NRIセキュア、「SCS評価制度」の発注側企業向け対応支援メニューを提供

　NRIセキュアテクノロジーズ株式会社（以下、NRIセキュア）は25日、「サプライチェーン強化に向けたセキュリティ対策評価制度（以下、SCS評価制度）」の対応支援メニューを、発注側企業（委託元）向けに提供開始した。

　同支援メニューは、取引先に求めるセキュリティ水準の整理から、取引先の可視化・評価、人材の教育までを対象とし、必要なメニューのみを選んで利用できる。これにより発注側企業は、取引先に求める水準を整理し、多数の取引先の評価・管理を効率化しながら、制度の運用開始に向けた準備を進められる。

　経済産業省および内閣官房国家サイバー統括室は、サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化するSCS評価制度の整備を進めている。2026年3月に制度構築方針が公表され、★3・★4は2026年度末頃の制度開始（申請受付の開始）を目指している。要求事項の具体的な実装例などをまとめた評価ガイドなどは、2026年秋頃を目途に公表する予定だ。

　同制度への参加は任意で、企業のセキュリティ対策の水準を競わせるのではなく、対策状況を可視化する仕組みとされている。一方、二社間の取引契約などでは、発注側企業が取引先に適切な水準（★）を提示し、実施状況を確認することが想定されている。

　支援メニューは、NRIセキュアがこれまでさまざまな企業に対して提供してきたセキュリティコンサルティング、アセスメント、取引先管理支援、各種セキュリティ対策支援を、発注側企業によるSCS評価制度への対応という切り口で体系化している。方針策定から教育までを一連の流れで進めることも、必要なメニューのみを個別に利用することも可能な構成とし、取引先管理にかかる工数の抑制を図る。

　制度の詳細は今後具体化されるため、NRIセキュアは、現時点で発注側企業が着手できる水準の整理や取引先の現状把握から先行して支援し、評価ガイドなどの公表に応じて、支援メニューを順次拡充する。

　NRIセキュアは、「方針策定」「可視化」「分析・報告」「運用・改善」のサイクルに沿った取り組みで企業を支援する。

　方針策定のステップでは、取引の重要度や性質を踏まえ、どの取引先にどの★水準を求めるのか、対象範囲・優先順位・ロードマップを整理する。取引先との関係に配慮した要請の設計（要請文面の整備、段階的な適用ルール（猶予措置）の検討、代替策の提示）や、評価基準の整理、取引先の対応状況の評価・確認も支援する。発注側企業自身が★取得を目指す場合は、対応状況を可視化するアセスメントサービスも活用できる。これらの検討は、NRIセキュアが無料で提供するひな形・ガイド（依頼文書、委託先トリアージ表、社内説明資料、管理台帳など）を活用して発注側企業自身で進めることもでき、専門家による支援は必要な部分のみ選んで利用できる。

　可視化のステップでは、セキュリティ対策実行支援プラットフォーム「Secure SketCH 3rd PARTY」を活用し、取引先の対応状況の可視化、取引先による自己評価、進捗の一元管理を支援する。取引先の数が多い場合でも、継続的に評価・確認・改善要請・進捗管理を行える運用を整える。

　分析・報告のステップでは、評価の結果を分析して優先的に対応すべき課題を整理し、対策の立案から実行支援、改善状況の継続的なモニタリングまでを支援する。

　運用・改善のステップでは、経営層向けの勉強会、評価・確認を担う担当者の教育、従業員向けの研修など、役職やスキルに応じた教育・研修を提供する。セキュリティ人材育成の一環として、関連資格（公認情報システム監査人（CISA）、CISSPなど）の取得支援にも対応する。

　サービスでは、発注側企業側の方針策定、取引先管理、全体設計を、NRIセキュアが中心となって支援する。発注側企業の取り組みは、取引先側の対応が進むことで実効性を持つ。このため、発注側企業からの要請を受けて★取得を進める取引先・委託先企業については、株式会社ユービーセキュアと連携して支援する。

　また、自動車産業においては、株式会社NDIASと連携し、自動車業界のガイドラインなども踏まえた取引先の現状把握・可視化を支援する。これにより、業種や取引上の立場が異なる取引先まで支援が届く体制を整える。

　NRIセキュアグループでは、今回提供する発注側企業向け支援とは別に、発注側企業からの要請を受けて★3・★4の取得を進める受注企業（取引先・委託先）向けの支援メニューについても、提供に向けた準備を進めており、詳細は決まり次第、あらためて発表するとしている。