SCSは受注企業だけの問題ではない――発注企業が取引先セキュリティをどう設計すべきか

「取引先にセキュリティ対策を求めたい。でも、何をどこまでお願いすればよいのか」。必要な対策を求めるとともに、費用をどう負担し、誰がいつまでに対応するかも話し合う必要があります。

今回は、自社でも★3対応を進める発注企業向けに、★3を目安として取引先と対策・費用・準備期間を話し合う進め方を提案します。

★3を目安に、取引に応じた対策を決める

★3では、一般的なサイバー脅威に備える基礎的な対策を自社で評価し、セキュリティ専門家がその内容を確認します。まずは取引先の★3取得状況や準備状況を聞くと、共通の基準で対策を確認できます。¹

そのうえで、委託業務が止まると自社のどの業務に影響するか、どの情報を渡し、どのシステムで何を操作してもらうかを確認します。単発の備品購入先と、社内システムを保守する会社では、事故が起きた場合の影響が異なります。制度構築方針でも、取引への影響に応じて★の段階や求める対策を調整することが示されています。²

取引先の業務が止まると自社の事業を続けられない場合や、機密情報に重大な影響が見込まれる場合は、追加対策や★4の必要性を検討します。★4には評価機関の審査や技術面の検証も伴います。追加で何を確かめたいかと、費用や作業時間を考えたうえで必要性を判断しましょう。³

取引先と、情報の扱い方や事故時の対応を決める

★3には、自社が利用したり、データをやり取りしたりする取引先のシステムを把握することが含まれます。機密情報の扱い方と、事故時の役割や責任も取り決めます。自社が★3に対応するには、取引先への依頼に加えて、こうした管理も行う必要があります。⁴

社内の業務システムの保守を委託するとします。発注側で、どのシステムをどこまで操作できるかを決め、保守に不要な顧客情報は渡さない運用にします。取引先には★3の取得・準備状況を確認し、次の内容を話し合います。

表は横にスクロールできます。

機密情報を渡す前に、何に使えるか、どこに保管するか、第三者に渡してよいか、契約終了時にどう返却・削除するかを決めます。★3の取得状況にかかわらず、発注側と取引先の双方が同じルールで扱えるようにします。

取得している★の数に加え、自社の業務を任せる組織やシステムが登録範囲に含まれるか、有効期限が切れていないかを確認します。SCSは個々のサービスの安全性を保証する制度ではないため、不要な権限を外すなど、自社側の対策も続けます。⁵

追加資料は、何を判断するために必要かを決めてから求めます。詳しい動作記録や設定情報を大量に集めると、相手が回答する負担と、自社で情報を管理する負担が増えます。合意した内容をどう契約に反映するかは、契約担当や法務と相談します。

未取得の取引先とは、★3に向けた準備と費用を話し合う

取得期限を決める前に、現在できている対策と不足を一緒に確認します。設定を変えれば済むものと、社内のルールを決めて作業を続ける必要があるものでは、準備にかかる時間が違います。必要な作業、費用、人員を見積もり、無理のない期限を話し合います。兼務の担当者が進める場合は、通常業務と並行して確保できる時間も確認します。

見積もりには、登録料に加えて、設定変更、社内ルールや手順の整備、専門家の確認、取得後の運用を含めます。発注側から求める対応を追加するなら、その理由と費用の相談窓口を伝え、どちらがいくら負担するか、取引価格に反映するかを話し合います。制度構築方針の例でも、費用の説明と、話し合いの結果を書面に残すことが示されています。⁶

保守会社の取得までに時間がかかる場合は、作業できるシステムを絞る、作業ごとに承認する、緊急時の連絡先を決めるなどの対策を検討できます。取得までの間に行う対策であり、これだけで★3の要件を満たしたことにはなりません。

合意した改善内容、担当者、期限、再確認日を記録します。取得目標日に加え、保守用アカウントや作業権限の見直し、情報の取扱いルールの合意など、途中で確認する項目も決めておきます。対策が終わるまで取引を続ける場合は、残るリスクと、継続を判断した責任者も記録します。

取得後も、システムと権限の管理を続ける

★3では、自社のPCやシステムで利用するクラウドサービスや、データをやり取りする取引先のシステムを把握し、その情報を年1回以上見直すことが求められます。⁷

自社が利用する、またはデータをやり取りするシステムを一覧にし、新たに使い始めたサービスや、利用を終えたサービスを反映します。ここで年1回以上見直すのはシステムの情報です。すべての取引先に★3取得や年次審査を求める規定ではありません。

保守会社の担当者や再委託先が変わったり、利用するサービスが増えたりしたら、アカウントと操作権限、共有する情報、事故時の連絡先を見直します。★3取得を取引条件にした場合は、登録範囲と有効期限を確認する担当者も決めます。確認結果を調達・事業部門・情報システム部門で共有しておくと、取引先への資料依頼が重複するのを防げます。

まずは継続して取引する委託先を一社選び、★3の準備状況と不足、自社が渡している情報と操作権限、改善の期限と費用負担を一枚にまとめてみてください。取引を続けると判断した理由と、次にいつ何を確認するかまで記録しておくと、担当者が替わっても判断の経緯を確認できます。

取引先に求める対策や準備期間を相談したい方へ

取引先に★3を求めたいが、確認する範囲や準備期間を決められない。RobustEngineでは、委託する業務、共有する情報、取引先が操作できるシステムを確認し、★3を基本に求める対策と改善の順序を一緒に整理します。取引先と自社の担当者が続けられるよう、費用負担や準備期間、取得後の確認方法も検討します。

取引先への★3要求と移行計画を相談する

自社も受注企業として準備する場合は、第3回の現状把握と改善計画の考え方も役立ちます。

本記事は2026年9月時点の公表資料に基づきます。調達条件を決める際は、最新情報をご確認ください。⁸

参考資料

1. IPA「段階別評価の概要」 本文へ

2. 制度構築方針 p.15 本文へ

3. 基本規程 §1.3.16、§3.2.1 本文へ

4. 要求事項 2-1-1、2-1-2、2-1-4 本文へ

5. 制度構築方針 pp.7–9、25 本文へ

6. 制度構築方針 p.36。同ページの想定事例は★4相当の対策要請を扱います。本記事では費用協議の進め方を参考にしています。 本文へ

7. 評価基準 2-1-1-1、2-1-1-2 本文へ

8. IPAのSCS評価制度サイト 本文へ