SCS評価制度の理解度54％ 差が開く業種と部門はどこか：SCS評価制度に関する意識調査（2026年）／前編

経済産業省と内閣官房国家サイバー統括室が創設を進め、2027年1〜3月頃の申請受付開始を目指すSCS評価制度。だが129人に聞くと、内容まで理解している回答者は半数にとどまった。準備が遅れているのはどの規模、どの部門か。そもそも企業はどこでつまずいているのか。

[キーマンズネット]

　情報処理推進機構（IPA）が2026年1月に発表した「情報セキュリティ10大脅威 2026（組織編）」では8年連続で「サプライチェーンや委託先を狙った攻撃」がランクインするなど、セキュリティ対策が比較的手薄な取引先を踏み台に大企業へ侵入するサプライチェーン攻撃が猛威を振るっている。

　こうした状況を受け、経済産業省と内閣官房国家サイバー統括室が創設を進めているのが、企業のセキュリティ対策状況を可視化する「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」だ。

　経済産業省の監督のもと、制度の運営はIPAが担う。★3・★4について2027年1〜3月頃の申請受付開始を目指している（★5は今後検討）。ただし「制度開始」は申請受付の開始を指し、開始時点で★を取得している企業はまだない。

　準備は進む一方、要求事項の詳細や取得にかかる負担の見通しが企業側に十分届いているとは言い難く「何を準備すればいいか分からない」という声もある。

　そこで今回は「SCS評価制度に関する意識調査」（2026年7月28日〜8月10日、回答件数：129件）を実施した。前編では、本制度の認知度や関心度、顧客からの取得要請の有無などの現状を取り上げる。

申請受付まで半年、認知度78％に対し理解度は54％

　はじめに、SCS評価制度についての理解度を調査したところ、全体では「名称は知っており、内容もある程度知っている」（32.6％）、「名称は聞いたことがあるが、内容は知らない」（24.0％）、「名称も内容もよく知っている」（21.7％）、「全く知らない（今回初めて知った）」（21.7％）となった（図1）。まとめると「全く知らない」を除いた「認知度」は78.3％、「名称は聞いたことがあるが、内容は知らない」までを除いた「理解度」は54.3％となる。

図1：SCS評価制度についての「認知度」と「理解度」

　従業員規模別で見ると、認知度こそ大半の規模帯で7割を超えていたものの、理解度は100人以下の中小企業帯で42.1％と半数を下回った。101人以上の各規模帯が6割前後で横並びになる中、100人以下だけが際立って低い水準にとどまる。IT予算や専門人材のリソース不足もあり、制度自体は認知されているものの具体的な評価基準や自社に必要な対応、取得手順といった実務レベルの理解が追いついていないのが実態のようだ。

図2：SCS評価制度についての「認知度」と「理解度」（従業員規模別）

　業種別でも傾向は顕著だ。認知度では、卸・商社や小売・流通といった「流通・サービス業全般」が最も高く85.7％、次いで「IT製品関連業」が84.4％と続いた（表1）。一方、教育や医療機関、官庁や研究所といった「その他業種」では60.0％、理解度も40.0％と全体を大きく下回った（n=15のため参考値）。また、注意したいのは、電気や機械、自動車に建設・土木、食品・薬品などの「IT関連外製造業」で、今回の調査で最も回答数の多い層（n=47）でありながら、認知度74.5％・理解度46.8％といずれも全体平均（78.3％／54.3％）を下回った。

　製造業のDX課題として取りざたされる「IT（情報技術）部門」と「制御・運用技術（OT）部門」の連携不足が背景にあるとみられる。加えて本制度はクラウドを含むIT基盤を対象としており、製造環境などの制御システムは直接の対象としていない。この建て付けが、製造業で自社との関係性を捉えにくくしている可能性もある。

業種	n	認知度	理解度	差（ポイント）
全体	129	78.30%	54.30%	24
流通・サービス業全般	35	85.70%	57.10%	28.6
IT製品関連業	32	84.40%	68.80%	15.6
IT関連外製造業	47	74.50%	46.80%	27.7
その他業種	15	60.00%	40.00%	20
表1：SCS評価制度の「認知度」と「理解度」（業種別）（※認知度＝「全く知らない（今回初めて知った）」以外の合計、理解度＝「名称も内容もよく知っている」＋「名称は知っており、内容もある程度知っている」の合計、「その他業種」はn=15と少数のため参考値）

　企業内でも温度差は生じている。部門別で見ると「情報システム部門」では認知度88.9％、理解度73.3％と高い一方、「製造・生産部門」では認知度72.7％、理解度40.9％、「営業・販売・営業企画部門」でも認知度77.8％、理解度38.9％と大きく乖離している（図3）。

　直接の対応部門ではないものの、本制度が評価の対象とするのはクラウド環境を含む企業のIT基盤全体だ。営業や製造の現場で使う端末やメールの扱いも無関係ではない。現場にも最低限の理解を促す必要がある。全社的な取り組みのハブとなるべき「経営者・経営企画部門」も、認知度75.0％、理解度41.7％と全体平均を下回った。これが全社的な推進の妨げになり得る。対応主管である情報システム部門と、現場や経営層との間に理解の差がある。

図3：SCS評価制度についての「認知度」と「理解度」（所属部門別）

認知や理解の差は、ISMSやPマークなどの取得状況とも関連あり

　関連して、現在取得・実施しているセキュリティ関連の認証・制度を聞いたところ、全体では「いずれも取得・実施していない」（39.5％）が最多で「プライバシーマーク（Pマーク）」（28.7％）や「ISMS（ISO/IEC 27001）」（27.1％）も3割弱の取得率だった。

図4：現在、自社で取得・実施しているセキュリティ関連の認証・制度

　従業員別で傾向を見ると「いずれも取得・実施していない」は500人以下の中堅・中小企業帯で6〜7割と半数を超えていたが、501人を超えると3割以下に激減する（表2）。5001人以上の大企業帯ではさらに下がり、10001人以上では未取得の回答が見られなかった。

　特に中小企業帯では、PマークやISMSの取得・更新にかかるコストや人的リソースを割くことができない、あるいは費用対効果が合わないと判断するケースがあるのだろう。もっとも本制度は、委託元が委託先に段階（★）を提示する運用を前提とし、評価も★3と★4に段階分けされている。

　経済産業省とIPAは中小企業が★3・★4を安価かつ簡便に取得できるよう「サイバーセキュリティお助け隊サービス」（新類型）を創設する方針を示している。実証事業は2026年8月頃から約1年間を予定している。この支援策が中小企業帯にどこまで届くかが、規模間格差を埋められるかの分かれ目になる。

認証・制度	全体 n=129	100人以下 n=38	101〜500人 n=26	501〜1000人 n=18	1001〜5000人 n=18	5001〜10001人以上 n=20	10000人以上 n=9
プライバシーマーク（Pマーク）	28.70%	13.20%	26.90%	22.20%	50.00%	22.20%	50.00%
ISMS（ISO/IEC 27001）	27.10%	13.20%	11.50%	44.40%	33.30%	33.30%	50.00%
SECURITY ACTION（自己宣言）	11.60%	10.50%	3.80%	16.70%	0.00%	0.00%	35.00%
その他のセキュリティ認証・制度	8.50%	0.00%	3.80%	5.60%	11.10%	11.10%	30.00%
ISMAP	6.20%	0.00%	3.80%	5.60%	5.60%	0.00%	25.00%
いずれも取得・実施していない	39.50%	60.50%	65.40%	27.80%	27.80%	11.10%	0.00%
分からない	17.80%	13.20%	7.70%	16.70%	16.70%	44.40%	30.00%
表2：現在、自社で取得・実施しているセキュリティ関連の認証・制度（従業員規模別）（※全体 n=129（複数回答）、5001〜10000人はn=9と少数のため参考値）

　2つの設問をクロス集計すると、ISMSやプライバシーマークの取得企業では理解度が全体平均を10ポイント以上上回った（表3）。理解度で見ると、ISMS（ISO/IEC 27001）の取得企業は74.3％だったのに対し、「いずれも取得・実施していない」企業は58.8％で、15.5ポイントの差が生じている。

　なお「いずれも取得・実施していない」層が全体平均を上回っているのは、理解度13.0％にとどまる「分からない」層（n=23）が全体を押し下げているためだ。また「SECURITY ACTION（自己宣言）」のように中小企業向けで導入ハードルの低い制度でも、認知度93.3％、理解度80.0％と高い。規模を問わず、平時からセキュリティに取り組む企業ほど制度への追随も早い。

取得している認証・制度	n	認知度	理解度
全体	129	78.30%	54.30%
SECURITY ACTION（自己宣言）	15	93.30%	80.00%
ISMS（ISO/IEC 27001）	35	85.70%	74.30%
プライバシーマーク（Pマーク）	37	86.50%	67.60%
いずれも取得・実施していない	51	84.30%	58.80%
その他のセキュリティ認証・制度	11	90.90%	54.50%
分からない	23	43.50%	13.00%
表3：SCS評価制度の「認知度」と「理解度」（取得している認証・制度別）（※複数回答のため、各行は重複を含む、ISMAP（n=8）は回答数が少数のため除外、SECURITY ACTION（n=15）、その他のセキュリティ認証・制度（n=11）は参考値）

SCS評価制度への対応、6割以上が「今後、顧客から求められる」と回答

　SCS評価制度の理解度は全体で5割程度だったが、具体的にどのような経路で知ることになったのだろうか。制度の内容まで知っていると回答した70人に聞いたところ、最も多かったのは「Webの記事・ニュースサイト」（64.3％）で、次点で「セキュリティベンダー・ITベンダーからの案内」（42.9％）や「官公庁（経済産業省・IPAなど）の発表」（35.7％）、「業界団体・セミナー・展示会」（31.4％）が続いた。同じ70人の関心度では「非常に関心がある」（40.0％）と「ある程度関心がある」（52.9％）を合わせ9割以上が「ある」と回答した。認知が広がれば、そこから深い理解に進む回答者も増えるとみられる。

　一方、認知経路として「取引先・顧客からの案内や要請」を挙げた回答は24.3％と低い。ただし、これはあくまで現時点の話だ。別問で「取引先や顧客からSCS評価制度の取得・対応を求められた（今後求められそうな）ことはあるか」を聞くと、「まだないが、今後求められそうだと感じている」が61.4％に達した。「特に求められておらず、その気配もない」（22.9％）や「すでに取得・対応を求められている」（11.4％）を大きく上回っている（図5）。つまり、制度を理解している層に限れば、その6割超が今後の要請増加を見込んでいる。

図5：取引先や顧客からSCS評価制度の取得・対応を求められた（今後求められそうな）ことはあるか（※SCS評価制度を「名称も内容もよく知っている」「名称は知っており、内容もある程度知っている」と回答した人が対象（n=70））

　現状で顧客から対応を求められることが少ないのは、本制度がいまだ普及・周知・検討の段階にあるためだろう。理解まで進んでいるのは約半数にとどまる。既に制度を理解している企業でも、自社の調達基準や購買方針に制度をどう組み込むかを検討している段階だ。サプライヤーへの対応要請までは至っていないのが実情だろう。

　なお、本制度は任意で、★の取得を求めるかどうかは取引契約の当事者間で決まる。制度が取得を義務付けるものではない。ただし、2027年1〜3月頃の申請受付開始を控え、制度対応を求める動きは今後広がるだろう。後編では、SCS評価制度で目指す評価レベルや対応状況、制度自体に対する期待や不安、懸念や課題といった声も参考に、企業がこれからどのように対応を進めていくべきかを掘り下げる。