経済産業省が示した考え方によると、★4の取得が推奨される業務は、「発注側の重要な機密情報を相手方のIT基盤で取り扱う場合」「相手方の事業中断が発注側の業務に許容できない遅延を生じさせる場合」、そして「相手方の環境から発注側の内部システムにアクセスする場合」だ。また、取引先や同業他社でインシデントが発生するなど、リスクの増大が懸念される場合も、状況に応じて★4への引き上げを検討すべきという。

　次に検討が必要なのは、SCS評価制度の適用範囲だ。経済産業省では制度の適用範囲を「IT基盤」としており、いわゆる制御システムやOT（Operational Technology）、製品そのものは対象外となる。さらに、IT基盤であっても、ネットワークセグメントの分割により、特定のシステムを取得範囲から除外していくことが可能なことも重要なポイントだ。「どのIT基盤を取得範囲に含め、何を除外していくのかを、★適用の考え方やサプライチェーンへの影響を考慮しながら取捨選択していくことが重要になります」（木村氏）

　こうした観点から制度への対応を検討していく必要がある上で、木村氏はさらに、2026年3月に公表された「制度構築方針」で示された、3つの事項にも十分留意すべきだと述べた。多くの企業が同制度に対して抱く疑問点や不安へのポイントが示されているからだ。

　第一に、制度構築方針において経済産業省は、「SCS評価制度のそもそもの趣旨は、取引において適切な★の取得段階を示して対策を促し、実施状況を確認していくこと」としている。つまり、取引先各社のセキュリティレベルを競わせることを目的とした「格付け制度」ではないし、何か特定のセキュリティ製品の導入を必須とするものでもない。

　従って、それぞれの組織の状況に応じて適切な範囲で導入・運用していくことが重要だ。「自社が協力会社にSCS取得を要請する際、『このシステム・製品を導入しなさい』と案内をしたり、逆に取得を要請された際に『このシステム・製品を導入しなさい』と案内される場合には注意が必要です」と木村氏は述べた。

　2つ目は、独占禁止法・取適法との関係から注意すべきポイントだ。制度構築方針では実際に事例を挙げて紹介している。

　SCS評価制度に基づいてセキュリティ対策を要請する場合でも、「あくまで合理的範囲を超えた負担を課すものではない」という大前提がある。そして要請する際は、「説明会を開催するなどして発注者と受注者の双方のパートナーシップを構築し、対応の意義を共有した上で進めることが重要であり、その経費は価格交渉の対象となること」も重要だ。さらに、価格交渉においては、支援機関や公正取引委員会の事前相談制度なども活用するよう記されている。

　3つ目は、★3を取得する際、自己評価結果の確認・署名を行う「セキュリティ専門家」にはどんな資格が求められるかについての解説だ。ここでは具体的に「情報処理安全確保支援士やそれに類する資格を保持し、SCS評価制度が定める研修を受講していること」という要件が示されている。

　木村氏はさらに「組織内にこの資格要件を満たす方がいない場合は外部に助けを求める形になります。ただ、確認作業は、一から十まで全てセキュリティ専門家が行わなければならないわけではなく、専門家の監督の下、研修を受講した作業従事者に担わせることが可能です」と付け加えた。

★3と★4の差分から見る、制度対応時に留意すべきポイント

　木村氏はこのようにSCS評価制度の背景と全体概要を紹介し、続けて対応時に留意すべきポイントを幾つか紹介した。

　SCS評価制度では、NISTのサイバーセキュリティフレームワークを下敷きにした7つの大分類の下に「要求事項」を定めており、その要求事項を満たすための具体的な対策内容を示す「評価基準」という、3段階構成で満たすべき対策を示している。★3では26の要求事項と81の評価基準が定義されており、★4になるとこれが43の要求事項と153の評価基準に増える。

　木村氏は、「★4は★3を完全に包含する関係にあります。従って、ストレートに★4を目指すアプローチも可能な一方で、まずは★3から取得し、段階的に★4の取得を目指すアプローチも可能です」と述べた。

　例えば、「3：リスクの特定」に含まれる「3-1：資産管理」という要求事項においては、★3では「PCやサーバの資産管理を行い、セキュリティパッチの適用に関するルールを作ること」と定められている。一方、★4になると、スマートデバイスやIoT機器なども資産管理の対象に加わる上に、「重要なシステムを構成する機器に関しては、設定情報を把握すること」が求められる。

　SCS評価制度は、さまざまな観点から対応が求められるため、何から対策するかの悩みは尽きないかもしれない。木村氏は「★3と★4の評価基準の差分を確認し、ストレートに★4取得を目指すのか、もしくは★3から段階的にステップアップしていくのかという観点で判断していくのが重要になるでしょう」と呼び掛け、状況に合わせて取り組むようアドバイスした。