止などにつながる場合があります。
そのため現在は、企業単体ではなく、取引先や委託先を含めたサプライチェーン全体で対策することが重要になっています。
- 取引先からセキュリティチェックシートへの回答を求められる
- 契約時に情報管理体制やインシデント対応手順を確認される
- ウイルス対策だけでなく、ネットワーク監視やログ管理も求められる
- バックアップや復旧手順の整備を求められる
- 取引先への説明に使える共通の基準が必要になる
SCS評価制度の★3・★4・★5とは
SCS評価制度では、企業のセキュリティ対策水準を段階的に示す考え方が採用されています。現時点では、主に★3と★4の制度整備が進められています。
基本的な対策水準
★3
多くの企業に共通して必要となる基本的なセキュリティ対策を、継続して実施できる状態を目指す水準です。
社内ルールの整備、情報資産の把握、アクセス管理、ウイルス・不正通信対策、バックアップ、事故対応手順などが重要になります。
より高度な対策水準
★4
サイバー攻撃を受けた場合に、発注元の事業や機密情報へ大きな影響を与える可能性がある企業などを想定した、より高い水準です。
★3の対策に加えて、より強固な認証、アクセス制御、ネットワーク分離、詳細なログ管理、監視、インシデント分析などが重要になります。
今後具体化される水準
★5
特に高いセキュリティ水準が求められる企業・業務を想定した段階です。要求事項や評価方法は今後さらに具体化される予定です。
制度の要求事項、評価基準、申請方法、開始時期は今後変更・更新される可能性があります。実際の取得準備を行う際は、経済産業省およびIPAが公開する最新情報をご確認ください。
SCS評価制度に向けて企業が準備する主な対策
SCS評価制度への対応は、セキュリティ機器だけでは完結しません。大きく分けると、次のような管理面と技術面の両方が必要になります。
| 分類 | 分かりやすい説明 | 主な対策例 |
|---|---|---|
| 経営・管理体制 | 誰が責任を持ち、どのように対策を続けるかを決める | 責任者の決定、規程の作成、定期的な見直し |
| 取引先管理 | 重要な取引先や委託先を把握し、役割を明確にする | 連絡先一覧、契約内容の確認、事故時の連絡手順 |
| リスクの把握 | 守るべき情報・機器・サービスと危険性を把握する | 機器台帳、ソフトウェア一覧、情報資産台帳、リスク評価 |
| 攻撃の防御 | 外部や内部からの不正アクセス、マルウェア感染を防ぐ | ファイアウォール、UTM、MFA、端末保護、アクセス制御 |
| 攻撃の検知 | 異常な通信や不審な動きを早く見つける | ログ収集、アラート、通信監視、端末監視 |
| インシデント対応 | 事故が起きたときに、迷わず対応できるようにする | 対応手順、連絡網、初動対応、原因調査、報告方法 |
| 復旧・事業継続 | 停止した業務やシステムを復旧できるようにする | バックアップ、復元テスト、代替手段、事業継続計画 |
Fortinet製品で支援できるSCS評価制度の対策
Fortinet製品は、SCS評価制度で求められる対策のうち、主にネットワーク防御、端末管理、認証、ログ管理・監視といった技術面を支援できます。
ネットワークを守る
FortiGate
社内ネットワークとインターネットの境界に設置し、不正通信、ウイルス、侵入攻撃、有害サイトへのアクセスなどをまとめて監視・防御します。
パソコンや端末を管理する
FortiClient EMS
パソコンなどの端末を一元管理し、脆弱性、設定状況、マルウェア対策などを確認します。リモートアクセス環境の管理にも利用できます。
ログを集めて確認する
FortiAnalyzer
FortiGateなどのログを集約し、通信状況や異常を確認しやすくします。事故発生時の調査や、日常的な監視・レポート作成を支援します。
| 対策したい内容 | 関連するFortinet製品例 | できること |
|---|---|---|
| 不正アクセスや危険な通信の防御 | FortiGate | ファイアウォール、IPS、アンチウイルス、Webフィルタリングなど |
| 社内ネットワークの分離 | FortiGate／FortiSwitch | 部署、用途、端末ごとの通信分離やアクセス制御 |
| 多要素認証・ID管理 | FortiAuthenticator／FortiToken | ID・パスワード管理、多要素認証によるなりすまし対策 |
| 端末の管理・脆弱性対策 | FortiClient EMS | 端末状態の一元管理、脆弱性確認、セキュリティ設定の管理 |
| ログ収集・分析・レポート | FortiAnalyzer | ログの集中管理、アラート、レポート、インシデント調査支援 |
| より高度な端末監視 | FortiEDR | 端末上の不審な挙動を検知し、侵害の拡大を抑制 |
Fortinet製品は技術的な対策を支援するものです。SCS評価制度の認定・評価取得を保証するものではありません。また、FGShopはSCS評価制度の評価機関ではありません。
SCS評価制度への準備は何から始めればよいか
- 守るべき情報と機器を一覧にする
パソコン、サーバー、クラウドサービス、ネットワーク機器、顧客情報、設計情報などを整理します。 - 現在の対策を確認する
ウイルス対策、ファイアウォール、バックアップ、パスワード管理、ログ保存、社内ルールなどの実施状況を確認します。 - 不足している対策を洗い出す
「実施していない」「一部のみ実施」「担当者しか分からない」といった項目を整理します。 - 優先順位を決める
すべてを一度に行うのではなく、取引先への影響が大きい部分や、事故につながりやすい部分から改善します。 - 製品導入と運用ルールをセットで整備する
機器を導入するだけで終わらせず、誰がログを見るか、異常時に誰へ連絡するか、更新作業をいつ行うかまで決めます。 - 定期的に見直す
機器・従業員・取引先・業務内容の変更に合わせて、対策内容を更新します。
FGShopがご相談いただけること
FGShopでは、企業規模、拠点数、利用人数、ネットワーク構成、ご予算などを確認し、FortiGateを中心とした製品選定や構成をご提案します。
- 現在の回線速度や利用人数に合ったFortiGateの選定
- 複数拠点のVPN構成
- 社内ネットワークとゲストネットワークの分離
- FortiClient EMSを利用した端末管理
- FortiAnalyzerを利用したログ管理
- 多要素認証を含む認証強化
- 導入時の初期設定・設置に関するご相談
ただし、社内規程の作成、SCS評価申請、専門家による確認、評価機関による審査などは、別途対応可能な専門家・評価機関への相談が必要です。
SCS評価制度に関するよくあるご質問
- Q. SCS評価制度はすべての企業が必ず取得しなければなりませんか？
- A. 一律にすべての企業へ取得が義務付けられる制度ではありません。ただし、取引条件や調達基準として、発注企業から一定の★水準を求められる可能性があります。
- Q. 中小企業も対象ですか？
- A. 対象となり得ます。特に大企業や重要な事業者の取引先・委託先となる中小企業では、早めに現在の対策状況を確認しておくことが重要です。
- Q. FortiGateを導入すれば★を取得できますか？
- A. FortiGateの導入だけでは取得できません。ネットワーク対策に加えて、社内規程、資産管理、従業員教育、バックアップ、ログ確認、事故対応手順なども必要です。
- Q. ★3と★4のどちらを目指せばよいですか？
- A. 自社だけで決めるのではなく、取引先から求められる水準、自社が扱う情報、事業停止時の影響などを踏まえて判断します。取引先の業務や機密情報へ大きな影響を与える可能性がある場合は、より高い水準が求められる可能性があります。
- Q. 今すぐできる準備はありますか？
- A. 機器・ソフトウェア・クラウドサービス・重要情報の一覧化、管理者の確認、バックアップ状況の確認、パスワードと多要素認証の見直し、ネットワーク構成図の作成から始めると進めやすくなります。
SCS評価制度に向けたネットワーク対策をご相談ください
「現在のFortiGateで何ができるのか」「どの機種を選べばよいか」「ログ管理や端末管理も必要か」など、Fortinet製品に関するご相談を承ります。
免責事項
全国設置代行いたします。お気軽にお問い合わせください。
オンサイトでのハードウェア障害対応です。障害のコールを受け、ハードウェア障害と確定後、オンサイトでのハードウェア交換作業・設定復元・基本動作確認作業を行います。