- ・経済産業省がサプライチェーン強化に向けたセキュリティ対策評価制度の中間取りまとめを公表
- ・本制度は各企業のセキュリティ対策実施状況を可視化し全体の水準向上を目指す仕組み
- ・求められるセキュリティ対策レベルを最低限から高度な対策まで星3から星5の3段階で分類
- ・既存の自己評価制度に星1と星2の区分があるため本制度は星3から評価を開始
- ・本制度の本格運用開始時期は2026年度を目標に設定
- ・本制度の策定により今後は医療分野のガイドラインや制度への影響を想定
多発するサイバーインシデントと可視化制度の背景
4月14日、経済産業省は、「サプライチェーン強化に向けたセキュリティ対策評価制度構築」の中間取りまとめを公表しました。
近年、サプライチェーンに起因するサイバーインシデントが多発しており、企業間の取引においても、サイバーセキュリティ対策の確保が強く求められています。
このような状況の中で、受注企業は複数の取引先から異なる対策水準を求められており、一方、発注企業側は、各企業の対策状況を正確に把握することが困難になっている、という課題を抱えています。
こうした課題に対応するために、経済産業省では、企業が満たすべきセキュリティ対策の水準を提示し、その実施状況を可視化する仕組みとして、「サプライチェーン強化に向けたセキュリティ対策評価制度」の検討を進めており、今回は中間取りまとめとして公表されました。
この制度の目的は、発注側・受注側の双方が、必要なセキュリティ対策の内容や水準を簡単かつ適切に判断・説明できるようにすることで、サプライチェーン全体のセキュリティ水準の向上を目指すこととされています。
受注企業にとっては、どの程度の対策を実施すべきか明確になり、実施している対策の説明も容易になります。
対して、発注企業にとっては、求めるセキュリティ水準を適切に定めることが可能となります。
さらに、社会全体としては、サプライチェーン全体の底上げによるサイバーレジリエンスの強化や、セキュリティ製品・サービス市場の拡大、競争力向上などが期待されています。
セキュリティ対策を評価する3段階のレベル分類
この評価制度では、求められるセキュリティ対策を★3（みつぼし）、★4（よつぼし）、★5（いつつぼし）の三段階で分類しています。
★3は、サプライチェーンに関わる企業が最低限実装すべき対策レベル。★4は、サプライチェーン企業が標準的に目指すべき水準。★5は、国際規格にも基づいた、到達点としての高度な対策レベルとなっています。
なお、経済産業省が先行して展開している自己評価制度「SECURITY ACTION」にて、★1（ひとつぼし）、★2（ふたつぼし）の区分がすでに存在しているため、本制度では★3からのスタートとなっています。
2026年度の本格運用目標と今後の他分野への影響
本制度の本格運用は、2026年度を目標に、今後、実証事業などを通じた評価スキームの具体化、制度の利用促進策の検討などが進められていきます。
なお、今回の中間取りまとめでは、医療機関におけるサイバーインシデントの事例も念頭に置かれており、今後、医療分野のガイドラインや制度への影響も注目されます。
