取引先から「★3を取ってください」と言われたら。SCS評価制度を、なるべくやさしく

最近、こんな相談が増えています。

「取引先から、セキュリティの★3を取ってほしいと言われた。★3って何？うちは何をすればいいの？」

聞き慣れない言葉ですよね。今日は、この「★（ほし）」の話を、なるべくやさしく書いてみます。

そもそも、なぜ取引先から言われるのか

ここ数年、大きな会社が直接ではなく、取引先や委託先を経由して攻撃されるケースが増えています。いわゆるサプライチェーン攻撃（取引でつながっている会社の、守りが手薄なところから入り込む攻撃）です。

IPA（情報処理推進機構）が毎年出している「情報セキュリティ10大脅威」でも、組織向けの2位に入っています。

大きな会社からすると、「自分たちだけ守っても、取引先が弱いと意味がない」。そこで、取引先の対策の状況を、共通のものさしで確かめたい。そのものさしが、経済産業省が進めているSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）です。

制度の細かい話は省いて、イメージだけお伝えします。

★3は「基礎体力」、★4は「標準的な体力づくり」くらいに考えると分かりやすいと思います。

どの★が求められるかは、取引の内容や、扱う情報の重要さによって変わります。まずは取引先に、どの★を、いつまでに求めているのかを確認するのが第一歩です。

なお、制度の詳しい要件や時期は、経済産業省が順次公表しています。最新の情報は、必ず公式の資料で確かめてください。

求められている★と、期限。それから、取引先がどういう形で確認したいのか（書類なのか、評価の結果なのか）。ここをはっきりさせるだけで、やることの量が見えてきます。

いきなり対策を始める前に、今どうなっているかを書き出します。

完璧である必要はまったくありません。今どこにいるかが分かれば、それで十分です。

要件と今の状態を比べると、足りないところが見えてきます。全部を一度にやろうとせず、期限と予算に合わせて、順番をつけます。

意外と、お金をかけずにできることも多いです。ルールを紙に書く、退職者のアカウントを止める、アップデートを自動にする。こういうことから片づけていくと、気持ちもだいぶ楽になります。

正直に言うと、こうした制度は、最初は「また書類が増えた」と感じると思います。

ただ、★3の中身を見てみると、どれも会社を守るうえで、本来やっておいたほうがいいことばかりです。取引先に言われたのをきっかけに、自分たちの会社を一度点検する。そう考えると、少し前向きに取り組めるのではないかと思います。

★3・★4は、会社の大きさに関係なく、取引をしていく上での「共通語」になっていきます。

何から手をつけていいか分からないときは、まず今の状態を書き出すところから。それも難しければ、一緒に書き出すところからお手伝いします。

気になることや、確認のしかたが分からないことがあれば、お問い合わせや、右下の「よろづ相談窓口」から気軽に声をかけてください。