中小企業の課題と最初の6項目

中小企業にとってサプライチェーンセキュリティ対応は実際に大変です。その負荷は「費用」「人材」「取引先ごとの要求のばらつき」「契約面の不明確さ」に集中しています。

具体的な負担（データ）

IPAの2024年度調査による、取引先から要請された対策を進める際の課題:

単にITツールを導入するだけでなく、「誰が責任を持つか」「どこまで対応するか」「費用を誰が負担するか」まで含めて重い負担となっています。

なぜ負荷が大きいか

誤解されやすいポイント

• すべての中小企業がいきなり高度な認証を求められるわけではない — 制度設計では、まず中小企業が取り組みやすいレベル（★3）からの対応が想定されています
• 支援制度がある — IPAは中小企業向けに支援者リスト、ガイドライン、サイバーセキュリティお助け隊サービスなどを整備しています
• 対応は取引リスクの低減にもなる — 対策実施が取引獲得につながるケースもあります

SCS制度がこの問題をどう解決するか

最初に取り組むべき6項目

「完璧対応」を最初から目指すより、以下の基本6項目を先に固める進め方が現実的です。これらはSCS★3の要求事項の基盤となる項目でもあります。

1. 資産管理 — 「何を守るべきか」の明確化

   すべてのセキュリティ対策の出発点です。守るべきものが分からなければ、対策の優先順位も決められません。

   • 情報資産の一覧を作成する（データ、ハードウェア、ソフトウェア、サービス）
   • 各資産の重要度（高・中・低）を分類する
   • PC・スマホ等の端末一覧を管理する

   ポイント: 最初から完璧な一覧を目指さず、主要な資産10件程度から始めましょう。

2. アカウント管理 — 不正アクセスの入口を塞ぐ

   退職者のアカウントが残っていたり、共有アカウントを使い回していると、不正アクセスの温床になります。

   • アカウントの発行・削除ルールを定める
   • 退職者のアカウントを速やかに停止する
   • パスワードの強度ルールを設ける
   • 可能な範囲で多要素認証（MFA）を導入する

   ポイント: まずは「退職者アカウントの棚卸し」から。これだけで大きなリスクを減らせます。

3. バックアップ — 最悪の事態に備える

   ランサムウェア攻撃やハードウェア障害でデータが失われた場合、バックアップがなければ事業継続ができません。

   • 重要データのバックアップを定期的に取得する
   • バックアップを本番環境とは別の場所に保管する
   • 復元テスト（リストアテスト）を定期的に実施する

   ポイント: 「バックアップを取っているが、復元できるか確認したことがない」が最も危険なパターンです。

4. ソフトウェア更新 — 既知の脆弱性を放置しない

   脆弱性が公開されたソフトウェアをそのまま使い続けることは、鍵のかかっていないドアを放置するのと同じです。

   • OS・ブラウザ・オフィスソフトを最新の状態に保つ
   • ウイルス対策ソフトを導入・更新する
   • 脆弱性情報を定期的に確認する

   ポイント: Windows Updateの自動更新を有効にするだけでも大きな効果があります。

5. 委託先管理 — サプライチェーンリスクの管理

   SCS制度の名前の通り、サプライチェーン全体のセキュリティが重要です。自社だけでなく委託先のセキュリティも確認する必要があります。

   • 委託先の一覧を作成・管理する
   • 委託先とNDA（秘密保持契約）を締結する
   • 委託先のセキュリティ対策状況を確認する

   ポイント: まずは上位3〜5社の主要委託先から始めましょう。

6. インシデント対応 — 事故が起きたときの手順

   セキュリティ事故は「起きるかどうか」ではなく「いつ起きるか」の問題です。事前に手順を決めておくことで、被害を最小限に抑えられます。

   • インシデント対応手順を文書化する
   • 緊急連絡先一覧を整備する
   • 年1回以上の訓練を実施する

   ポイント: 最低限「誰に連絡するか」「何をするか」を1枚の紙にまとめておくだけでも大きな差があります。

テンプレートの活用

次のステップ

6項目の基盤が整ったら、管理策42項目で全体像を確認し、ギャップ評価を実施して不足項目を特定しましょう。