〇趣旨

デジタル化の進展とともに、企業を取り巻くサイバーセキュリティリスクは急速に高度化・複雑化しています。特に近年は、単一企業ではなくサプライチェーン全体を標的とした攻撃が増加し、取引先企業が侵入口となる事例が顕在化しています。こうした状況のもと、従来の「自社防御中心」のセキュリティ対策は限界を迎え、企業間連携を前提とした新たな対応が求められています。

このような背景を受け、経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の構築を進めており、2026年度末頃の本格運用が予定されています。本制度は、企業のセキュリティ対策状況を★3～★5の段階で可視化し、取引先間で共有可能な「共通のものさし」を提供することで、サプライチェーン全体のセキュリティ水準の底上げを目指すものです。

従来、企業のセキュリティ対策は外部から把握しづらく、発注企業ごとに異なる要求が課されるなど、受発注双方にとって大きな負担となっていました。本制度はこれらの課題を解消し、セキュリティを「コスト」から「取引価値・競争力」へと転換する仕組みとしても位置付けられています。

また、AIの急速な普及により、セキュリティの前提も大きく変化しています。AIは攻撃の高度化・自動化を加速させる一方で、防御側においても脅威検知・分析の高度化を可能にする重要な手段となっています。すなわち、今後のセキュリティ戦略は、AI活用とガバナンスを両立させることが不可欠であり、制度対応とAI活用は切り離せないテーマとなっています。

さらに、制度の本質は単なる評価・認証にとどまりません。企業間での適切な情報共有の仕組み構築、すなわちインシデント情報や脆弱性情報をいかに共有し、全体最適としてリスクを低減するかが重要な論点となります。評価制度は、そのための共通言語・基盤として機能することが期待されています。

本カンファレンスでは、こうした変化を踏まえ、以下の視点から議論を深めます。

✔ セキュリティ対策評価制度の全体像と企業へのインパクト
✔ サプライチェーン時代におけるセキュリティの再定義
✔ 情報共有・可視化によるリスクマネジメントの高度化
✔ AI時代におけるセキュリティ戦略とガバナンス
✔ 「評価される企業」となるための実践的対応ロードマップ

制度対応はもはや「IT部門の課題」ではなく、経営戦略・取引戦略そのものに直結するテーマです。本カンファレンスを通じて、企業が取るべきセキュリティ対策のあるべき姿と、競争力強化につながる実践知を提示した。

■オープニングスピーチ

本カンファレンス参加者への事前アンケートでは「SCS（Supply Chain Security）セキュリティ対策評価制度」の理解度については「概要は理解している」が、制度対応に向けた現在の取り組み状況は「情報収集段階」が、それぞれ最も多かった。

現在優先的に進めている（または検討している）施策は、「自社セキュリティ対策の棚卸し」「セキュリティ体制の見直し」「ガイドライン・要求事項の確認」～という順。制度対応において課題だと感じる点は、「制度内容の理解不足」「必要な対策レベルが分からない」「人材不足」～という順であった。そして、過去3年以内に自社もしくは関係会社で、「不正アクセス」「ランサムウェア被害」「情報漏洩」といったセキュリティインシデントを経験したという回答が多かった。

こうした脅威が各企業に迫ってきており、経営という観点からも対応策をとらなければならない。情報を保全・保管する、情報を便利に共有・管理するクラウドストレージベンダーがDropbox。私たちの使命は、スマートな働き方を創造すること。アンケートで出てきた問題・課題への対応をご支援できる。

現在、特に着目しているのは「情報過多・オーバーシェアリング」の問題である。コロナ禍を経て、情報やデータを便利に共有できるようにはなった。しかし、共有の状態が全く可視化されていない企業や組織は多い。本日のセミナーには、そうした状況に対峙・対応するためのさまざまな先進的な対策や事例紹介がある。各企業の実務に展開できる情報をお持ち帰りいただければ幸いだ。

■基調講演

セキュリティ対策評価制度の本質
制度導入による個社の限界を超える、サプライチェーン横断的なレジリエンス強化へ

◎なぜ今、評価制度なのか／SCS評価制度の本質とは

本日主にお伝えしたいことは、（1）制度対応ではなくBCM（事業継続マネジメント）へ取り込む（2）原因ではなく結果（ビジネスインパクト）に着目する（3）評価そのものより取引先との対話を始める、の3点である。

ネットワーク型社会においては、相互依存性が増加している。点から線・面へ、そして層（レイヤー）へという具合だ。個別組織のレジリエンスだけでなく、組織間の関係性を考慮したレジリエンス＝私の講演の主題、そして社会的な階層を考慮したレジリエンスを持たなければならない。

昨今は、相互依存性の範囲・レイヤーの拡大に起因する脆弱性が急増している。サプライチェーン、ネットワーク経由の障害伝播（スピード、範囲、影響度の増大）／“広域”連鎖障害・災害の増加／“他社リスク”の増大／“想定外”事象の増大と事前・水際対策の限界、などが生じている。

ここ10数年でSCRM（Supply Chain Risk Management）は発達したが、それに伴い個社対応の限界を超えたサイバーリスクが高まっている。サプライチェーン途絶・混乱要因となるパラメータ（増幅要素）が増え、新たな要素・サイバーリスクの台頭と個別最適の総和の限界も来ている。サプライチェーン構成企業が個別に安定供給責任を果たすことはますます困難になっている。

そんな状況のなか創設された、サプライチェーン強化に向けたセキュリティ対策評価制度＝SCS評価制度※は、評価・監査・評点・認証といったものよりも、「企業どうしが安心（能動的）して取引を行うための共通言語」と位置づけられる。
※SCS評価制度＝取引先を経由したサイバー攻撃を防ぐため、企業のセキュリティ対策状況を共通の基準で可視化・評価する仕組み。経済産業省と独立行政法人情報処理推進機構（IPA）が中心となり、2026年度末頃の本格運用に向け整備を進めている。

認証制度として参考になるのは、品質関連の“ISO9001”などのプロセス認証（マネジメントシステム認証）。製品・サービスそのものではなく、組織のマネジメントの仕組みを評価・認証するものだ。現時点での能力と将来性のある能力を評価するもので、最終的に問われる安定供給成果は対象外。評価制度というよりも、脆弱性の共有と改善活動を通じた信頼形成制度である。

サプライチェーンセキュリティ対策評価への対応アプローチとしては、「第三者認証（標準化された認証規格を用いる）」と「第一者認証（内部監査も含む）」そして「第二者認証（購買者などによる監査）」がある。第二者認証は、求められるセキュリティ対策の観点を織り込むことが可能だが、取引先が多岐にわたる場合はその実施と評価のメンテナンスに限界がある。それゆえにSCS評価制度が作られたと言えるだろう。

SCS評価制度には誤解も多々ある。誤解（1）＝制度対応が目的。BCMに取り込んだレジリエンスの向上が目的だ。誤解（2）＝IT部門だけの仕事。経営・調達・製造・物流を含めた全社的課題だ。誤解（3）＝評価される制度。取引先との対話で違いの弱点を共有し共に改善するという制度であり、星取り競争ではない。SCS評価制度が企業のサイバーレジリエンスを強くするのではなく、評価制度をどう使うかが企業のサイバーレジリエンスを強くする。

◎忘れてはならないBCMの視点／“Collective Resilience”の実現に向けて

外力×脆弱性＝リスク（ビジネスへの影響／社会への影響）。BCMにおいて、サイバーリスクやサプライチェーンリスクは特別なリスクではない。攻撃目的を推測しながら、必要に応じた全社体制の立ち上げを行う必要がある。

All Hazardアプローチを取りたい。ランサムウェアや内部不正などの原因事象だけではなく、生産停止や信頼失墜などの結果事象（ビジネス及び社会へのインパクト）に着目すべきだ。例えばサイバーだけ別管理すると現場は混乱する。サイバーセキュリティ担当者は原因を見るが、経営者は結果を見る。新たな管理体系ではなく、BCMの枠組みに取り込むことが重要だ。SCS制度を活用してBCMを進化させるのである。

SCS評価制度による評価を通じた相互理解／サプライチェーン構成企業間の対話／互いの合意に基づく協働的改善／リスクや脆弱性の共有に基づく信頼関係の構築／共同訓練・演習などを通じた相互運用性と実効性の向上。これらが、“Collective Resilience”（協働的レジリエンス）の実現につがる。他社と共に改善し、隠蔽は行わず弱点を共有できる関係に基づくサプライチェーン・レジリエンスの強化につなげることが肝要だ。個別最適の集合体は必ずしも全体最適ではない。

現状共有を通じた“Know Yourselves”から始めたい。SCS評価制度の評価票に基づいた対話の開始／改善目的・目標レベルのすり合わせ／BCMに関わる協働訓練・演習を通じた実効性の確認と改善ポイントの抽出／制度開始に向けて、いきなり★取得に走る必要は必ずしもない／調達側も「当事者」となる可能性もあることから、監査・検査モードではなく伴走モードで／サプライチェーンは上下関係ではなく運命共同体──という認識が重要。

協働的レジリエンス＝弾力性のある回復力・しなやかな復元力は、弱点や脆弱性をゼロにすることではなく、サプライチェーン構成企業どうしがその弱点や脆弱性を共有し、それらを補い合える関係性を構築することで成立する。

SCS評価制度は1回評価されて終わりではない。サプライチェーン構成企業どうし対話し、互いの脆弱性を理解し共に止まらないようにし、止まっても適時に回復するレジリエントなサプライチェーンを築くための仕組みだ。評価されるのは個社。しかし、被害を受けるのはチェーン全体だ。その評価はスタート地点であり、その後のPDCAを通じた成熟度の向上が肝要。繰り返すが、星を増やすことよりも改善が継続することに重点を置くべきである。

本日のキーメッセージは以下。（1）制度対応ではなくBCM（事業継続マネジメント）へ取り込む（2）原因ではなく結果（ビジネスインパクト）に着目する（3）評価そのものより取引先との対話を始める。

■課題解決講演

SCS評価制度を回すための実務
～経営意思決定・アクションを加速するデータ+AI活用の実践アプローチ～

サプライチェーン攻撃が常態化し、SCS評価制度の本格運用も始まった。“証明できるセキュリティ”が取引条件になる時代となった。Dropboxは“証明できる基盤”となる。

SCS評価制度は、取引先に説明できるセキュリティ状態を★3～★5の共通のものさしで見える化する制度だ。サプライチェーンの共通言語と言ってもいいだろう。153項目もあるその評価を分ける3つのポイントは（1）アクセス管理（2）共有ルール（3）証跡・説明責任、である。「誰がアクセスできるか」「どう共有するか」「何が起きたか説明できるか」の3軸に整理できるのだ。

SCS対応カバー率では、Dropbox＋補助運用で90％＋の要件カバーに寄与する。Dropbox基盤そのものが制度対応を前進させる。ただし、先の講演にもあったが「何か製品・ツールを入れて終わり」ではない。しっかりとした運用は必須だ。

オンプレミスの代替としてDropboxを社内の基盤とし、運用をしっかり行うことで満たせる要件群は47項目＝30.72％である。保存時／転送時の暗号化や、共有リンクのガードレールなど、★3レベルの土台はここで概ね固まる。

Dropboxの機能だけでは不足するが、共有設定・監査ログ・権限管理を土台に運用ルールを重ねる。すると、アクセス権限の最少化や外部共有の統制など、★4～★5に届く要件群93項目～60.78％を満たせる。

どんなクラウドを入れても残るのは「組織・人・物理」に属するもの。SCS対応では、残る運用依存の13項目＝8.5％の部分すなわち、社内規程・ガバナンス／教育・意識付け／物理・端末。ネットワーク／BCP※・インシデント対応を正面から捉える必要がある。Dropbox基盤化で90％超を片付ければ、注力すべきこれら“本丸”が明確になる。
※Business Continuity Plan（事業継続計画）。自然災害や感染症などの緊急事態が起きたとき、重要な仕事を続けたり早期に再開したりするための計画のこと。

★3～★5を妨げる“見えない共有”のリスクは高まっている。共有リンクはあって当然のインフラになっており、社内のデータがどのように外と繋がっているのか、誰も把握できない状態が広がっている。「見えないものは、管理できない」。共有の可視化が★4～★5への必須条件になる。

“Dropbox Protect”は、共有の可視化から一括是正までワンストップで対応。先述の13項目＝8.5％をカバーする。現場のUX（使い勝手）はそのままに、IT部門だけが共有の全貌を把握しコントロールできる。6つのプリセットフィルターで瞬時にリスクを俯瞰し、選択して一括是正できるのだ。

先の講演にもあったが、個別対策の積み上げではなく基盤そのものを置き換えることが重要だ。SCS要件への対応は、追加ツールを積み増すほど“例外運用”が増え、現場が回らなくなる。基盤＝ファイルサーバー／NAS※の置き換えから考えると、要件は自然にカバーされる。
※NASサーバー＝自宅やオフィスのLAN（ネットワーク）につないで複数人で同時にデータを保存・共有できる記憶装置

また、多くの企業では、情報資産管理にさまざまな課題があり、競争力強化の阻害要因となっている。Dropboxをファイルサーバー代わりにし、情報資産を統合管理することも推奨する。

Dropboxは「ブラウザで使うクラウド」ではなく、エクスプローラ／Finder上でそのままアクセスできるファイル基盤だ。ファイルサーバー／NASを置き換えても運用は変わらない。その3つの技術的な裏付けは、差分同期＋LAN同期で高速／NASと同じアクセス権設計／大容量のデータ処理対応、である。“いつも通り使える”からSCS要件が自然に満たされていく。

Drobox基盤で、SCS対応を“説明できる”状態にしたい。新規個別対策を積み上げるのではなく、Drobox基盤そのものが制度対応を前進させるのである。

■事例セッション

戸田建設のセキュリティ対策
 

2024年10月にオープンした当社の本社ビルである「TODA BUILDING（東京都中央区）」では、さまざまな最新ICT技術が導入されている。ビル入居者はスマートオフィスアプリ「T-BuSS」を通じて、個人の社内位置情報連携や、空調や照明、ブラインド開閉などパーソナル環境制御を利用できる。またビル内では、ロボットによるカフェデリバリーや宅配便等の自動搬送、高速エレベーターと連動したスムーズな顔認証入退ゲート管理などが稼働している。

これらのシステムやソフトウェアの開発を担うのは、当社が推進する「人財DX」によって育成された社員である。当社では2020年より、最前線事業部門の社員をデジタル人材へとリスキリングする取り組みを開始した。建築や土木の作業所で現場監督などを務めていた社員から希望者を募り、約1年間にわたり大学でデジタル教育を実施。修了後はビジネスプロセスおよびビジネスモデルを変革する主力として、各部門やDX関連部門で活躍している。先述の「T-BuSS」や自動搬送ロボット制御システムのほか、社内専用のAIチャットツール、議事録作成ツール、現場向けチャットボットなどを継続的に自社開発している。

データインフラの面では、約15年前の東日本大震災を契機にBCP対応として全社へ「Google Apps（現Google Workspace）」を導入した。しかし当時は、ファイル操作速度や社外共有の利便性などの課題から、作業所におけるGoogleドライブ活用は進まず、各作業所に設置されたNASでのデータ管理が主流となっていた。その結果、本支店などの内勤部門ではGoogleドライブが利用される一方で、作業所ではNASが用いられ、社外とのデータ共有には大容量ファイル転送メールが使われるなど、データ管理が分断されていた。

そこで2019年10月に、ファイルの管理と検索の一元化を目指し、建築・土木作業所も含めてDropboxを全社導入することとなった。まず、作業所のすべてのデータをNASからDropboxに移行。これにより、本支店内勤部門でのデータ保存・共有にはGoogleドライブが利用され続けるものの、作業所でのデータ保存および社内外の共有にはDropboxが用いられることとなった。各作業所におけるDropboxのフォルダ構成は極めてシンプルで、「作業所用（社内専用）」と「社外共有用」を明確に分けて運用し、発注者や設計・監理事務所、協力会社などとのデータ共有基盤とした。なお、Dropbox全社導入以前に社員個人が使っていたDropbox Basic（無料版）については、法人アカウントの個人フォルダへデータを統合するなどの対応を行った。

その後、共有フォルダ数やデータストレージ量は年々増加し、社外との共有フォルダ数は約30,000以上、データ容量は1PB（1,000TB）以上となり、Dropboxの利活用は大いに進んでいる。ただし、作業所プロジェクトの進行中に外部公開された多くの共有リンクや共有フォルダは、プロジェクト竣工後は見直されることなく放置され、「誰でもアクセス可能」「いつでもアクセス可能」な状態のまま残存しがちであった。これらを放置しておくとデータ漏洩のリスクがあるため、何かしらのアクションが必要となっていた。

放置された共有リンクには、以下の危険性がある。
（1）アクセス権限の棚卸しができていないため、適切なアクセス制御が出来ない
（2）退職者や外部関係者が継続してアクセス可能
（3）誰がダウンロードしたのかチェックできない
（4）リンクが拡散された場合、意図せぬ第三者がダウンロード可能
（5）編集可能なリンクの場合、予期せぬ書き換えが発生する恐れ
（6）共有リンクで顧客のデータが共有されていた場合、法的責任が発生する恐れ
（7）情報管理に関する内部統制ができていない恐れ

当社では、前述の通りGoogleドライブとDropboxを併用しながら生産性向上を図ってきた。しかしその裏側で、データは分散・増加・複雑化し、データの状態そのものが見えない状態となっていた。これでは、情報漏洩リスクの存在にすら気付くことができない。
さらに、過去の一般的な情報漏洩事故を振り返ると、「知らなかったから、対応できなかった」のではなく、「分かっていたのに、止められなかった」という事例が多い。事故を防ぐには「見える」ことだけではなく「止められる」ことが重要と考え、2025年12月に“Dropbox Protect”を導入した。

Dropbox Protectは、「誰が、何を、共有しているのか」を見える化する。DropboxだけでなくGoogleドライブやOneDriveも含め、共有範囲・リンク種別・所有者を横断的に可視化することが可能である。管理者は「社内リンクを持つアイテムのみ表示」「公開リンク付きアイテムを表示」「外部ドメインと共有されているアイテムを表示」など6種類のプリセットフィルターを活用することで、全社の共有リスクと可視性の範囲を瞬時に把握できる。結果として、導入期にDropbox Basic（無料版）から移行した個人フォルダ内に社外共有されたままになっていたデータが存在したリスク事例なども見つかり、適切に対処することができた。

Dropbox Protectを活用することで、一定期間社外共有され放置されている公開リンクを、レポートを通じて可視化できる（＝見える）。長年放置されたままの公開リンクを強制削除し、長年社外共有されたままのファイルやフォルダについても外部共同編集者を一括削除できる（＝止める）。また、設定したポリシーを用いて、公開リンクや社外共有の検知と制御を自動化できる（＝任せる）。

今後の情報漏洩リスク低減に向けた取り組みをまとめると、以下の通りである。
（1）外部共有状況の可視化（個人領域を含む全領域を可視化）
（2）公開リンク・社外共有の運用是正（有効期限の設定や、放置された共有の強制排除）
（3）新たな共有ルールの策定と制御（「誰も使っていないのに残っている共有」を作らない）

当社は「見える（横断的な把握）／止める（リスクの即座な遮断）／任せる（ポリシーによる再発防止）」の三段階の機能を活用していく。現場のコラボレーションを阻害せず、外部共有の状況をリアルタイムで把握し、リスクの高い共有を検知・遮断する。そして、社内データを一元管理し、セキュリティ確保と利便性を両立させた体制構築を目指している。

■特別講演

セキュリティ対策評価制度が変える企業経営
～"評価される企業"になるために経営者が知るべきこと～

◎企業でのサイバーセキュリティの取組／SCS評価制度の検討経緯

企業でのサイバーセキュリティの取組は、評価・可視化の時代に入った。SCS評価制度（★3・★4）制定が2026年3月に正式決定した。2025年頃から、共通言語・共通ものさしにより上流から下流まで同じ基準で対話が可能になってきている。「評価を取得した企業」が取引的な信頼の証となる時代となった。

有価証券報告書の「事業等のリスク」にサイバー攻撃のワードを含む大企業の割合は、2025年には約88％に達した（ニッセイ基礎研究所の調査による）。大企業のセキュリティ認識は急速に高まっている。しかし、中小企業では約32％と依然として低水準。企業規模別の格差がある。インシデント被害企業の約70％が「取引先への影響あり」と報告しているという調査結果もある。

サプライチェーンには、認識できない「間隙」の存在／規制強化と自主性のジレンマ／中小企業への連鎖リスクがあり、全体を通しての対策は難しい。そこで、対策レベルの「可視化モデル」としてSCS評価制度が発足した。「ある時点で★の水準を満たしていたことを説明できる構造を作ることで、インシデント発生時の社会的責任を緩和できないか」＝説明責任モデルというコアな発想からだ。

2023年頃から問題意識の共有が始まり、26年にはIPA（独立行政法人情報処理推進機構）第1回運営審議委員会が開催された。今年度の運営計画・基本規程・制度運営規則類の審議が行われ、SCS評価制度が実運用フェーズへ移行中だ。26年10月には、評価用ガイド・指定手順等の公表が行われる予定（実運用の鍵となるドキュメント群の公開含む）。27年（令和8年度末）の制度運用開始に向けて、制度運営基盤の整備および導入促進策が進められている。

◎SCS評価制度の進捗／AIが変えた前提

持続可能なSC対策検討SWG（サブワーキンググループ）が26年2月に発足。制度が決まった“その先”、実際に機能する制度にするための実務的な議論を担う。実務課題の収集⇒議論・検討⇒IPAへのインプット⇒フィードバックと改善、がSWGの活動サイクルだ。

SWGの4つのグループが、制度構築方針、要求事項・評価基準の解釈／中小企業支援／SCS評価制度のベネフィット、他制度・基準との整合／評価の在り方、継続的改善の仕組み、を検討している。これらの検討結果を26年10月公表の評価ガイド・指定手順にインプットし、「現場で使える制度」を実現するのが目標だ。

評価ガイド・指定手順が整備されたとしても、各企業の状況・業種業態による際は必ず残る。ケースバイケースの対応と「経営者自身の関与」が制度を機能させる鍵となる。★を取得するということは、経営者が事業継続の観点で自社のセキュリティ態勢を把握し説明できる状態である、と宣言することなのだ。

高性能AIを脆弱性の発見・修正等のサイバーセキュリティ対策に活用することにより、我が国のサイバーレジリエンスの更なる強化が期待できる。その一方で、高性能AIが攻撃者に悪用されることにより、サイバー攻撃がより高速かつ大規模に行われる恐れがある。悪用リスクを前提に、高性能AIの積極活用も含め、対策強化を早急に進めていくことが必要だ。防御側も高性能AIを活用したい。

日本政府は、経団連や重要インフラ事業者に以下の旨を伝えた。今後想定されるフロンティアAIによるサイバー攻撃は、我々の準備を待ってはくれない。だからこそ、今できる基本的な対策・多層防御・リスクベースのパッチ適用を徹底し、“経営層のリーダーシップの下で、組織のリスクマネジメントとして実施すること”が重要──。AI時代のサイバーリスク対応とは、最先端技術への恐怖ではなく、経営者が今すぐできることを経営の優先事項として進めること、なのである。

◎「評価される企業」の先へ

★を取得することはゴールではなく、スタートラインだ。★取得により、共通言語の獲得／自社の現状把握／コミュニティへの参加資格、が得られる。★取得の先には、継続的な改善のサイクル／サプライチェーン全体への波及／情報共有による集合知の醸成、が必要だ。

SCS評価制度の出発点にあった「説明責任モデル」の問いは、実は経営者への問いであった。経営者は自社のセキュリティ体制を語る⇒サプライチェーン全体のレジリエンスを語る⇒多くのステークホルダーと共に高める、という流れで行動しなければならない。サプライチェーン全体を見渡し、多くのステークホルダーと共に高めていく──それが「評価される企業」の先にある姿だ。

まとめは以下。
（1）企業のサイバーセキュリティは「IT部門の課題」から「経営の責任」へと変わった
（2）SCS評価制度は、サプライチェーン全体が使える「共通言語」であり「共通ものさし」
（3） ★評価の本質は「説明責任」──経営者が事業継続の観点で自社のセキュリティを語れること
（4）AIの高度化が前提を変えた。しかし今できる基本対策の徹底こそが最初の一手
（5） ★取得はゴールではなくスタート。多くのステークホルダーと共にサプライチェーン全体のレジリエンスを高めていく

1. TOP
2. 【イベントレポート】全力解説　セキュリティ対策評価制度の本質 －変わる競争ルールと企業価値を左右するセキュリティの新機軸－