SCS評価制度（セキュリティ対策評価制度）への第一歩 ～★3（三ツ星）獲得に向けて～

経済産業省が主導する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の開始に伴い、多くの企業が最初に取り組むべき目標が「★3（三つ星）」の取得です。

★3は「すべてのサプライチェーン企業が最低限実装すべき基礎的なセキュリティ対策」と定義されており、要求事項は25項目にのぼります。

本記事では、「まずは★3を確実にクリアする」ために、自社への導入が不可欠となる代表的なセキュリティ製品をカテゴリ別に厳選してご紹介します。

1. 資産管理・パッチ管理：まずは敵と味方を知る

★3の要求事項（リスクの特定）では、自社が保有する情報資産（ハードウェア・ソフトウェア）の一覧を作成し、OSやソフトのセキュリティパッチを最新に保つことが求められます。

おすすめ製品：LANSCOPE Endpoint CyberSTIX / SKYSEA Client View

PCやスマートフォン、サーバなどのIT資産を自動で洗い出し、社内ネットワークに繋がっている機器を一元管理するツールです。

• ★3対応への貢献：
  • 社内にある端末の台数や導入ソフトの「一覧化」を自動で行えます。
  • Windows Updateなどのパッチ適用状況を可視化し、古いOSのまま放置されている脆弱な端末を即座に特定・制御できます。

2. マルウェア対策：一般的なサイバー攻撃を入口で止める

★3は「既知の脆弱性を悪用した一般的なサイバー攻撃やランサムウェア」への対処を念頭に置いています。すべてのPCやサーバに、常に最新の状態に保たれたマルウェア対策ソフトが導入されている必要があります。

おすすめ製品：Trend Vision One / ESET Endpoint Protection

防御力の高さと動作の軽快さに定評がある、次世代型のエンドポイントセキュリティ（アンチウイルス/EDR）製品です。

• ★3対応への貢献：
  • 従来のパターンマッチングに加え、ランサムウェア特有の「不審な挙動」を検知して実行をブロックします。
  • 管理画面から全端末の定義ファイルが最新であるかを一括監視できるため、評価基準である「常に最新に保つ運用」をクリアできます。

3. 認証・アカウント管理：不正アクセスの壁を作る

★3の要求事項では、管理者アカウントへの多要素認証（MFA）の有効化や、退職者アカウントの速やかな無効化といった「適切なアカウント運用」が厳しくチェックされます。

おすすめ製品：Okta Identity Cloud / HENNGE One

社内で利用している各種クラウドサービス（Microsoft 365やGoogle Workspaceなど）や社内システムの認証を一括で制御するID管理（IDaaS）ツールです。

• ★3対応への貢献：
  • パスワード認証だけでなく、スマホアプリへの通知や生体認証を組み合わせた「多要素認証（MFA）」を確実に一括導入できます。
  • 社員の入退社時に、ボタン一つで連携するすべてのサービスのアカウントを削除・無効化できるため、不要アカウントの放置を防ぎます。

4. バックアップ：万が一のランサムウェア感染に備える

システムが攻撃を受けて暗号化されてしまった場合を想定し、重要データのバックアップを定期的に取得すること、そして「実際に復元できること（リストアテスト）」が★3の必須要件となっています。

おすすめ製品：Acronis Cyber Protect / Arcserve

データ保護だけでなく、バックアップデータそのものをサイバー攻撃から守る機能を有したバックアップソリューションです。

• ★3対応への貢献：
  • スケジュールに基づいた「定期自動バックアップ」を確実に実行できます。
  • バックアップデータがランサムウェアによって書き換えられるのを防ぐ保護機能（不変性バックアップ）を備えているため、いざという時に必ず復元できる環境を作れます。

5. 従業員教育：セキュリティの「人」の脆弱性をなくす

★3はシステム面だけでなく、組織的な対策も重視されます。派遣社員を含むすべての役職員に対して、定期的なセキュリティ教育・研修や訓練を実施することが要求されます。

おすすめ製品：セキュリオ（Seculio） / 標的型メール訓練サービス

クラウド上で手軽に受講できるセキュリティ専門のeラーニングおよびメール訓練システムです。

• ★3対応への貢献：
  • 最新の脅威トレンドに合わせた教材が豊富に用意されており、全社員への一斉配信が可能です。
  • 「誰が受講を完了したか」の履歴が自動で残るため、SCS評価制度の自己評価時に提出する「実施エビデンス（証拠）」の作成が非常にスムーズになります。

💡 まとめ：製品選びのポイント

SCS評価制度の★3は「専門家確認付きの自己評価」（年1回更新）という形式をとります。

ただ製品を導入するだけでなく、「適切に運用されていること」「台帳やログで状況が証明できること」が評価のポイントになります。そのため、社内のIT担当者の運用負荷を下げ、ダッシュボード等で一元管理・レポート出力ができる上記のような製品・サービスを選ぶことが、★3取得への最短ルートとなります。

まずは自社の現状とこれらの製品のカバー範囲を照らし合わせ、不足している対策から段階的に整備を進めていきましょう。