セキュリティ対策評価制度と「証跡の取得・保管」に求められる実務対応とは

2026年2月13日掲載

近年、サプライチェーンを狙ったサイバー攻撃が増加しており、特定の企業だけで対策を講じる従来の考え方ではリスクを十分に抑えきれなくなっています。取引先や委託先を含めたサプライチェーン全体のセキュリティ水準が、事業継続や信頼性に直結する時代に入っています。

こうした背景を踏まえ、経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度（以下、セキュリティ対策評価制度）」の導入を進めています。本制度は、企業が実施しているセキュリティ対策の状況を共通の基準で評価・可視化することを目的としています。

本記事では、セキュリティ対策評価制度の概要を整理した上で、制度の中で重要な位置づけを持つ支援策と証跡対応に焦点を当て、実務的な観点から解説します。

記事執筆者のご紹介

安藤翔一
SBテクノロジー株式会社セキュリティ＆テクノロジー本部サービス統括部企画開発部プロダクトマネジメントグループ

サイバーセキュリティのサービス企画開発を担当。ネットワーク構築SI、Microsoft 365のセキュリティ商材の検証・導入、フィッシングアクターのリサーチとオンプレミスからクラウドまで一通り経験し、ユーザーの使い勝手の良いサービスを作ろうと企画（プロダクトマネジメント）分野に挑戦しながら引き続きサイバーセキュリティに携わっている。現在は「サプライチェーンの強化に向けたセキュリティ対策評価制度」の普及促進サービスの開発に従事。

サプライチェーン強化に向けたセキュリティ対策評価制度とは

セキュリティ対策評価制度とは、企業がどの程度のセキュリティ対策を講じているかを段階的に評価する仕組みです。現時点では、主に以下の3段階で構成されることが示されています。

★3（Basic）　　：基礎的なセキュリティ対策を中心とした自己評価

★4（Standard）：ガバナンスや取引先管理を含む包括的な対策を第三者が評価

★5　　　　　　：国際標準を意識したリスクベースの高度な対策を第三者が評価

※ ★1および★2についてはセキュリティ対策評価制度ではなくIPAが運営する「SECURITY ACTION」が対応します。
SECURITY ACTION セキュリティ対策自己宣言

※出展：経済産業省『「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）」（SCS評価制度の構築方針（案））を公表しました』より引用
https://www.meti.go.jp/press/2025/12/20251226001/20251226001.html

この制度の特徴は、単なるチェックリスト型の評価ではなく、サプライチェーン全体のリスク低減を目的としている点にあります。そのため、対策の有無だけでなく、継続的な運用や管理体制も評価の対象となります。

なぜセキュリティ対策評価制度では「証跡」が重視されるのか

セキュリティ対策評価制度では、「セキュリティ対策を実施している」という説明だけでは評価は成立しません。第三者が確認できる証跡（エビデンス）を通じて、対策の実効性や継続性を示すことが求められます。

証跡が重視される主な理由は、以下の通りです。

対策が一時的ではなく、継続的に運用されていることを示すため
評価者が客観的かつ公平に判断できるようにするため
インシデント発生時に説明責任を果たすため

言い換えれば、証跡の整備状況そのものが、セキュリティ対策の成熟度を示す重要な指標となります。

証跡取得において直面しやすい課題

証跡取得でよくあげられる課題は以下があります。

何を証跡として用意すべきか分かりにくい

実務の現場では、「どこまでを証跡として準備すればよいのか分からない」という声が少なくありません。
例えば、以下のようなものが証跡として想定されます。

アクセス制御・アカウント管理の設定記録
機器の管理台帳や監視の実施記録
インシデント対応手順書や訓練記録

これらを評価直前にまとめて用意しようとすると、記録が保管されていない状況や、追加資料の提出や手戻りが発生しやすくなります。

人的・時間的リソースの制約

専任のセキュリティ担当を置くことが難しい場合、証跡の収集や整理は通常業務の合間で行われがちです。その結果、実施した対策が十分に記録として残っておらず、評価時に説明ができないという事態も起こり得ます。

「取得」だけでなく「保管・管理」までが評価対象となる

セキュリティ対策評価制度では、証跡を「持っているかどうか」だけでなく、適切に保管・管理されているかも重要な評価ポイントになります。

よく見られる課題として、次のようなものがあります。

証跡の保存場所が担当者ごとに分散している
ファイル名や保存ルールが統一されていない
担当者の異動や退職により、証跡の所在が分からなくなる
証跡保管対象の定期的な見直し、改善が行われない

このような状態では、「最新の証跡はどれか」「評価対象項目を満たしているか」を説明するだけでも大きな負担となります。

制度対応にあたって確認すべき公式情報

セキュリティ対策評価制度は、制度構築の途中段階にあり、評価基準や運用ルールは今後も更新される可能性があります。そのため、制度対応を検討する際には、解説記事や断片的な情報だけに頼らず、一次情報と補足情報を適切に組み合わせて把握することが重要です。

経済産業省のプレスリリースを一次情報として確認する

制度の正式な方針、評価基準案、スケジュール、制度上の位置づけについては、経済産業省が公表するセキュリティ対策評価制度関連のプレスリリースや資料などを一次情報として確認することが基本となります。

特に以下の点は、プレスリリースや付随する資料で随時更新されます。

制度構築方針や評価制度の考え方
本格運用時期（2026 年度末予定）に向けた進め方
関連する支援策の全体像

制度の解釈を誤らないためにも、公式資料を起点に理解を進める姿勢が不可欠です。

特に評価基準に関わる「自己評価ガイド」はサプライチェーンのどの立場であってもどのような規模であっても自社を評価および取引先を評価する上で注視する必要があります。細部は今後発信されていくことになりますが、大まかな流れと現状の公開情報を踏まえてどのように対応していくかイメージをしておきましょう。

サイバーセキュリティお助け隊の情報は支援策として併せて確認する

セキュリティ対策評価制度とあわせて設計されている支援策については、サイバーセキュリティお助け隊に関する情報も確認しておく必要があります。

お助け隊に関する情報は、経済産業省や IPA の公式サイトで公表されるほか、

提供される支援内容の範囲
想定される利用形態
制度対応との関係性

といった点が、制度資料や関連説明の中で整理されることがあります。

セキュリティ対策評価制度への対応を検討する際には、評価制度そのものと、利用可能な支援策をセットで把握することが重要です。お悩みがございましたらお気軽にソフトバンクまでご相談ください。

講演・説明会・ベンダーやメーカーの発信も参考情報として活用する

公式資料に加えて、制度の理解を深める上では、次のような情報源も有効です。

行政機関や関連団体による講演・説明会
セキュリティベンダーやメーカー各社による解説資料・セミナー
実務視点で制度対応を整理したホワイトペーパーや事例紹介

これらの情報は、公式資料を補完する位置づけとして活用することで、制度要求を実務に落とし込む際のヒントになります。特に、証跡の取得・保管や運用体制の整備といった点では、具体的な実装例が参考になることも多いでしょう。

情報収集における注意点

一方で、情報源を広げすぎると、制度要件と各社の解釈やサービス説明が混在し、判断が難しくなる場合もあります。そのため、

制度の前提や要求事項は公式資料で確認する
補足的な情報は実務対応の参考として活用する

という整理を意識することが重要です。

まとめ：証跡対応を制度対応と企業基盤強化につなげる

セキュリティ対策評価制度においては、「証跡の取得と保管」が評価の成否を左右する重要な要素となります。これは特定の企業規模に限った話ではなく、サプライチェーンに関わる全ての企業に共通する課題です。

証跡管理を単なる制度対応の負担として捉えるのではなく、内部統制やガバナンス強化の一環として位置づけることで、

評価対応の効率化
取引先からの信頼性向上
将来的な規制や監査への備え

といった中長期的な価値を生み出すことができます。

制度の本格運用が予定されている 2026 年度末に向け、公式情報を継続的に確認しながら、計画的に準備を進めていくことが重要です。

AIによる記事まとめ

この記事は、サプライチェーン強化に向けたセキュリティ対策評価制度と証跡対応の実務を扱っています。制度の概要や評価段階を整理し、第三者評価で重視される証跡の取得・保管の重要性を解説します。さらに、証跡管理で生じやすい課題や公式情報の確認方法、支援策の活用ポイントを示し、制度対応を企業基盤強化につなげる視点を提示します。

※上記まとめは生成AIで作成したものです。誤りや不正確さが含まれる可能性があります。