キヤノンITソリューションズ（キヤノンITS）は5月18日、セキュリティ対策評価制度の準備状況に関する独自調査の結果を発表した。この調査は、経済産業省と内閣官房国家サイバー統括室が運用開始を予定している「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」に関する実態把握を目的に、発注企業側とサプライヤー企業側を対象に実施したもの。
■主な調査の結果
◎発注企業側（従業員1000名以上・109名）
・取引先のセキュリティ対策を84.4%が確認しており、管理強化は進展
・★評価を取引条件に組み込む意向は71.6%、うち52.6%が「★4以上」を想定
・一方、★取得要請には94.8%が難しさを感じ、取引先との関係への配慮が課題
◎サプライヤー企業側（製造業・物流業／従業員300～1000名規模・111名）
・制度認知は77.5%、認知者の90.7%が★3／★4取得準備を開始
・課題は専門人材不足（54.1%）と予算制約（44.1%）
・82.9%が外部専門家・サービスの活用に前向き
発注企業の84.4%が取引先のセキュリティ確認を行っている一方で、「十分に把握できている」と回答した割合は16.5%にとどまり、実務上の負荷や評価の難しさが示された。こうした背景から、共通の評価基準としてセキュリティ対策段階の評価（★）を取引条件へ反映しようとする動きが進んでいると考えられる。
特に取引条件化の意向がある発注企業のうち、取引先に「★4以上」を求める予定とした回答が52.6%と過半数を占めた点は、サプライチェーン対応水準を前提とする取引が現実味を帯びてきたことを示唆する。
一方、サプライヤー企業側では、制度認知（77.5%）や準備着手（制度認知者の90.7%）が進むものの、課題として「専門人材不足」54.1%、「予算の制約」44.1%が挙がった。発注企業が想定する水準と、サプライヤー企業のリソース制約の間に隔たりがあり、段階的な運用や支援の設計が重要になると考えられる。
セキュリティ対策評価制度は、取引における実務判断へ影響し得る指標としての位置づけが強まりつつある。今後は、発注企業側では要請根拠・対象範囲・コミュニケーション設計を整備し、サプライヤー企業側では現状把握と優先順位付けにより、限られたリソースで実効性ある対応を進めることが求められる。
関連リンク