続・SCS評価制度　～規程の策定だけでは終わらない、運用構築の重要性～

エムオーテックス株式会社
サイバーセキュリティ本部 シニアエキスパート
小関 直樹

　6月に公開したコラム[1]に引き続き、今回も「サプライチェーン強化に向けたセキュリティ対策評価制度（以下、SCS評価制度）」を取り上げます。前回は、期限から逆算して★の取得を目指す場合の進め方について説明しました。今回は少し視点を変えて、情報セキュリティ対策を進める際に見落とされがちな落とし穴について考えます。

　SCS評価制度に関するお客様からのご相談で多いのが、「SCS評価制度に対応したセキュリティ規程を作りたい」というものです。規程類を新たに策定する場合もあれば、既存のものを改定する場合もあります。
　しかし、ここで注意が必要です。規程を定めれば、それだけでSCS評価制度への対応が完了するかのように捉えているお客様が、意外と多くいらっしゃいます。規程を策定すれば直ちに★の取得に進める、と考えた計画になっているケースがあるのです。

　たしかに、規程の策定は重要な第一歩です。しかし、それは始まりに過ぎません。
　規程を組織内で確実に遵守するためには、具体的な運用が必要です。業務手順の見直し、担当部署や担当者の明確化が必要になる場合もあります。さらに、既存の組織体制では対応が難しく、新たな役割の設置や組織体制の見直しが必要となることもあります。つまり、規程に記載しさえすればよいのではなく、規程に基づく運用と、その状況を検証して継続的に改善する仕組みを作ることこそが、SCS評価制度対応の重要なポイントなのです。

　本コラムの執筆時点では、SCS評価制度における要求事項・評価基準の解説書や取得ガイドはまだ公開されておらず（2026年10月28日に公表済み[2]）、適合・不適合を判定する観点の詳細は不明です。しかし、★3のセキュリティ専門家による確認・助言や、★4の評価機関による第三者評価においては、少なくとも実効性のある対策という観点から、「規程に書かれているか」だけでなく、「規程に書かれているとおりに運用されているか」が重要になると考えられます。

　そして、運用の仕組み作りに必要な負荷は、対策の内容によって大きく異なります。
　例えば、情報システムのセキュリティ対策やインシデント対応体制の構築にも一定の難しさはありますが、担当部署が中心となって進めやすいため、比較的短期間で形にできる面があります。
　一方、負荷が大きく実現が難しいのが、資産管理、委託先管理、監査および自己点検などです。これらは全社的かつ組織横断的な対応が必要である上に、年1回など実施時期が限られる場合には、準備が整っても次回の実施まで待つ必要があるため、仕組み作りから一定の成果を得るまでには時間も工数もかかります。

　具体例を挙げてみましょう。
　点検活動として、「社内における『情報セキュリティ規程』の遵守状況を、チェックシートを用いて定期的（年1回以上）に点検する」というルールを決めるのは簡単です。
　これをゼロの状態から実現しようとすれば、おおまかには、①担当部門や担当者を定め、②点検の実施計画や実施方法を定め、③評価項目を検討してチェックシートを作成し、④社内の全部門に配布して回答を依頼し、⑤期限までに回答を収集し（未提出部門には提出を促し）、⑥点検結果を報告書などにとりまとめる、という運用が必要となります。企業規模や既存の体制によっては、半年から1年程度を要することもあります。

　IPAの「2024年度 中小企業における情報セキュリティ対策に関する実態調査」[3]によれば、情報セキュリティ対策をルール化し、従業員に明示しているのは、全回答企業の18.1%にとどまります。だとすれば、規程を策定するだけで対策が大きく進んだかのように誤解されてしまうのも、無理のないことかもしれません。
　しかし、対策によっては規程の策定以上に運用の仕組み作りにコストがかかるのだとお考えください。それを見込んだ現実的なスケジュールを立てることが、SCS評価制度に着実に対応するための鍵だと言えるでしょう。

【参考文献】
[1] サイバーセキュリティイニシアティブジャパン（CSIJ）, 「話題のSCS評価制度　～『★』取得のための逆算プラン～」, 2026年6月
　https://www.csi-japan.org/column/column46
[2] IPA, 「要求事項・評価基準」, 2026年10月
　https://www.ipa.go.jp/security/scs/requirements-criteria.html
[3] IPA, 「2024年度 中小企業における情報セキュリティ対策に関する実態調査 報告書」, 2025年5月
　https://www.ipa.go.jp/security/reports/sme/nl10bi000000fbvc-att/sme-chousa-report2024r1.pdf