調査の結果「★3（全企業が最低限実装すべき対策）を目指したい」（34.3％）、「★4（標準的に目指すべき対策）を目指したい」（28.6％）、「レベルはまだ決めていない」（12.9％）、「★5（到達点として目指すべき対策）を目指したい」（8.6％）と続いた（図2）。従業員規模別では、規模が大きくなるほど「★4以上」を目指す割合が高かった（500人以下では27.3％、501人以上では45.9％）。

図2：自社で取得を目指す（目指したい）評価レベル（※SCS評価制度を「名称も内容もよく知っている」「名称は知っており、内容もある程度知っている」とした方対象《n=70、単一回答》）

制度対応"遅れ"の背景に……現場を悩ます「コスト負担」「人材不足」の2大懸念

　SCS評価制度への対応遅れが目立つ背景にどのような懸念や課題があるのだろうか。多かったのは「取得にかかるコストや工数の負担」（51.2％）と「社内の人材・専門知識の不足」（45.7％）の2つで、特に後者は500人以下の中堅・中小企業帯で高い傾向にあった（図3、表1）。運用開始前のため「取得しても取引に有利になるか不透明」（21.7％）との声もある。その一方で「有効期限ごとの更新負担」（22.5％）や「既存認証（ISMSなど）との重複・二度手間」（14.7％）といった対応負荷も懸念されている。全体を見渡しても「特に懸念はない」（16.3％）は2割弱にとどまっており、必要性は理解しつつ対応に踏み出せないでいる現場の状況がうかがえる。

図3：SCS評価制度への対応で懸念や課題に感じること

　ただし前編では、全体の39.5％が現時点で何のセキュリティ関連の認証や制度も取得・実施していない状況であり、特に500人以下の中堅・中小企業帯では62.5％と過半数を占めていた。つまり制度対応をきっかけに本格的なセキュリティ対策を"ゼロからスタート"させる企業も多かった。

　別問で「SCS評価制度に対する現時点での見方」を聞いているが「あまり効果はないと思う」（6.2％）は1割以下で「サプライチェーン全体のセキュリティ向上に有効だと思う」（25.6％）や「チェックシート対応など、これまでの負担軽減につながると思う」（15.5％）、「取引先選定の判断材料として有用だと思う」（12.4％）など過半数がポジティブな見方をしていた（図4）。メリットが見込まれ、取引の中で対応を求められる可能性もある制度だからこそ、早期の検討開始が現実的な選択肢になる。

図4：SCS評価制度に対する現時点での見方

「規格ばかりが増えていく」「実質義務化では」……現場のホンネから混乱を紐解く

　2026年度末に予定される本格運用の開始に向けて、今後多くの企業が対応に動き出すと見られる。各社にはSCS評価制度への期待や不安、疑問が入り交じっていると考えられる。そこで最後に、本制度に対する率直な考えをフリーコメントで聞いた。回答を幾つかに分類して紹介する。

　まずはこれまで見てきたように「そもそも制度の存在を知らなかった」や「認定基準の公開が遅い。認定取得のためのプロセスがわかりにくい」といった制度そのものへの"認知不足"や「人員が全く足りておらず、そこまで手が回らない」「セキュリティに対する意識がそこまで高くない。また、承認する立場の人達がITへの理解が低く、専門部署も設ける余力がない」などの"対応負担"を嘆く声があった。

　中には「未だに具体的な運用方法や詳細な情報が少なく、宣伝や業者の売り込みだけ活発になっている。こんな状態で星取得が義務付けられた場合、ごく一部の業者やコンサルタントが儲かるだけでユーザー側はさらに疲弊する気がする」と強い不満を漏らす回答もあった。

　もっとも、制度の"実効性"や設計に対する"不満"を口にする声は非常に多い。「金融庁の求めるサイバーセキュリティガイドラインのサードパーティリスク管理とどう違うかがわからない」や「ISMSとの棲み分け、その必要性」「規格ばかり増えていく」など既存のセキュリティ関連認証・資格との棲み分けが分かりづらいといった声が多く寄せられている。また、そうした規格への対応も含めた統一運用がなされないことで「顧客ごとあるいは業界ごとに要求レベルが異なり、結局のところチェックシート地獄から解放されないと予想する」回答もあった。

　他にも「率直に言って、実環境への監査を伴わない★3の公表は何ら保証にならない。ある意味セキュリティが脆弱だと白状しているようなもので、これを公表することはリスクになりかねない」「最近は取得の要望を受けることが多く大変に困っている」「もはや義務にしてしまったほうがいいと思います。そして中小企業ややる気がない企業については政府手配の業者を強制的に入れればいいと思います」といった声が寄せられた。取引実務の中で事実上取得が求められるようになるとの見方や、低い評価が対外的な悪印象につながるとの懸念があり、こうした制度設計への不満も多く挙がった。

　もちろん「サプライチェーンセキュリティ対策状況把握のデファクトスタンダードになると期待している」や「医業自体には影響はないが、委託先のレベルについて可視化されることは歓迎できる」など、企業のセキュリティ対策状況を可視化・標準化できることに対してポジティブな期待感も寄せられている。中には「社内のIT管理が非常に貧弱、セキュリティ面にも不安があった状態だったため、SCS評価制度はその状況を好転させるよい機会と考えている。SCS評価制度をベースとしてセキュリティを中心としたIT環境を整えていこうと前向きに捉えている」とのコメントもあった。

（注）コメントは原文の趣旨を変えない範囲で一部表記を整えている

　以上、現場のリアルな感情を取り上げてきたが、ほとんどの企業が"必要性は理解できるものの対応のための情報や資源が乏しく困惑している"状況と読み取れる。2026年度末の運用開始に向け、経済産業省や独立行政法人情報処理推進機構（IPA）は今後、評価用ガイドなどのより具体的な詳細情報を公表する予定だ。動向を注視しつつ、自社に合った対応の検討を早期に始められるよう準備をしておくことをお勧めする。