「うちみたいな中小企業にサイバー攻撃なんて来ませんよ」……と言ってられない時代です。

どうも、ヨッシーです。

今回の「冗談じゃないシリーズ」は、ちょっと難しそうな話です。

その名も……「SCS評価制度」

……。

「何それ？」

という方、多いですよね。

私も最初に聞いたときは、

「また新しい制度が出てきたな……」

と思いました（笑）

でも、これ、

中小企業の経営者の皆さんも、今後かなり無視できない話になってくるかもしれません。

---

そもそもSCS評価制度って？

正式名称は、

「サプライチェーン強化に向けたセキュリティ対策評価制度」

長い！

略してSCS評価制度です。

簡単にいうと、

「あなたの会社、サイバーセキュリティ対策ちゃんとやってますか？」

を、取引先とのサプライチェーン全体で確認・評価していこうという制度です。

経済産業省と内閣官房国家サイバー統括室が制度構築を進めており、2026年度末頃の制度開始が目指されています。IPAが運営を担う予定です。

---

「うちは中小企業だから関係ないでしょ？」

……と思った社長さん。

ちょっと待ってください。

むしろ今回のポイントはここです。

大企業は以前から、

「ウイルス対策しています」

「多要素認証を導入しています」

「社員教育しています」

「サイバー攻撃を受けた場合の対応マニュアルがあります」

など、かなりの対策をしています。

ところが、

その大企業とつながっている取引先はどうでしょう？

大企業を直接攻撃するのではなく、セキュリティ対策が弱い取引先を経由して侵入する。

いわゆるサプライチェーン攻撃です。

だから、

「うちは小さい会社だから狙われない」

ではなく、

「うちを入口にして、取引先の大企業が狙われるかもしれない」

という考え方が必要になってきています。

---

そして中小企業の社長さんが思うこと

ここからが「冗談じゃない」です。

取引先から、

「御社のサイバーセキュリティ対策について回答してください」

と言われる。

↓

担当者：「社長、これ回答してください」

↓

社長：「……何を？」

（笑）

さらに、

「パスワード管理は？」

「バックアップは？」

「社員教育は？」

「多要素認証は？」

「インシデント発生時の対応体制は？」

「外部委託先の管理は？」

（★3で26項目、★4だと43項目の質問が）……。

質問、多すぎません？（笑）

---

「パソコンにウイルスバスター入れてます！」

それだけでは、なかなか話が終わらない時代になってきました。

もちろんウイルス対策ソフトも大切です。

でも、

サイバーセキュリティ＝ウイルス対策ソフト

ではありません。

会社全体として、

「もし攻撃されたらどうする？」

「誰が対応する？」

「データは復旧できる？」

「取引先にどう連絡する？」

というところまで考える必要があります。

---

じゃあ、★が取れないと取引できなくなるの？

ここは誤解しないでください。

SCS評価制度そのものが、企業に一律で取得を義務付ける制度ではありません。

制度は、発注者が受注者に求めるセキュリティ対策のレベルを示し、その実施状況を確認するための仕組みとして想定されています。

つまり、

「SCSの★を持っていない会社は全部取引停止！」

という話ではありません。

……とはいえ。

大手企業との取引において、

「セキュリティ対策、ちゃんとやってますか？」

と聞かれる機会は、これから間違いなく増えていくでしょう。

---

「セキュリティ対策にそんなお金かけられません！」

これも中小企業にとっては当然の悩みです。

人もいない。

IT担当者もいない。

お金もそんなにかけられない。

でも、

「何もしない」という選択肢も怖い。

そこで国も、中小企業向けに★3・★4の取得を支援する「サイバーセキュリティお助け隊サービス」の新類型を検討しています。

つまり、

「中小企業もちゃんと対策してください。でも、大変なのは分かっています」

ということですね。

---

そして、もう一つ「冗談じゃない」話

万が一、サイバー攻撃を受けたら……

パソコンを直せば終わり。・・・ではありません。

フォレンジック調査。

システム復旧。

専門業者への対応費用。

取引先への連絡。

場合によっては、

「御社のせいでうちの仕事が止まったんですけど……」

という損害賠償問題に発展する可能性もあります。

さらに、営業が止まれば売上も止まります。

「パソコンが1台壊れただけ」

では済まない可能性があるんです。

---

「うちみたいな会社は大丈夫」

この言葉、サイバーリスクの話をするとよく聞きます。

でも、

大企業だから狙われる。

だけではありません。

侵入しやすいところから狙われる。

ということもあります。

そして今後は、

「自社を守る」だけではなく、「取引先を守るためにも自社のセキュリティを高める」

という考え方がますます重要になってきます。

---

アバンスでもサイバーリスクを考えています

私たちアバンスも保険代理店として、企業のお客様にサイバーリスクについてご案内しています。

もちろん、

「保険に入ればサイバー対策OK！」

ではありません。

まずは、

「自分の会社にはどんなリスクがあるのか？」

を知ること。

そのうえで必要な対策を行い、それでも万が一事故が起きたときのために保険で備える。

これが大切だと考えています。

---

「SCSって何のこと？」

と思った社長さん。

今のうちに、一度自社のサイバー対策を確認してみてはいかがでしょうか？

……私も自分の会社のパスワード管理を、もう一度確認しておきます（笑）

冗談じゃないですからね。

---

※SCS評価制度は2026年度末頃の制度開始を目指して詳細が検討されている段階です。今後、具体的な制度内容が変更される可能性があります。

経済産業省「SCS評価制度」
IPA「SCS評価制度の詳細情報」