SCS評価制度で選別される時代へ 受注企業が今すぐやるべきサイバー対策：落とされる理由は「価格」じゃない？

価格や品質だけでは、取引先に選ばれない時代が始まるのか。ガートナーは「SCS評価制度」の導入を背景に、セキュリティ対策を客観的に示せる企業ほど優位になるとの見方を示した。受注企業は何を準備し、何を証明すべきなのか。

[＠IT]

　ガートナージャパン（以下、ガートナー）は2026年7月24日、サプライチェーン起因のサイバーリスクと企業が取るべき対策について見解を示した。

　同社が2026年2月に実施した調査では、国内企業の約7割が過去1年以内に、取引先や業務委託先から情報漏えいや、その可能性について報告を受けていたことが分かった。

国内企業の約7割が取引先から漏えい報告　サプライチェーンリスクが顕在化

　調査結果は、取引先や委託先を含むサプライチェーンが、セキュリティ事故の重要なリスク要因となっている実態を示している。企業間のデータ連携やシステム接続が拡大し、取引関係が複雑化する中、セキュリティ担当者が接続先やデータの流れを十分に把握できないケースも増えている。

　ガートナーの木村陽二氏（シニア プリンシパル アナリスト）は「サプライチェーンのサイバーリスクはIT部門やセキュリティ部門だけの課題ではなく、事業継続や企業価値に直結する経営課題だ」と説明した。今後は、取引先のセキュリティ対策状況を確認する取り組みが企業活動の標準となり、自社だけではなくサプライチェーン全体のリスクを管理する考え方が不可欠になるという。

　同社は、この傾向は今後さらに強まると予測しており、2030年までにサイバーセキュリティインシデントの60％以上がサードパーティーやサプライチェーンに起因するようになると見込んでいる。

SCS評価制度を見越して受注企業がやるべき準備

　こうした状況を後押しする動きとして、経済産業省は2026年度末にも「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の運用開始を予定している。主要な発注企業から対応を求められる可能性を踏まえ、早い段階から準備を進める必要がある。

　ガートナーが2026年2月に実施した別の調査では、SCS評価制度開始を約1年後に控えた時点で、約25％の企業が取引先に対して制度への対応を求める意向を示した。木村氏は「セキュリティ対策の実施状況を客観的に示せる企業ほど取引先から選ばれやすくなる」とし、「制度への対応とは別に、サプライチェーンリスク管理そのものは避けて通れない取り組みだ」と指摘した。

　企業が取り組むべき施策としては、契約時のセキュリティ要件の明確化、取引先に対する定期的なセキュリティ評価、第三者認証の活用、インシデント発生時の報告・対応手順の整備などが挙げられる。制度対応を単なる認証取得で終わらせるのではなく、取引先の評価や株主・顧客への説明責任にも活用できる経営施策として位置付けることが重要だという。

　発注企業には、全ての取引先を一律で管理するのではなく、情報漏えいやシステム停止が自社事業に与える影響に応じて優先順位を付けることが求められる。一方、受注企業には、取引先に影響を及ぼすシステムやデータを洗い出し、評価対象を明確にすることが必要となる。

　木村氏は、SCS評価制度への対応はあくまでサプライチェーンのサイバーリスク管理を実現するための手段であり、目的ではないと強調した。契約時の確認や平時の評価、インシデント発生時の対応を一体的な管理体制として整備し、その結果を経営判断や取引判断につなげることが重要だという。

　同氏は最後に、サプライチェーンリスク管理はセキュリティ部門だけの取り組みではなく、企業の競争力や事業継続を左右する経営課題だと改めて強調した。今後は、自社だけでなく取引先も含めたリスクを継続的に管理し、その取り組みを客観的に示せる企業ほど、ビジネスパートナーとして選ばれやすくなるとの見方を示した。