SCS評価制度における要求事項と中堅・中小企業のセキュリティ課題/ニーズの照合
調査設計/分析/執筆: 岩上由高
ノークリサーチ(本社〒160-0022東京都新宿区新宿2-13-10武蔵野ビル5階23号室 代表:伊嶋謙ニ TEL:03-5361-7880URL:www.norkresearch.co.jp)は経産省/IPAが主導するSCS評価制度の要求事項(「3つ星」26項目、「4つ星」43項目)とユーザ企業の課題/ニーズを照合し、IT企業がSCS評価制度を踏まえたセキュリティ、運用管理、バックアップの製品/サービス導入を促進するための分析結果を発表した。 本リリースは「2025年版 中堅・中小企業のセキュリティ/運用管理/バックアップ利用実態と展望レポート増補版」のサンプル/ダイジェストである。
<SCS評価制度の要求事項と照合した課題/ニーズを訴求すれば、ツール導入率は大幅に高まる>
■SCS評価制度に伴うセキュリティ/運用管理/バックアップの導入提案では「優先度」が重要
■要求事項(満たすべき条件や実践すべき取り組み)は「3つ星」で26項目、「4つ星」で43項目
■ユーザ企業の課題/ニーズと要求事項が両立&連動した提案方法を年商別・業種別に網羅
■SCS評価制度に伴うセキュリティ/運用管理/バックアップの導入提案では「優先度」が重要
2026年度末(2027年1~3月頃)からは経産省やとIPAが主導する 『サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)』 の「3つ星」および「4つ星」の申請受付開始が予定されている。サプライチェーンを構成する中堅・中小企業がこれら2つの認定レベルのいずれかを取得することは、取引先の信頼を獲得/維持する上でも不可避となってくる。
認定を取得する過程でセキュリティ/運用管理/バックアップを担うツールを新たに導入する必要が生じるケースも少なくないと予想されるため、ベンダや販社/SIerにとっては製品/サービスの訴求機会となる。だが、SCS評価制度で求められる要求事項(満たすべき条件や実践すべき取り組み)は「3つ星」で計26項目、「4つ星」で計43項目と多岐に渡るため、ベンダや販社/SIerから見ると、「ツール導入で対応すべき項目と運用ルールでカバーすべき項目の優先度付けをどう判断するか?」が難しい。
その一方で、ノークリサーチの「2025年版 中堅・中小企業のセキュリティ/運用管理/バックアップ利用実態と展望レポート」(※)では有効回答1300社のユーザ企業を対象にセキュリティ/運用管理/バックアップの課題やニーズを詳細に集計/分析している。
そこで、本リリースの元となる調査レポートでは(※)の増補版として、SCS評価制度の要求事項とユーザ企業の課題/ニーズを照合している。これによって、ベンダや販社/SIerはユーザ企業に対して「***という課題/ニーズはSCS評価制度においても要求事項****として明記されているので、ツールを導入して優先的に対処していきましょう」といった提案が可能となる。ユーザ企業としても、自社の課題やニーズに該当する要求事項から優先的に対応することでSCS評価制度への取り組みを前向きに進めることができる。
■要求事項(満たすべき条件や実践すべき取り組み)は「3つ星」で26項目、「4つ星」で43項目
経産省やIPAが主導するセキュリティ対策レベルの評価には「SCS評価制度」の前段階となる「SECURITY ACTION」も含めて「1つ星」~「5つ星」の5つの段階が設定されている。(セキュリティ対策レベルの全体像は下記の関連リリース2ページを参照 (リンク ») )
その中でサプライチェーンを構成する中堅・中小企業が深く関連するのが、以下に整理した「SCS評価制度」の「3つ星」「4つ星」である。(「 (リンク ») 2026年4月21日更新版」を元にノークリサーチにて作成)
SCS評価制度で求められる要求事項は「3つ星」では以下の表でマルの付いた26項目、「4つ星」は以下の表に列挙した43項目全てが対象となる。「3つ星」にマルが付いており、「4つ星」に付いていない項目は「3つ星」の内容がそのまま「4つ星」にも適用される。「3つ星」と「4つ星」の双方にマルが付いている項目は同じ要求事項でも「3つ星」と「4つ星」で評価基準が異なってくる。
例えば、大分類「取引先管理」、中分類「サイバーセキュリティサプライチェーンリスクマネジメント」の要求事項「2-1-2. 機密情報の取扱い」は上記の表で「3つ星」のみにマルが付いている。この要求事項では、機密情報の取り扱い方法を自社と共有先の間で明確にすることが求められており、「3つ星」と「4つ星」の双方が該当する。
一方、大分類「ガバナンスの整備」、中分類「役割、責任、権限」の「1-2-1. セキュリティ推進活動部門」は上記の表で「3つ星」と「4つ星」の双方にマルが付いている。この場合、「3つ星」ではセキュリティを統括する役員およびセキュリティ担当部署の役割/責任の明確化が求められるが、「4つ星」ではそれらに加えてセキュリティリスクへの対応について経営層が参加して経営判断を行う体制(情報セキュリティ委員会など)の設置が求められてくる。
次頁では上記の表に列挙されたSCS評価制度の要求事項をユーザ企業の課題/ニーズと照合した分析例を紹介していく。
■ユーザ企業の課題/ニーズと要求事項が両立&連動した提案方法を年商別・業種別に網羅
本リリースの元となる調査レポートでは、セキュリティ/運用管理/バックアップの課題およびニーズを各々20項目超の選択肢を列挙して分析している。(項目一覧は右記の関連リリースを参照 (リンク ») )
さらに上記の分析は中堅・中小企業全体だけでなく、年商別(小規模企業、中小企業、中堅企業)と業種別(製造業・建設業、卸売業・小売業、運輸業・サービス業)にも実施している。ベンダや販社/SIerがSCS評価制度を契機として製品/サービス導入を訴求する際には、まず「SCS評価制度に関連する課題/ニーズは何か?」を把握する必要がある。そこで、調査レポートでは今後のニーズとして「取引先への影響も含めた対策の重要性を啓蒙してくれる」という項目に挙げたユーザ企業(=今後SCS評価制度に取り組むと予想されるユーザ企業)において全体平均と比べて回答割合の高い課題/ニーズは何か?を明らかにしている。例えば、以下のグラフは製造業・建設業においてSCS評価制度に関連する課題項目の一部を抜粋したものだ。
さらに、調査レポートでは課題/ニーズに対応するSCS評価制度における要求事項は何か?を明らかにしている。以下は上記のグラフに記載した課題項目に対応する要求事項を列挙したものだ。(以下では青太字が大分類、緑太字が中分類を示している)
課題 大分類 中分類 要求事項
※1 ⇒ 「ガバナンスの整備」 「役割、責任、権限」 1-2-1. セキュリティ推進活動部門(3つ星、4つ星)
※2 ⇒ 「インシデントへの対応」 「インシデント管理」 6-1-1. インシデント対応手順(3つ星)
※3 ⇒ 「攻撃等の防御」 「意識向上とトレーニング」 4-2-1. セキュリティの意識向上のための教育・研修(4つ星)
※4 ⇒ 「攻撃等の防御」 「データセキュリティ」 4-3-4. 適切なバックアップ(3つ星)
※1の課題が示すように中堅・中小企業がCISO(Chief Information Security Officer)を採用/育成することは容易ではない。だが、要求事項1-2-1では「3つ星」においてもセキュリティを統括する役員とセキュリティ担当部署の役割/責任の明確化が求められている。したがって、今後はIT企業がCISO相当の人材を派遣する動きなどが活発になる可能性もある。
サプライチェーンへのマルウェア被害拡大を防ぐためには、要求事項6-1-1が求めるインシデント対応手順の整備も欠かせない。
だが、※2の課題が示すように中堅・中小企業では対策マニュアルの必要性を感じていても、それを実践できないケースも多い。
要求事項6-1-1を満たしたインシデント対応手順のテンプレートを提供できれば、IT企業側としては大きな差別化ポイントとなる。
※3の課題に対しては要求事項4-2-1(4つ星)が求める教育や研修が有効だ。ここで注意すべき点は関連する要求事項「4-2-2.セキュリティインシデント発生時の教育・訓練」が3つ星であることだ。つまり、より多くの中堅・中小企業が該当すると予想される「3つ星」に対しては、マルウェア感染の予防に寄与する4-2-1よりもインシデント発生時の対処である4-2-2が優先されていることになる。こうした点にサプライチェーンを介したマルウェア被害の拡大を防止するというSCS評価制度の基本思想が表れている。
また、※4の課題に対応する要求事項4-3-4では「バックアップ対象ごとのリストア手順の整備」が求められているが、リストアの検証までは明記されていない。だが、ランサムウェア被害が増加する昨今の状況を踏まえると、保護されたバックアップデータを確実にリストアできる手段を日頃から確認しておくことが大切だ。IT企業としては要求事項4-3-4の内容に留まらず、ランサムウェア被害を想定したバックアップ/リストアの手段を提案していく役割が求められてくる。
ここでは卸売業・小売業に関する分析のごく一部を抜粋したが、調査レポートでは年商別/業種別に上記のような分析と提言を詳しく述べている。
本リリースの元となる調査レポート
『2025年版 中堅・中小企業のセキュリティ/運用管理/バックアップ利用実態と展望レポート増補版』
本調査レポートは本ページ下段に記載した通常版の調査レポートに以下の集計/分析を加えた内容となっています。
年商3区分と業種3区分の計6区分について、「取引先への影響を考慮したセキュリティ対策への意識が高いユーザ企業」において回答割合が高い課題(以下のR4)とニーズ(以下のR5)を集計。さらにそれらの課題/ニーズに対応するSCS評価制度の要求事項は何か?を解説。SCS評価制度とユーザ企業の課題/ニーズを両立&連動させた提案方法を提言。
・R4.守りのIT対策において現時点で抱えている課題(複数回答可)
・R5.守りのIT対策の製品/サービスが今後持つべきと考える機能や特徴(複数回答可)
年商区分:
小規模企業: 年商5億円未満
中小企業: 年商5億円以上~50億円未満
中堅企業: 年商50億円以上~500億円未満
業種区分:
製造業・建設業: 組立製造、加工製造(プロセス製造)、建築、土木、設備など
卸売業・小売業: 商品の卸売(商社、仲介など)、小売(スーパー、専門店など)
運輸業・サービス業: 運輸(トラック運送、倉庫など)および各種のサービス業
【調査レポートの収録内容】
第0章: 本調査レポートの背景
第1章: SCS評価制度の概略
第2章: SCS評価制度とユーザ企業が抱える課題の関係
2-1. 中堅・中小企業全体の課題傾向
2-2. 小規模企業層における課題傾向
2-3. 中小企業層における課題傾向
2-4. 中堅企業層における課題傾向
2-5. 製造業・建設業における課題傾向
2-6. 卸売業・小売業における課題傾向
2-7. 運輸業・サービス業における課題傾向
第3章: SCS評価制度とユーザ企業が考える今後のニーズとの関係
3-1. 中堅・中小企業全体のニーズ傾向
3-2. 小規模企業層におけるニーズ傾向
3-3. 中小企業層におけるニーズ傾向
3-4. 中堅企業層におけるニーズ傾向
3-5. 製造業・建設業におけるニーズ傾向
3-6. 卸売業・小売業におけるニーズ傾向
3-7. 運輸業・サービス業におけるニーズ傾向
価格: 270,000円(税別) 通常版をご購入済みの場合は45,000円(税別)で増補版収録分を追加購入可
発刊日: 2026年7月31日
通常版 『2025年版 中堅・中小企業のセキュリティ/運用管理/バックアップ利用実態と展望レポート』
【調査レポートの収録内容】
本調査レポートは調査結果の要点と提言を記載した「分析サマリ」(PDF形式)と多数の集計データ(Microsoft Excel形式)で構成されている。分析サマリの章構成は以下の通りであり、中堅・中小企業における守りのIT対策(セキュリティ/運用管理/バックアップ)に関する実態を網羅した内容となっている
第1章: 守りのIT対策の実施状況における変化
第2章: 守りのIT対策における評価/満足の変化と最新動向
第3章: 守りのIT対策における課題の変化と最新動向
第4章: 守りのIT対策におけるニーズの変化と最新動向
第5章: 守りのIT対策の開発元(ベンダ)の導入社数シェア変化
第6章: 守りのIT対策における費用
本リリースの無断引用・転載を禁じます。引用・転載をご希望の場合は下記をご参照の上、担当窓口にお問い合わせください。
引用・転載のポリシー: (リンク »)
本リリースに関するお問い合わせ
株式会社 ノークリサーチ 担当:岩上 由高
〒160-0022 東京都新宿区新宿2-13-10 武蔵野ビル5階23号室
TEL 03-5361-7880 FAX 03-5361-7881
Mail: inform@norkresearch.co.jp
Web: www.norkresearch.co.jp
お問い合わせにつきましては発表元企業までお願いいたします。
