前回はSCS評価制度の全体像をご紹介しました。第2回の今回は、「そもそも、なぜ国がわざわざこんな制度を作るのか」という背景を見ていきます。ここを理解すると、制度への対応が”自社のため”でもあることが見えてきます。
■ 狙われるのは「弱いところ」
サイバー攻撃者は、必ずしも本命の大企業を正面から狙うわけではありません。セキュリティの堅い大企業より、対策が手薄になりがちな取引先（中小企業）を最初の標的にし、そこを踏み台にして本命へ侵入します。これが「サプライチェーン攻撃」です。
つまり、自社が被害に遭うだけでなく、取引先に被害を広げる”加害者”になってしまうリスクがあるということです。一度こうした事故を起こせば、信用の失墜や取引停止に直結しかねません。
■ 実際に増えている被害
IPA（情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」でも、組織向けの脅威として「ランサムウェアによる被害」「サプライチェーンや委託先を狙った攻撃」が常に上位に並んでいます。実際に、取引先経由で侵入され、基幹システムが止まって出荷や受発注が長期間できなくなる、といった事例が国内でも相次いでいます。
被害は一社にとどまらず、取引でつながった企業全体（サプライチェーン）に連鎖する点が、近年の攻撃の怖さです。
■ だから「全体で底上げ」する
こうした状況を受け、国は「個社まかせ」ではなくサプライチェーン全体でセキュリティレベルを把握し、底上げする仕組みを必要としました。それがSCS評価制度です。
共通のものさし（★）で各社の対策状況を見える化できれば、
- 発注側は、取引先の対策レベルを確認したうえで安心して取引できる
- 受注側は、自社の対策を客観的に示し、取引上の信頼につなげられる
という双方のメリットが生まれます。セキュリティ対策が「コスト」ではなく、取引を守る”信頼の証明”へと位置づけが変わってきているのです。
次回（第3回）は、いよいよ制度の中身に入ります。★1〜★5の違いと、中小企業がまず狙うべき「★3」がどういうレベルなのかを解説します。
サプライチェーン攻撃への備えやUTM等の対策は、ヨドックがご支援します。