取引先のセキュリティが原因で、自社が攻撃の踏み台にされる。そんなリスクへの対策を、企業規模を問わず「見える化」する仕組みが、国レベルで動き始めています。
経済産業省が検討を進める「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」は、 2026 年度末の本格運用を目前に控え、サプライチェーンに関わるすべての企業に対応を求めています。この記事では、制度の概要から自社に必要な対策の整理まで、順を追って解説します。
経済産業省が検討を進め、 2026 年度末からの本格運用が予定されている本制度は、企業が自社の立ち位置やリスクに応じて必要なセキュリティ対策を整理し、その実施状況を可視化することで、サプライチェーン全体のセキュリティ水準向上を目指す枠組みです。
中小企業も無関係ではない――対象範囲を確認する
こういう制度が始まると、まず気になるのは「自分の会社に関係があるのか」ではないでしょうか。
結論から言うと、この制度は中小企業を含むサプライチェーンを構成するすべての企業が対象です。受注側だけでなく、対策を求める発注側も含まれます。特に、大手企業や自治体との取引がある企業、顧客情報や設計情報などの機密データを扱う企業、クラウドサービスや IT システムを事業基盤として利用している企業では、制度対応の重要性が高まります。制度上、特に重視されるのは、サプライチェーン攻撃の足がかりになりやすい IT 基盤の整備と運用です。
■ 制度の対象範囲
★3・★4・★5 〜3段階のセキュリティレベル
SCS評価制度では、企業の役割やリスク、対策の水準に応じてセキュリティレベルが段階的に整理される想定であり、具体的には「三つ星（★3）」「四つ星（★4）」「五つ星（★5）」の3段階が設けられています。このうち三つ星と四つ星は 2026 年度末頃の運用開始が予定されており、五つ星については現在も検討が進められています。実際の制度設計に合わせて詳細を追う必要はありますが、基本的には自社の立ち位置に応じて必要十分な対策を実施し、それを説明できる状態をつくることが重要になります。
制度では、想定される脅威と対策の水準に応じて 3 段階の評価レベルが設けられています。まず自社がどの段階を目指すべきかを把握することが、対応の出発点になります。
■ 制度で設定されているセキュリティレベル
今後のスケジュール〜 2026 年度末まで、何をいつまでに準備すべきか
３段階の水準のうち、★３･★４について、上期に制度の詳細化・運用準備を進めて、令和 8 年(2026年)度末頃の制度開始を予定しています。前後で運営規程・評価用ガイド・評価機関などを順次公表し、運用開始後に取得企業を公表します。
★５については、スキームや開始予定時期などを、引き続き本サブワーキンググループ（SWG）で議論していくとされています。基準・評価スキーム等の検討はこれから本格化する段階です。
★３･★４については、 2026 年度末の本格運用に向けて準備が進められているため、制度開始を待ってから動くのでは遅れをとります。現状把握・対策の整理・証跡整備は、今から着手していきましょう。
Dropbox が制度対応の「基盤」になれる理由
SCS 評価制度への対応で求められるのは、セキュリティ製品を導入することだけではありません。日々の業務の中で対策を継続し、その状況を説明できることが重要です。
Dropbox は、SCS 評価制度で重視されるセキュリティ対策の実装と運用の両面を支えることができます。たとえば、ファイルサービスのアクセス権限の適切な設定、共有リンクの管理、多要素認証やシングルサインオンとの連携、保存データや通信の暗号化、操作ログの記録と監査、保持ポリシーや削除管理、バージョン履歴や復元機能による復旧支援などを通じて、制度対応に必要な基盤づくりを進められます。
また、Dropbox は単なるクラウドストレージではなく、社内外との安全なコラボレーションを前提に、情報共有と統制を両立できる点が特長です。サプライチェーン全体で求められるのは、データを守ることだけではなく、取引先を含む実運用の中で安全に使い続けられることです。その意味で Dropbox は、日常業務に組み込みやすい形で制度対応を支える基盤になりえます。
7つの評価分類と、Dropbox でカバーできる範囲
Dropbox の機能を制度上の観点で求められる 7 分類（ガバナンスの整備、取引先管理、リスクの特定、攻撃等の防御、攻撃等の検知、インシデントへの対応、インシデントからの復旧）に沿って整理すると、以下のように位置づけられます。
制度上の 7 つの評価分類（ガバナンスの整備、取引先管理、リスクの特定、攻撃等の防御、攻撃等の検知、インシデントへの対応、インシデントからの復旧）に沿って、Dropbox の機能がどう対応するかを整理しました。
■ 制度上の評価分類と Dropbox の機能の対応表
*2 Dropbox Protect & Control (Protect) が必要になります
出典：サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針
まとめ: 制度対応は「証跡が残る日常運用」から始まる
SCS 評価制度への対応では、単にセキュリティ製品を導入するだけでなく、取引先を含む日々の情報共有や業務運用の中で、対策を継続的に実施し、その状況を説明できることが求められます。
Dropbox は、安全なファイル管理とコラボレーション、運用統制、証跡管理、復旧支援を組み合わせることで、制度対応を現実的に進めるための基盤として活用できます。
制度対応を「特別な取り組み」にしないこと。Dropbox を日常業務に組み込むことで、気づけば証跡が積み上がっている状態を目指せます。
まずはできることから始めていきましょう。Dropbox では、 サプライチェーン強化に向けたセキュリティ対策評価制度（SCS 評価制度）を見据え、ファイル共有・外部共有・権限管理・ログ管理に関するよくある疑問をFAQ形式で整理した資料をご準備しました。ご興味ある方はこちらからダウンロードしてください。
