RIKENTOKYOはオフィス環境と仕組みのご提案で取引先から突然、セキュリティチェックシートへの回答や「対策状況がわかる資料」の提出を求められる中小企業が増えています。 結論からお伝えすると、慌てて製品を買う前に、まず「何を、どの水準で、いつまでに」求められているかを確認することが先決です。 そのうえで、自社の現状を棚卸しし、不足を優先順位どおりに埋めていけば、取引先に説明できる状態は着実につくれます。 この記事では、取引先がセキュリティ対策の証明を求める理由、使える証明手段の違い、2027年3月頃に始まる予定のSCS評価制度の現状、中小企業が今から準備すべきことを解説します。
※本記事の制度情報は2026年10月時点のものです。最新情報は各公式サイトでご確認ください。
取引先が証明を求める最大の理由は、自社だけ守っても委託先経由で被害を受けるリスクがあるためです。 攻撃者は、守りの堅い大企業ではなく、取引先の中小企業を入口にするケースがあります。
サプライチェーン攻撃とは、取引先や委託先の弱点を足がかりに、本来の標的へ侵入する攻撃のことです。 発注側から見ると、委託先の対策状況は外から見えにくく、確認の手段が限られていました。 一方で受注側は、取引先ごとに異なる様式のチェックシートを求められ、負担が大きくなっていました。
こうした課題を背景に、国も取引先の対策状況を共通の物差しで確認できる仕組みづくりを進めています。 その代表が、後述する「SCS評価制度」です。
取引先からの要求は、主に次の4パターンに分かれます。 まずは自社がどのパターンに当てはまるかを確認しましょう。
| 求められ方 | 具体例 | 中小企業の負担感 |
|---|---|---|
| チェックシート回答 | 数十〜数百項目の質問票にYes/Noと根拠を記入 | 中（現状把握ができていれば回答しやすい） |
| 誓約書・契約条項 | 秘密保持やインシデント報告義務の契約への追加 | 小〜中（社内ルールとの整合確認が必要） |
| 制度・認証の取得 | SECURITY ACTION宣言、SCS評価制度の★、ISMS認証など | 中〜大（水準により準備期間が変わる） |
| 監査・ヒアリング | 取引先担当者による訪問確認やオンライン面談 | 中（証跡や運用記録の提示が求められる） |
証明手段は「自己宣言」から「第三者評価」まで段階があり、取引先が求める水準に合わせて選ぶのが基本です。 いきなり最上位を目指す必要はありません。
| 手段 | 運営 | 評価方法 | 位置づけ・向いているケース |
|---|---|---|---|
| SECURITY ACTION（★一つ星・★★二つ星） | IPA | 自己宣言 | 対策の第一歩。まずは取り組む姿勢を示したい場合 |
| SCS評価制度 ★3 | IPA（経済産業省等が監督） | 専門家確認付き自己評価（要求事項26件・有効期間1年） | 一般的なサイバー攻撃に備えていることを示したい場合 |
| SCS評価制度 ★4 | 同上 | 第三者評価＋技術検証（要求事項43件・有効期間3年） | 取引先データの保護や事業継続まで求められる場合 |
| ISMS（ISO/IEC 27001） | 民間の認証機関 | 第三者認証 | 情報セキュリティの管理体制を国際規格で示したい場合 |
SECURITY ACTIONとは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度です。 詳しくはIPAのSECURITY ACTION公式ページで確認できます。
SCS評価制度は、取引先に求めるセキュリティ水準を★の段階で示す新しい制度です。 正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、IPAが運営します。
取得希望者向けの解説書や取得ガイドは2026年10月頃、料金設定は2026年9月に公表されています。 最新の情報はIPAのSCS評価制度の詳細情報ページとよくある質問で確認してください。
SCS評価制度は任意の制度で、取得しないと取引が規制されるものではありません。 経済産業省は2026年4月、制度を引き合いにした不適切な勧誘について注意喚起を出しています。
注意喚起では、「今すぐ評価を取得しないと入札から除外される」といった営業が報告されていると紹介されています。 あわせて、評価基準の達成に特定の製品導入が必須ではないことも明記されています。 詳しくは経済産業省の注意喚起ページをご覧ください。
ただし、取引先が契約の中で★の取得を求める可能性は今後高まると考えられます。 「焦らないが、放置もしない」という姿勢で準備を始めるのが現実的です。
対応は「確認→棚卸し→ギャップ確認→優先順位づけ→証跡づくり」の5ステップで進めます。 いきなり製品選定から入ると、不要な投資や対策漏れが起きやすくなります。
何から始めるべきか迷っている方へ
チェックシートの質問が専門的で、自社が「できている」のか判断できないという声は少なくありません。
RIKEN TOKYOでは、取引先から求められている内容を伺ったうえで、現状の弱点と優先順位を整理します。
セキュリティ対策の無料相談をする
準備すべきことは、技術だけでなく「組織・人・物理・技術」の4つの観点で整理すると漏れが減ります。 取引先のチェックシートも、多くはこの4観点で構成されています。
| 観点 | 準備すること | 取引先に示せる証跡の例 |
|---|---|---|
| 組織的対策 | セキュリティの責任者と役割を決める。基本方針・規程を整える | 基本方針、規程類、体制図 |
| 人的対策 | 従業員教育、入退社時のアカウント管理 | 研修記録、アカウント発行・削除の記録 |
| 物理的対策 | 執務エリアの入退室管理、機器・書類の保管ルール | 入退室ルール、施錠管理の記録 |
| 技術的対策 | 多要素認証、更新プログラム適用、UTM、EDR、バックアップ | 設定画面、適用状況レポート、バックアップ記録 |
国の指針として、IPAの「中小企業の情報セキュリティ対策ガイドライン」も参考になります。 2026年3月に第4.0版が公表されており、規程のひな形なども活用できます。
まずは次の項目が「はい」と答えられるかを確認しましょう。 一つでも「いいえ」があれば、そこが最初の着手ポイントです。
技術的対策は、侵入の入口になりやすい箇所から順に固めるのが効果的です。 特にVPN装置やルーターなど、インターネットに公開している機器は狙われやすい傾向があります。
用語を補足すると、UTMは複数のセキュリティ機能を1台にまとめたネットワーク機器です。 EDRは、PCなどの端末で不審な動きを検知し、被害拡大を防ぐ仕組みです。
よくある失敗は、「製品を入れれば証明できる」と考えて、運用と証跡を後回しにすることです。 取引先が確認したいのは、製品の有無よりも「継続的に運用されているか」です。
UTMやEDRを導入しても、アラートを誰も確認していなければ効果は限定的です。 誰が、どの頻度で、何を確認するかまで決めておきましょう。
ひな形をそのまま使うと、実際の運用と規程がずれてしまいます。 監査やヒアリングでは、規程どおりに運用しているかが確認されます。
VPN装置やルーターの更新が止まっていると、既知の脆弱性を突かれる危険があります。 SCS評価制度の★4でも、こうした公開機器が技術検証の対象になっています。
情シス兼任の担当者だけで回答や対策を抱えると、業務が止まりやすくなります。 経営者が関与し、必要に応じて外部の支援を使うことが継続のポイントです。
RIKEN TOKYOでは、取引先への回答準備から、対策の実装・運用まで一貫してご相談いただけます。 オフィス環境とIT環境を分けずに相談できるため、技術面だけでなく物理面の対策もまとめて整理できます。
| 支援内容 | 具体例 |
|---|---|
| 現状整理 | 取引先の要求内容の確認、IT資産・アカウントの棚卸し、弱点と優先順位の整理 |
| ネットワーク対策 | FortiGate、SAXA SSシリーズ、SonicWALLなどのUTM導入・更新 |
| 端末対策 | ESET、WithSecure、Microsoft Defenderによるウイルス対策・EDR |
| アカウント・端末管理 | Microsoft Entra IDによる多要素認証、Microsoft Intuneによるデバイス管理 |
| 復旧の備え | RIKEN Cyber Protection BACKUPによるバックアップ |
| 物理面の対策 | オフィスのレイアウト見直し、執務エリアの区分け、機器の設置環境づくり |
Microsoft 365をお使いの企業は、すでに契約しているライセンスで多要素認証や端末管理を強化できる場合があります。 Microsoft & DXの支援内容や、Microsoft 365 活用度チェックもあわせてご覧ください。 ほかの企業の取り組みはRIKEN TOKYOの導入事例で、課題別の解決策は課題から探すで確認できます。
取引先からセキュリティ対策の証明を求められたときのポイントを整理します。
取引先への回答や対策の進め方でお悩みの方は、RIKEN TOKYOにご相談ください。 求められている内容と現状を伺ったうえで、無理のない優先順位と進め方をご提案します。
UTMの更新やバックアップ導入など、必要な対策が決まっている場合は概算見積もご利用ください。
まずは提出期限、回答形式、求められている水準を取引先に確認しましょう。そのうえで、PCやネットワーク機器、アカウントの一覧を作って現状を把握すると、各質問に根拠を持って回答しやすくなります。
SCS評価制度は任意の制度で、取得しないことで取引が規制されるものではありません。ただし、取引先が契約で★の取得を求める可能性はあるため、公開済みの要求事項で自社の不足を確認しておくと安心です。
取引先から求められている段階に合わせるのが基本です。★3は一般的なサイバー攻撃への備えを示す段階で、すべての取引先が最低限目指すべき水準とされています。★4は取引先のデータ保護や事業継続まで求められる場合に検討します。
できます。責任者を決め、優先順位の高い対策から順に進めれば、少人数でも説明できる状態はつくれます。RIKEN TOKYOでは、情シス不在・兼任の中小企業でも進めやすいように、現状整理から導入・運用まで段階的に支援します。
