セキュリティ対策評価「★4」を取れる？ 新たな取引条件「SCS評価制度」が波紋：キヤノンITSが調査

キヤノンITSは、セキュリティ対策評価制度に関する企業動向を示す調査結果を公表した。発注企業の7割以上は評価を取引条件に組み込む意向を示した一方、サプライヤー企業では評価向上で課題を抱えているという。

[TechTargetジャパン]

　「セキュリティ対策が不十分な企業とは取引できない」――。こうした動きが、日本企業にも広がり始めている可能性がある。

　キヤノンITソリューションズ（以下、キヤノンITS）は2026年5月18日、経済産業省などが運用開始を予定する「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）に関する企業の対応実態を示す調査結果を公開した。

　調査結果によると、発注する企業の7割超はSCS評価制度の評価を取引条件に組み込む意向を示した。さらに、その過半数は、取引先に対してセキュリティ対策段階「★4以上」を求める想定だという。

SCS評価制度とは？

併せて読みたいお薦め記事

サプライチェーンとセキュリティ

• アサヒグループも襲ったQilinの手口とは　2025年国内被害22件に
• サプライチェーン、AI、内部不正……多様化する脅威にGartnerが示す10の警告

　SCS評価制度は、企業のサプライチェーン全体のセキュリティ対策の成熟度を等級で評価するものだ。共通基準を基に成熟度を可視化することで、企業が取り組むべき施策や課題を管理しやすくなる。

　SCS評価制度を重視する背景には、サプライチェーン全体を含めたセキュリティ管理の難しさがある。発注企業側では84.4％が取引先のセキュリティ対策状況を確認している一方、「十分に把握できている」と回答した割合は16.5％にとどまった。取引先ごとに対策レベルや説明内容が異なる中、客観的な基準に基づいてリスクを評価したいというニーズが高まっていることがうかがえる。

「★4以上」が“新たな取引条件”になるのか

　調査は、従業員1000人以上の企業に所属し、サプライチェーン管理や調達、セキュリティ推進業務に携わる担当者109人を対象に実施したものだ。

　その結果、SCS評価制度における「★」評価を取引条件へ組み込む意向があるとした企業は71.6％に達した。さらに、そのうち52.6％は「★4以上」を取引先へ求める予定だと回答した。

　一方で、取引先へ★取得を求めることについては、94.8％が「難しさを感じる」と回答している。背景には、取引先との関係性への配慮や、企業規模による対応力の差などがあるとみられる。

　つまり発注企業側では、「セキュリティ対策を強化したい」という意向と、「現実には一律要求が難しい」というジレンマが生じている可能性がある。

中堅サプライヤー企業は「人材不足」「予算不足」に直面

　一方、サプライヤー企業側でも対応準備は進み始めている。

　製造業・物流業に属する従業員300〜1000人規模の企業で、セキュリティ対策や推進業務に携わる担当者111人を対象とした調査では、77.5％がSCS評価制度を認知していた。さらに、制度を認知している企業の90.7％が、「★3」や「★4」の取得に向けた準備を始めていると回答した。

　ただし、実務面では課題もある。課題として挙がったのは「専門人材不足」（54.1％）。次いで「予算の制約」（44.1％）だった。

　発注企業側が「★4以上」を前提とした取引を検討する一方、中堅規模のサプライヤー企業では、限られた人材や予算の中で対応を迫られている構図が浮かび上がった。

　こうした状況を受け、82.9％のサプライヤー企業は、外部専門家やサービスの活用に前向きな姿勢を示した。

「セキュリティが取引条件」の時代へ

　SCS評価制度は、単なるガイドラインではなく、将来的に「取引継続の前提条件」として扱われる可能性がある。特に製造業や物流業など、サプライチェーン依存度が高い業界では、今後「一定水準のセキュリティ対策を満たしているか」が、取引先選定の判断材料になることも考えられる。

　情報システム部門（情シス）にとっては、自社の対策強化だけではなく、「取引先を含めたセキュリティ管理」をどう進めるかが課題になりそうだ。発注企業では、どの水準を求めるのか、どこまで支援するのか、取引先へどう説明するのかが問われる。一方、サプライヤー企業側では、限られたリソースの中で、どの対策を優先するかが重要になる。