★☆★JNSAメールマガジン 第346号 2026.9.4☆★☆
2026/09/04 (Fri) 15:30
★☆★JNSAメールマガジン 第346号 2026.9.4☆★☆
こんにちは
JNSAメールマガジン 第346号 をお届けします。
メールマガジンはJNSAのホームページでもご覧いただけます。
JNSAメールマガジン https://www.jnsa.org/aboutus/ml.html#passed
コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。
今回のメールマガジンは
JNSA 社会活動部会 部会長 唐沢勇輔様にご寄稿いただきました。
【連載リレーコラム】
SCS評価制度に関する勉強会レポート
JNSA 社会活動部会 部会長
唐沢勇輔
2026年8月3日、JNSAでは会員限定勉強会「SCS評価制度の普及と運営体制に
関する課題整理」を開催しました。2027年3月の運用開始に向けて準備が進む
SCS（サプライチェーンセキュリティ）評価制度について、制度を推進する
独立行政法人情報処理推進機構（IPA）の菅野和弥氏から制度の狙いと全体像を、
制度設計に関わるPwCコンサルティング合同会社の丸山満彦氏から利活用上の
課題を解説いただきました。後半のディスカッションでは、評価機関、専門家、
中小企業支援、発注者側の活用など、制度を実際に動かすうえで避けて通れない
論点について意見を交わしました。
本制度が必要とされる背景には、サプライチェーンを介した攻撃の深刻化があり
ます。「情報セキュリティ10大脅威 2026」では、組織向け脅威の1位がランサム
ウェア、2位がサプライチェーンや委託先を狙った攻撃とされました。被害は
情報漏えいにとどまらず、取引先やサービスの停止、物流や生産への影響へと
広がります。また、各発注企業が独自の調査票を取引先に求めれば、受注企業
には似た確認への重複対応が生じます。SCS評価制度は、対策状況を共通の尺度
で可視化し、発注者と受注者の確認負荷を減らしながら、社会全体のサイバー
レジリエンスを高めることを目指しています。
制度はまず★3と★4から始まります。★3は専門家確認付きの自己評価で、有効
期間は1年です。★4は文書確認、実地審査、技術検証を含む第三者評価で、有効
期間は3年、毎年の自己評価提出が必要です。原則として法人または個人事業主
単位のIT基盤を対象とし、一定の確認を経てグループ単位や事業部単位での取得
も可能とされています。一方、OTや出荷製品そのものは対象外です。NIST CSFの
6分類に「取引先管理」を加えた7分類で構成され、単なる宣言ではなく、実装
状況を確認する仕組みとして設計されています。
勉強会で特に印象に残ったのは、「要求事項」だけでなく、その下にある「評価
基準」を読む必要があるという指摘です。要求事項は目次に近く、実際の判断で
は★3で81項目、★4で153項目の評価基準が本体となります。例えばクラウド
サービスを利用している場合、SOC 2レポートなどを確認し、SCSの基準と突き
合わせる作業が想定されます。しかし、英語で書かれたレポートと評価項目の
並びは必ずしも一致せず、利用企業や評価者に大きな負担がかかります。
「関連法令を網羅的に把握する」といった表現も、評価側と受審側で解釈が
分かれる可能性があります。誰が読んでも同じ判断に近づけるガイドや事例の
充実が、制度への信頼を左右するでしょう。
もう一つの重要な論点は、制度を支える運営側の持続可能性です。中小企業が
利用しやすい価格と期間を目指す一方、審査を安価かつ短期間にしすぎれば、
評価機関の事業として成立せず、担い手不足や審査待ちを招きかねません。
評価後にインシデントが起きた際の責任範囲、グループ会社間の評価における
第三者性、技術検証でどこまで証跡を確認するかなども、参入する側が予見
できる形で明確にする必要があります。制度の普及には、受審企業への支援だけ
でなく、評価機関や専門家が継続的に活動できる環境づくりが欠かせません。
一方で、SCS評価制度を「星を取るための制度」とだけ捉えるのは、本来の価値
を狭めてしまいます。本制度は企業を競わせる格付けではなく、発注者と受注者
が対策状況を確認し、必要な改善を話し合うためのコミュニケーションツールです。
未取得の企業でも、評価基準を自社の現状把握やギャップ分析に利用できます。
発注者側も、一律に取得を迫るのではなく、自社のリスクに照らして本当に必要
な対策を示し、費用負担や価格転嫁にも配慮する姿勢が求められます。任意制度
である以上、「取得しなければ取引できない」といった不適切な使い方を避ける
ことも重要です。
制度は、完成品として社会に置かれるものではありません。基準の解釈、既存
制度との整理、中小企業向け支援、評価人材の育成、発注者の活用方法など、
運用を通じて磨くべき点が数多くあります。今回の勉強会では、分からないことや
改善すべき点を関係者が声に出し、制度設計側、評価側、利用側の「三方よし」
を目指すことの大切さが共有されました。
SCS評価制度が真に社会へ定着するために必要なのは、星の数を増やすことだけ
ではありません。共通の尺度を使って対話し、できていない点を可視化し、
改善を続ける文化を広げることです。JNSA社会活動部会としても、会員の知見と
現場の声をつなぎ、制度をより分かりやすく、使いやすく、持続可能なものへ
育てる場をつくっていければと考えています。
＃連載リレーコラム、ここまで
＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。
＜ワンクリックアンケートお願い＞
今回のメールマガジンの感想をお寄せください。
https://tinyurl.com/2va4pk4e
※googleアンケートフォームを利用しています。
【イベントのお知らせ】
★「JNSA全国サイバーセキュリティセミナー2026」
東京・9月9日（水）ハイブリッド開催
https://www.jnsa.org/seminar/2026/cross/index.html
★日本ISMSユーザグループ「LT（ライトニングトーク）形式による勉強会」
2026年9月15日（火）オンラインにて開催！！
https://www.jnsa.org/seminar/std/isms/20260915/index.html
★「JNSA-IAC3 第3回サイバーセキュリティセミナー」
2026年9月17日（木）ハイブリッド開催 参加受付を開始しました！
https://www.jnsa.org/seminar/iac3/20260917/
【部会・WGからのお知らせ】
★日本セキュリティオペレーション事業者協議会(ISOG-J)の
セキュリティオペレーション連携WG(WG6)が
「セキュリティ対応組織の教科書 第3.2.2版」を公開しました。
https://www.jnsa.org/result/
★調査研究部会 X.1060マップ活用ワーキンググループが
「X.1060サービスマップ」改訂版を公開しました。
https://www.jnsa.org/result/x.1060/index.html
★JNSA主催セミナー／イベントの動画・講演資料順次公開中！
JNSAホームページをご確認ください
https://www.jnsa.org/
【事務局からのお知らせ】
★2026年7月22日、23日、24日開催「JNSA 2026年度活動報告会」
講演資料・講演動画を公開しました！
https://www.jnsa.org/seminar/2026/active/index.html
https://www.youtube.com/playlist?list=PLCtmxuNWC3rY
★JNSA事務局を騙った詐欺事件が発生しています。
当協会から個人の方へ金銭のご請求を行うことはございません。
お心当たりのある方は最寄りの警察署に実際に足を運んで御相談下さい！！
★セキュリティにまつわる課題解決を支援！「JNSAソリューションガイド」
JNSAの会員企業が取り扱うネットワークセキュリティに関する製品やサービス、
イベント情報などをご紹介しています。是非お役立てください！
https://sg.jnsa.org/
☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
sec@jnsa.org
☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡 <https://www.jnsa.org/aboutus/ml.html>
*************************************
JNSAメールマガジン 第346号
発信日：2026年9月4日
発 行：JNSA事務局 sec@jnsa.org
*************************************
こんにちは
JNSAメールマガジン 第346号 をお届けします。
メールマガジンはJNSAのホームページでもご覧いただけます。
JNSAメールマガジン https://www.jnsa.org/aboutus/ml.html#passed
コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。
今回のメールマガジンは
JNSA 社会活動部会 部会長 唐沢勇輔様にご寄稿いただきました。
【連載リレーコラム】
SCS評価制度に関する勉強会レポート
JNSA 社会活動部会 部会長
唐沢勇輔
2026年8月3日、JNSAでは会員限定勉強会「SCS評価制度の普及と運営体制に
関する課題整理」を開催しました。2027年3月の運用開始に向けて準備が進む
SCS（サプライチェーンセキュリティ）評価制度について、制度を推進する
独立行政法人情報処理推進機構（IPA）の菅野和弥氏から制度の狙いと全体像を、
制度設計に関わるPwCコンサルティング合同会社の丸山満彦氏から利活用上の
課題を解説いただきました。後半のディスカッションでは、評価機関、専門家、
中小企業支援、発注者側の活用など、制度を実際に動かすうえで避けて通れない
論点について意見を交わしました。
本制度が必要とされる背景には、サプライチェーンを介した攻撃の深刻化があり
ます。「情報セキュリティ10大脅威 2026」では、組織向け脅威の1位がランサム
ウェア、2位がサプライチェーンや委託先を狙った攻撃とされました。被害は
情報漏えいにとどまらず、取引先やサービスの停止、物流や生産への影響へと
広がります。また、各発注企業が独自の調査票を取引先に求めれば、受注企業
には似た確認への重複対応が生じます。SCS評価制度は、対策状況を共通の尺度
で可視化し、発注者と受注者の確認負荷を減らしながら、社会全体のサイバー
レジリエンスを高めることを目指しています。
制度はまず★3と★4から始まります。★3は専門家確認付きの自己評価で、有効
期間は1年です。★4は文書確認、実地審査、技術検証を含む第三者評価で、有効
期間は3年、毎年の自己評価提出が必要です。原則として法人または個人事業主
単位のIT基盤を対象とし、一定の確認を経てグループ単位や事業部単位での取得
も可能とされています。一方、OTや出荷製品そのものは対象外です。NIST CSFの
6分類に「取引先管理」を加えた7分類で構成され、単なる宣言ではなく、実装
状況を確認する仕組みとして設計されています。
勉強会で特に印象に残ったのは、「要求事項」だけでなく、その下にある「評価
基準」を読む必要があるという指摘です。要求事項は目次に近く、実際の判断で
は★3で81項目、★4で153項目の評価基準が本体となります。例えばクラウド
サービスを利用している場合、SOC 2レポートなどを確認し、SCSの基準と突き
合わせる作業が想定されます。しかし、英語で書かれたレポートと評価項目の
並びは必ずしも一致せず、利用企業や評価者に大きな負担がかかります。
「関連法令を網羅的に把握する」といった表現も、評価側と受審側で解釈が
分かれる可能性があります。誰が読んでも同じ判断に近づけるガイドや事例の
充実が、制度への信頼を左右するでしょう。
もう一つの重要な論点は、制度を支える運営側の持続可能性です。中小企業が
利用しやすい価格と期間を目指す一方、審査を安価かつ短期間にしすぎれば、
評価機関の事業として成立せず、担い手不足や審査待ちを招きかねません。
評価後にインシデントが起きた際の責任範囲、グループ会社間の評価における
第三者性、技術検証でどこまで証跡を確認するかなども、参入する側が予見
できる形で明確にする必要があります。制度の普及には、受審企業への支援だけ
でなく、評価機関や専門家が継続的に活動できる環境づくりが欠かせません。
一方で、SCS評価制度を「星を取るための制度」とだけ捉えるのは、本来の価値
を狭めてしまいます。本制度は企業を競わせる格付けではなく、発注者と受注者
が対策状況を確認し、必要な改善を話し合うためのコミュニケーションツールです。
未取得の企業でも、評価基準を自社の現状把握やギャップ分析に利用できます。
発注者側も、一律に取得を迫るのではなく、自社のリスクに照らして本当に必要
な対策を示し、費用負担や価格転嫁にも配慮する姿勢が求められます。任意制度
である以上、「取得しなければ取引できない」といった不適切な使い方を避ける
ことも重要です。
制度は、完成品として社会に置かれるものではありません。基準の解釈、既存
制度との整理、中小企業向け支援、評価人材の育成、発注者の活用方法など、
運用を通じて磨くべき点が数多くあります。今回の勉強会では、分からないことや
改善すべき点を関係者が声に出し、制度設計側、評価側、利用側の「三方よし」
を目指すことの大切さが共有されました。
SCS評価制度が真に社会へ定着するために必要なのは、星の数を増やすことだけ
ではありません。共通の尺度を使って対話し、できていない点を可視化し、
改善を続ける文化を広げることです。JNSA社会活動部会としても、会員の知見と
現場の声をつなぎ、制度をより分かりやすく、使いやすく、持続可能なものへ
育てる場をつくっていければと考えています。
＃連載リレーコラム、ここまで
＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。
＜ワンクリックアンケートお願い＞
今回のメールマガジンの感想をお寄せください。
https://tinyurl.com/2va4pk4e
※googleアンケートフォームを利用しています。
【イベントのお知らせ】
★「JNSA全国サイバーセキュリティセミナー2026」
東京・9月9日（水）ハイブリッド開催
https://www.jnsa.org/seminar/2026/cross/index.html
★日本ISMSユーザグループ「LT（ライトニングトーク）形式による勉強会」
2026年9月15日（火）オンラインにて開催！！
https://www.jnsa.org/seminar/std/isms/20260915/index.html
★「JNSA-IAC3 第3回サイバーセキュリティセミナー」
2026年9月17日（木）ハイブリッド開催 参加受付を開始しました！
https://www.jnsa.org/seminar/iac3/20260917/
【部会・WGからのお知らせ】
★日本セキュリティオペレーション事業者協議会(ISOG-J)の
セキュリティオペレーション連携WG(WG6)が
「セキュリティ対応組織の教科書 第3.2.2版」を公開しました。
https://www.jnsa.org/result/
★調査研究部会 X.1060マップ活用ワーキンググループが
「X.1060サービスマップ」改訂版を公開しました。
https://www.jnsa.org/result/x.1060/index.html
★JNSA主催セミナー／イベントの動画・講演資料順次公開中！
JNSAホームページをご確認ください
https://www.jnsa.org/
【事務局からのお知らせ】
★2026年7月22日、23日、24日開催「JNSA 2026年度活動報告会」
講演資料・講演動画を公開しました！
https://www.jnsa.org/seminar/2026/active/index.html
https://www.youtube.com/playlist?list=PLCtmxuNWC3rY
★JNSA事務局を騙った詐欺事件が発生しています。
当協会から個人の方へ金銭のご請求を行うことはございません。
お心当たりのある方は最寄りの警察署に実際に足を運んで御相談下さい！！
★セキュリティにまつわる課題解決を支援！「JNSAソリューションガイド」
JNSAの会員企業が取り扱うネットワークセキュリティに関する製品やサービス、
イベント情報などをご紹介しています。是非お役立てください！
https://sg.jnsa.org/
☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
sec@jnsa.org
☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡 <https://www.jnsa.org/aboutus/ml.html>
*************************************
JNSAメールマガジン 第346号
発信日：2026年9月4日
発 行：JNSA事務局 sec@jnsa.org
*************************************