はじめに、SCS評価制度についての理解度を調査したところ、全体では「名称は知っており、内容もある程度知っている」（32.6％）、「名称は聞いたことがあるが、内容は知らない」（24.0％）、「名称も内容もよく知っている」（21.7％）、「全く知らない（今回初めて知った）」（21.7％）となった（図1）。まとめると「全く知らない」を除いた「認知度」は78.3％、「名称は聞いたことがあるが、内容は知らない」までを除いた「理解度」は54.3％となる。

図1：SCS評価制度についての「認知度」と「理解度」

　従業員規模別で見ると、認知度こそ大半の規模帯で7割を超えていたものの、理解度は100人以下の中小企業帯で42.1％と半数を下回った。101人以上の各規模帯が6割前後で横並びになる中、100人以下だけが際立って低い水準にとどまる。IT予算や専門人材のリソース不足もあり、制度自体は認知されているものの具体的な評価基準や自社に必要な対応、取得手順といった実務レベルの理解が追いついていないのが実態のようだ。

図2：SCS評価制度についての「認知度」と「理解度」（従業員規模別）

　業種別でも傾向は顕著だ。認知度では、卸・商社や小売・流通といった「流通・サービス業全般」が最も高く85.7％、次いで「IT製品関連業」が84.4％と続いた（表1）。一方、教育や医療機関、官庁や研究所といった「その他業種」では60.0％、理解度も40.0％と全体を大きく下回った（n=15のため参考値）。また、注意したいのは、電気や機械、自動車に建設・土木、食品・薬品などの「IT関連外製造業」で、今回の調査で最も回答数の多い層（n=47）でありながら、認知度74.5％・理解度46.8％といずれも全体平均（78.3％／54.3％）を下回った。

　製造業のDX課題として取りざたされる「IT（情報技術）部門」と「制御・運用技術（OT）部門」の連携不足が背景にあるとみられる。加えて本制度はクラウドを含むIT基盤を対象としており、製造環境などの制御システムは直接の対象としていない。この建て付けが、製造業で自社との関係性を捉えにくくしている可能性もある。

　企業内でも温度差は生じている。部門別で見ると「情報システム部門」では認知度88.9％、理解度73.3％と高い一方、「製造・生産部門」では認知度72.7％、理解度40.9％、「営業・販売・営業企画部門」でも認知度77.8％、理解度38.9％と大きく乖離している（図3）。

　直接の対応部門ではないものの、本制度が評価の対象とするのはクラウド環境を含む企業のIT基盤全体だ。営業や製造の現場で使う端末やメールの扱いも無関係ではない。現場にも最低限の理解を促す必要がある。全社的な取り組みのハブとなるべき「経営者・経営企画部門」も、認知度75.0％、理解度41.7％と全体平均を下回った。これが全社的な推進の妨げになり得る。対応主管である情報システム部門と、現場や経営層との間に理解の差がある。

図3：SCS評価制度についての「認知度」と「理解度」（所属部門別）

認知や理解の差は、ISMSやPマークなどの取得状況とも関連あり

　関連して、現在取得・実施しているセキュリティ関連の認証・制度を聞いたところ、全体では「いずれも取得・実施していない」（39.5％）が最多で「プライバシーマーク（Pマーク）」（28.7％）や「ISMS（ISO/IEC 27001）」（27.1％）も3割弱の取得率だった。

図4：現在、自社で取得・実施しているセキュリティ関連の認証・制度

　従業員別で傾向を見ると「いずれも取得・実施していない」は500人以下の中堅・中小企業帯で6～7割と半数を超えていたが、501人を超えると3割以下に激減する（表2）。5001人以上の大企業帯ではさらに下がり、10001人以上では未取得の回答が見られなかった。

　特に中小企業帯では、PマークやISMSの取得・更新にかかるコストや人的リソースを割くことができない、あるいは費用対効果が合わないと判断するケースがあるのだろう。もっとも本制度は、委託元が委託先に段階（★）を提示する運用を前提とし、評価も★3と★4に段階分けされている。

　経済産業省とIPAは中小企業が★3・★4を安価かつ簡便に取得できるよう「サイバーセキュリティお助け隊サービス」（新類型）を創設する方針を示している。実証事業は2026年8月頃から約1年間を予定している。この支援策が中小企業帯にどこまで届くかが、規模間格差を埋められるかの分かれ目になる。

　2つの設問をクロス集計すると、ISMSやプライバシーマークの取得企業では理解度が全体平均を10ポイント以上上回った（表3）。理解度で見ると、ISMS（ISO/IEC 27001）の取得企業は74.3％だったのに対し、「いずれも取得・実施していない」企業は58.8％で、15.5ポイントの差が生じている。

　なお「いずれも取得・実施していない」層が全体平均を上回っているのは、理解度13.0％にとどまる「分からない」層（n=23）が全体を押し下げているためだ。また「SECURITY ACTION（自己宣言）」のように中小企業向けで導入ハードルの低い制度でも、認知度93.3％、理解度80.0％と高い。規模を問わず、平時からセキュリティに取り組む企業ほど制度への追随も早い。

SCS評価制度への対応、6割以上が「今後、顧客から求められる」と回答

　SCS評価制度の理解度は全体で5割程度だったが、具体的にどのような経路で知ることになったのだろうか。制度の内容まで知っていると回答した70人に聞いたところ、最も多かったのは「Webの記事・ニュースサイト」（64.3％）で、次点で「セキュリティベンダー・ITベンダーからの案内」（42.9％）や「官公庁（経済産業省・IPAなど）の発表」（35.7％）、「業界団体・セミナー・展示会」（31.4％）が続いた。同じ70人の関心度では「非常に関心がある」（40.0％）と「ある程度関心がある」（52.9％）を合わせ9割以上が「ある」と回答した。認知が広がれば、そこから深い理解に進む回答者も増えるとみられる。

　一方、認知経路として「取引先・顧客からの案内や要請」を挙げた回答は24.3％と低い。ただし、これはあくまで現時点の話だ。別問で「取引先や顧客からSCS評価制度の取得・対応を求められた（今後求められそうな）ことはあるか」を聞くと、「まだないが、今後求められそうだと感じている」が61.4％に達した。「特に求められておらず、その気配もない」（22.9％）や「すでに取得・対応を求められている」（11.4％）を大きく上回っている（図5）。つまり、制度を理解している層に限れば、その6割超が今後の要請増加を見込んでいる。

図5：取引先や顧客からSCS評価制度の取得・対応を求められた（今後求められそうな）ことはあるか（※SCS評価制度を「名称も内容もよく知っている」「名称は知っており、内容もある程度知っている」と回答した人が対象（n=70））

　現状で顧客から対応を求められることが少ないのは、本制度がいまだ普及・周知・検討の段階にあるためだろう。理解まで進んでいるのは約半数にとどまる。既に制度を理解している企業でも、自社の調達基準や購買方針に制度をどう組み込むかを検討している段階だ。サプライヤーへの対応要請までは至っていないのが実情だろう。

　なお、本制度は任意で、★の取得を求めるかどうかは取引契約の当事者間で決まる。制度が取得を義務付けるものではない。ただし、2027年1～3月頃の申請受付開始を控え、制度対応を求める動きは今後広がるだろう。後編では、SCS評価制度で目指す評価レベルや対応状況、制度自体に対する期待や不安、懸念や課題といった声も参考に、企業がこれからどのように対応を進めていくべきかを掘り下げる。