ランサムウェア(データを暗号化して身代金を要求するウイルス)の被害や、個人情報の漏えいのニュースを、目にしない週はないほどになりました。被害は大企業だけではありません。取引先の中小企業が入り口になり、取引全体が止まってしまう例も増えています。
私は中小企業診断士として、また公的支援機関の相談員として、日々中小企業のDXや業務改善のご相談に関わっています。その公的機関の相談でも、ここ最近、セキュリティ対策についてのご相談がはっきり増えてきました。
「何から手をつければいいのかわからない」「取引先から対策の状況を聞かれた」。こうした声に、この記事では、無理なく進められる3つのステップでお答えします。
取引先から「対策の状況」を問われる時代に
これまで、セキュリティ対策は「自社を守るため」のものでした。これからは、それに加えて「取引を続けるため」のものにもなっていきます。
経済産業省は2026年3月、「サプライチェーン強化に向けたセキュリティ対策評価制度」(SCS評価制度)の制度構築方針を公表しました。取引先どうしで、セキュリティ対策の状況を共通の基準で確かめられるようにする仕組みです。委託する側が委託先に「この段階まで対策してください」と示すことが想定されています。
対策の段階は★3と★4に分かれ(★5は今後検討)、2026年度末頃の制度開始(申請受付の開始)が目指されています。いまのうちに準備を始めておけば、取引先から求められたときに慌てずにすみます。
いきなり認証ではなく、3つのステップで
とはいえ、何も手をつけていない状態から、いきなり評価制度の取得を目指すのは大変です。私は、次の3つのステップで一段ずつ進めることをおすすめしています。
STEP 1:自己チェックで、今の状態を知る
最初の一歩は、IPA(情報処理推進機構)の「5分でできる!情報セキュリティ自社診断」です。「パソコンやスマホのOSを最新にしているか」「重要な情報のバックアップを取っているか」といった25の質問に答えると、自社の状態が点数でわかります。
大事なのは、点数そのものより、「できていない項目」と「わからない項目」が見えることです。特に「わからない」が多い場合は、社内のパソコンやサービス、重要な情報がどこにあるかを、誰も把握していないことが多いのです。
STEP 2:SECURITY ACTION 二つ星を宣言する
SECURITY ACTION(セキュリティアクション)は、中小企業が自らセキュリティ対策に取り組むことを宣言する、IPAの制度です。宣言は無料で、取り組みの段階に応じて2つの星があります。
| 段階 | 取り組むこと |
|---|---|
| 一つ星 | 「情報セキュリティ6か条」に取り組む |
| 二つ星 | 自社診断で状況を把握したうえで、情報セキュリティ基本方針を定めて外部に公開する |
おすすめは、最初から二つ星を目指すことです。STEP 1の自社診断がそのまま要件になっていて、基本方針を決めることで「誰が責任を持つか」「何を守るか」が社内で明確になります。一部の補助金では、SECURITY ACTIONの宣言が申請の要件にもなっています。
なお、2026年4月から申込の方法が変わり、宣言の申込にはGビズIDプライム(国の電子申請で使う法人向けのアカウント)が必要になりました。取得には時間がかかることがあるので、早めに準備しておくと安心です。
当社も、SECURITY ACTIONの二つ星を宣言し、情報セキュリティ基本方針を公開しています。
STEP 3:SCS評価制度 ★3を目指す
二つ星で組織としての取り組みが始まったら、次はSCS評価制度の★3です。★3は、専門家の確認を経た自己評価で取得し、★4は第三者の評価機関による評価で取得する想定です。★3・★4の要求事項と評価基準は、すでに経済産業省から公開されています。
STEP 2で作った基本方針や、資産の一覧、社内のルールは、★3の準備にもそのまま生きてきます。二つ星は、★3への土台づくりと考えてください。
1つ注意があります。経済産業省は、この制度に関する不適切な勧誘に注意するよう呼びかけています。制度の評価基準を満たすのに、特定のセキュリティ製品の導入が必須とされているわけではありません。「この製品を入れないと取得できない」といった営業には、気をつけてください。
ご相談の現場から
最近いただいているご相談を、2つご紹介します。どちらもまだ準備を始めた段階ですが、中小企業が直面しやすい課題がよく表れています。
本部と複数の店舗を持つ飲食店チェーン
店舗ごとに、レジ、予約サイト、注文用のタブレット、お客様用のWi-Fiなど、つながる機器やサービスがたくさんあります。そのうえ、アルバイトの方が多く、人の入れ替わりもあります。
このような会社では、まず本部と各店舗の機器やサービスを一覧にするところから始めます。ルールは、アルバイトの方にも伝わるよう、あえて薄く作ることが大切です。分厚い規程は、現場では読まれません。
生成AIの導入を検討している企業
生成AIを業務に取り入れたいというご相談から、「その前に、社内のセキュリティを整えておきたい」という話に広がったケースです。AIに入れてよい情報を決めるには、そもそも社内にどんな情報があって、誰が扱っているかを把握している必要があります。AIの活用と、セキュリティ対策は地続きです。生成AIのルールの決め方は「生成AIの社内ルール」の記事で書いています。
当社のご支援
当社では、SECURITY ACTION二つ星の宣言から、社内での定着までを伴走します。たとえば全10回のメニューでは、次のような流れで進めます。
- 体制づくり……責任者と担当者を決め、経営者がいちばん心配している事態を聞き取る
- 棚卸し……機器、クラウドサービスとアカウント、重要な情報のありかを一覧にする
- 自社診断と基本方針……自社診断を集計し、基本方針を作って公開し、二つ星を宣言する
- 対策の決定……リスクの大きいものから優先順位をつけ、ルールで対応するものと投資が必要なものを分ける
- 定着……社内のルールブック、従業員への説明、緊急時の連絡の流れを作り、最後にもう一度自社診断で効果を確かめる
あわせて、将来SCS評価制度の★3を目指すときに作り直しにならないよう、★3を見据えた形で資料を整えていきます。
なお、パソコンの入れ替えやネットワークの工事など、技術的な対策の実装は、御社とITベンダーの作業になります。当社は、何を・どの順番で・いくらくらいかけて対策するかを、中立の立場で一緒に整理する役割です。SCS評価制度の評価そのもの(専門家の確認や第三者評価)を当社が行うものではありません。中小企業向けには、IPAの「サイバーセキュリティお助け隊サービス」のように、機器の監視や駆けつけまでをまとめて提供するサービスもあり、必要に応じて組み合わせをご提案します。
明日からやれること:5分の自社診断を1回やってみる
まずは、IPAの「5分でできる!情報セキュリティ自社診断」を、経営者ご自身で1回やってみてください。
- 25の質問に答えて、点数を出す
- 「わからない」と答えた項目に印をつける
- 印をつけた項目について、社内で誰に聞けば答えがわかるかを考える
3番目で「誰に聞けばいいかわからない」項目があれば、そこが最初に手をつけるべきところです。
まとめ
- セキュリティ対策は「取引を続けるため」のものにも……SCS評価制度は2026年度末頃の開始を目指している
- STEP 1……5分でできる自社診断で、今の状態を知る
- STEP 2……SECURITY ACTION二つ星を宣言し、組織として取り組み始める
- STEP 3……二つ星の土台の上に、SCS評価制度★3を目指す
SCS評価制度の開始時期や要件は、今後変更される可能性があります。この記事は2026年11月時点の経済産業省・IPAの公開情報をもとにしています。最新の情報は、各機関の公式サイトでご確認ください。
関連サービス・記事
セキュリティ対策、何から始めるか一緒に整理します
「自社診断をやってみたけれど、次に何をすればいいかわからない」という段階からで大丈夫です。
まずは30分の無料相談で、御社の状況をお聞かせください。