サプライチェーンセキュリティ対策評価制度の対象は？無駄を省く事前準備を解説

経済産業省が構築を進める「サプライチェーン強化に向けたセキュリティ対策評価制度」は、業種や企業規模を問わず、サプライチェーンに属する幅広い企業が対象となる制度です。しかし「自社は対象になるのか」「委託元と委託先、どちらの立場でも関係があるのか」といった点は、意外と正確に理解されていないケースも多く見られます。

本記事では、本制度の対象範囲や対象企業のイメージ、評価レベル（★3・★4）ごとの対象の考え方、そして対象企業が今から取り組んでおきたい注意点や対策例について解説します。

1.本制度における「対象」の考え方

経済産業省が公表している制度構築方針では、本制度の対象は「企業体におけるセキュリティ対策」であるとされています。具体的には、組織のガバナンス体制や取引先管理、自社のIT基盤に対する検知・防御など、組織全体に影響が及ぶ範囲が評価の対象です。

一方で、ソフトウェア開発やIoT機器そのもののセキュリティを評価する制度とは目的が異なるため、求められる対策の内容も基本的に異なります。あわせて、対象となるのは企業等が保有・利用するIT基盤（クラウド環境で運用するものを含む）であり、製造現場の制御システム（OT）や、発注元に納品する製品そのものは、本制度の直接の評価対象には基本的に含まれないとされています。自社がどこまで対象範囲に含まれるのか、混同しないよう整理しておくことが大切です。

2.対象となる企業・業種のイメージ

本制度は、業種・規模を問わず、サプライチェーンに属するすべての企業が対象になり得るとされています。具体的には、次のような企業・事業者が対象イメージとして挙げられます。

BtoB取引を行う中小企業全般

発注元から★の取得を求められる可能性がある、いわゆるサプライチェーンの下支え層

情報システムの開発・構築・運用を受託する事業者

委託元の情報資産を扱う立場として対象範囲に含まれる可能性が高い

クラウドサービス（IaaS・PaaS・SaaS）を提供する事業者

委託先としてサービスを提供する立場から対象となり得る

発注企業（委託元）自身

自社が委託先に★レベルを提示し、実施状況を確認する立場としても関係する

つまり本制度は、「委託先だから関係がある」というだけでなく、発注する側の企業にとっても、取引先管理の観点から無関係ではない制度だといえます。

3.★3・★4における対象の違い

本制度は★1〜★5の5段階で構成されており、★1・★2は既存の「SECURITY ACTION」制度を、★3以降は本制度独自の基準を活用します。対象となる企業層は共通していますが、想定される到達レベルには違いがあります。

★3は、業種や規模を問わず、サプライチェーンに参加するすべての企業が最低限実施すべき対策として位置づけられており、専門家の確認を受けた自己評価によって取得します。有効期間は1年です。

★4は、★3の内容を包括したうえで、より高度な組織的対応（ガバナンス体制の強化や委託先管理、検知・対応体制など）が求められる標準的な到達レベルであり、評価機関による第三者評価（書類審査・実地審査・技術検証）を経て取得します。有効期間は3年です。

取引先から求められる★のレベルは、企業の規模や取り扱う情報の重要度によって異なることが想定されるため、自社がどのレベルを目指すべきか、取引先との関係性から見極めておくことが重要です。

4.対象企業が取り組む際の注意点

（1）「委託先だから関係ない」という思い込みに注意

発注する側の企業であっても、委託先管理の観点から本制度と無関係ではありません。自社が委託元となる取引がある場合は、委託先のセキュリティ対策状況を確認・管理する視点も必要になります。

（2）自社の対象範囲を正しく切り分ける

IT基盤は対象に含まれる一方、OT（制御システム）や納品する製品そのものは基本的に対象外です。自社の事業の中で、どこまでが本制度の評価対象になるのかを最初に整理しておかないと、対応範囲を誤り、無駄な工数をかけてしまう可能性があります。

（3）取引先ごとに求められる★レベルが異なる可能性

複数の取引先を持つ企業の場合、取引先によって求められる★のレベルが異なることも考えられます。特定の取引先の要求水準だけを見て準備を進めると、他の取引先の要求に対応しきれない可能性があるため、自社が関わる取引全体を俯瞰して準備することが望ましいです。

5.対象企業が今から取り組んでおきたい対策の例

制度の本格運用が始まる前の今のうちから、以下のような取り組みを進めておくと、いざ★の取得を求められた際にもスムーズに対応しやすくなります。

当社では、ISO・Pマークの認証取得・運用支援や脆弱性診断に加え、本制度の対象範囲の整理や★3・★4取得に向けたギャップ分析のサポートも行っております。自社がどこまで対象になるのか整理したい、取引先から求められる前に準備を始めたいといったお悩みがございましたら、ぜひ無料相談にお問合せください。

6.まとめ

サプライチェーン強化に向けたセキュリティ対策評価制度は、業種・規模を問わず、サプライチェーンに属するすべての企業が対象となり得る制度です。委託先としてだけでなく、委託元の立場からも関係する点、IT基盤が中心的な対象範囲である点を正しく理解し、自社がどこまで対象になるのかを早めに整理しておくことが重要です。取引先から求められてから慌てることのないよう、今のうちから対象範囲の把握と準備を計画的に進めていきましょう。