「SCS評価制度に対応できます」と製品を勧められたが、買えば済むのか分からない

通信の機器や複合機を任せている業者から、提案書が届く。表紙には「SCS評価制度に対応できます」とある。国が新しく始める制度で、申請の受付はまだ始まっていない、という説明も受けた。提案されているのは、パソコンを守るソフトと、通信の出入口に置く機器である。説明に引っかかる所は無い。ただ、これを入れれば制度のことは済むのか、ほかに何か要るのかが、提案書からは読み取れない——この辞典が扱うのは、その場面である。

• 「SCS評価制度に対応できます」と書かれた提案書を受け取った。制度の名前を聞いたのは、そのときが初めてだった。
• 提案書には製品の機能が並んでいる。制度が会社に何を求めているのかは、その資料には書かれていない。
• 「対応」という言葉が、★を取れることを指しているのか、求められる項目の一部を満たすことを指しているのかを、確かめていない。
• ウイルス対策のソフトも通信の機器も、すでに入っている。それで足りているのか足りていないのかを、社内の誰も言えない。
• 制度の資料を開いてみたが、項目の並んだ表が長く、自社に関係する所が分からないまま閉じた。
• 取引先から★の話が出たことは、まだ無い。先に手を打っておくものなのかどうかの見当がつかない。

提案が正しいかどうかの手前で、制度が求めていることと、提案に入っているものを、並べて見る材料が手元に無い場面である。

この場面で出てくる考えは、たいてい一つである。「制度に対応するとは、対応した製品を入れることだ」。

そう考える下地はある。会計や請求のソフトでは、制度が変わるたびに、対応した版に入れ替えることで用が足りてきた。セキュリティも、ウイルス対策のソフトを入れる、通信の機器を新しくする、という形で手当てしてきた会社が多い。制度の名前が付いた製品が出てくれば、それを入れることが対応だと受け止めるのは、これまでの経験の延長にある。

この見立てには、当たっている部分がある。SCS評価制度が求める項目の中には、機器やソフトの働きで満たす種類のものが実際に並んでいる。だから提案書を前にした判断は、買うか見送るかの二択の形をとりやすい。

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、会社のセキュリティ対策がどの段階にあるかを★の数で示す、任意の制度である。運営はIPA（情報処理推進機構）が行う。発注する側が取引先に望ましい★を示し、取得しているかどうかを確かめる、という使い方が想定されている。★3は、専門家の確認を受けた自己評価で取得する段階で、求められる要求事項は26項目ある。（2026年10月時点の内容。要求事項をどう満たすかを説明する評価用のガイドは2026年10月下旬、評価機関の公表は同年12月、申請の受付開始は2027年3月の予定とされ、要求事項と評価基準に軽微な修正を加えることも合意されている。実際に動くときは、IPAの案内で最新の内容を確かめる必要がある。）

IPAは、この26項目を表にして公開している。一つずつ読むと、文の形が二つに分かれる。

一方は、会社が決める・把握する・定める、という形の文である。何について決めるのかで束ねると、三つになる（束ね方はこの辞典によるもので、国の資料は七つの大分類で並べている）。

誰が担当するのか

• 「セキュリティ推進活動を担当する部署、役員及び従業員を決定し、責任及び権限を割り当てること。」
• 「セキュリティインシデント発生時の他社との役割及び責任を明確にすること。」
• 「セキュリティインシデントへの対応手順、対応体制等を定めること。」
• 「セキュリティインシデント発生時の対応に関する教育・訓練を行うこと。」

何を持っていて、どこにつながっているのか

• 「情報機器、OS及びソフトウェアに関する情報を把握すること。」
• 「ネットワークに関する情報を把握するための仕組みを整備すること。」
• 「自社の機密情報を扱う外部情報サービスを管理すること。」
• 「取引先と自社とのビジネス又はシステム上の関係を把握すること。」

どう扱うのか

• 「守秘義務のルールを策定し、遵守させること。」
• 「自社のセキュリティ対応方針を策定し、周知すること。」
• 「自社の機密情報の取扱い方法を、共有先との間で明確にすること。」
• 「機密区分に応じた情報の管理ルールを定め、それに基づく管理を行うこと。」
• 「ユーザIDの発行・変更・削除の手続を定めること。」
• 「管理者IDの発行・変更・削除の手続を定めること。」
• 「システム及び情報の重要度に応じて認証の強度及び実装方法を決定すること。」
• 「パスワード設定に関するルールを定め、周知すること。」
• 「パスワードの管理に関するルールを定め、周知すること。」
• 「アクセス権の管理ルールを定めること。」
• 「情報機器、OS及びソフトウェアへのセキュリティパッチ及びアップデートの適用に係る手続を定めること。」

もう一方は、機器やシステムの側で行う、という形の文である。

• 「パソコン及びスマートデバイスにはロック制御を行うこと。」
• 「適切なバックアップを行うこと。」
• 「情報機器、OS及びソフトウェアの安全な構成を確立し、維持すること。」
• 「システムをマルウェア感染から保護すること。」
• 「ネットワークを適切に分離し、境界部分を防護すること。」
• 「ネットワーク上の適切な場所でネットワーク接続及びデータ転送を監視すること。」
• 「事業上重要なシステムについて、事業継続の要件に沿う復旧に必要な準備を行うこと。」

要求事項の文の形で数えると、前者が19項目、後者が7項目になる。これは国による分類ではなく、一文の形だけを見てこの辞典が数えたものである。要求事項にはそれぞれ、より細かい評価基準が付いており、そこまでは分けていない。

たとえば最初に挙げた、担当を決める項目。IPAの表でこの項目に付いている★3の評価基準は、統括する役員と担当部署の役割・責任を定めること、平時の連絡先の一覧を定めること、その体制を年に1回以上点検すること、の三つである。どれも、会社の中で決めて、書いて、残すことを求めている。

評価のしかたも同じ向きである。制度構築方針は、★3の評価を、取得を希望する組織が作成した書類の確認としている。登録の前には、経営層の合意に基づいて、適合していることを自ら宣言し署名する手順が置かれている。

つまり、★3で確かめられるのは、会社が自分で書いたものである。書く中身は、会社が決めていなければ書けない。担当者の名前も、何を機密とするかの区分も、パスワードの扱いの決まりも、製品と一緒には届かない。

では、なぜそれが社内に無いのか。中小企業のセキュリティは、多くの場合、物を買う形で手当てされてきた。ウイルス対策のソフトを入れ、通信の機器を替え、バックアップの装置を置く。どれも、その時点でもっともな判断である。そして物は、入れたその日から動く。担当を決めていなくても、機器の一覧が無くても、動く。決めなくても先へ進めたので、決める場面そのものが来なかった。先の19項目が聞いているのは、買ってきた物のことではなく、買うときに決めなくても先へ進めた事柄のほうである。

国の文書も、この点を書いている。経済産業省と内閣官房国家サイバー統括室が公表している制度のFAQには、特定のセキュリティ対策製品を導入しなければならないのか、という問いが載っている。答えはこうである。「★の取得を希望する組織の規模やシステム構成によって求められる対応が必ずしも同一では無いことから、本制度の評価基準を達成するにあたっては、特定のセキュリティ対策製品の導入を求めるものではありません。」

同じ二者は2026年4月に、制度をめぐる勧誘についての注意も出している。「評価を取得していないと商取引が規制される」「今すぐ評価を取得しないと入札から除外される」といった営業活動による製品・サービスの勧誘が報告されている、としたうえで、こう書いている。「本制度は、個社間における商取引に関し規制措置を講じるものではなく、また、本制度の評価基準を達成するにあたっては、特定のセキュリティ対策製品の導入が必須とされているものではありません」。

注意が向けられているのは、取引が規制される、入札から除外される、といった言い方での勧誘である。製品を勧めること自体が問題にされているわけではない。機器やソフトの働きで満たす項目は現にあり、国が中小企業向けに用意を進めている支援策も、制度構築方針では、ITツールによる支援と、方針や手順書の整備・教育といったITツール以外の支援とを組み合わせる形で描かれている。IPAも、この支援策の説明資料の中で、機器の導入では満たせない項目もある、と書いている。道具が受け持つ項目はある。ただ、道具だけで26項目が埋まる作りにはなっていない。

「対応できます」という言葉は、誤りとは限らない。製品が受け持つ項目については、そのとおりでありうる。ただ、その「対応」が26項目のうちどこまでを指しているのかは、言葉の上からは分からない。買えば済むのかという問いに答えが出ないのは、製品の良し悪しが見分けられないからというより、製品の外に残る項目が見えていないからである。

問いを「買えば済むか」から、「この提案は26項目のどれを受け持ち、どれが自社に残るのか」に置き換える。

26項目を一つずつ、三つの欄に分けていく。製品や機器が受け持つもの。会社が決めて書くもの。すでに済んでいるもの。

一つの項目が、二つの欄にまたがることもある。「適切なバックアップを行うこと。」なら、データを取る働きは装置やサービスが受け持つ。何を、どこまで取れば適切なのかは、どの仕事のデータが失われると困るのかを知っている会社の側で決まる。「情報機器、OS及びソフトウェアに関する情報を把握すること。」なら、機器の情報を集める働きは道具が助けられる。集まった一覧を誰が見るのか、載っていない機器をどう扱うのかは、会社の側に残る。機器やシステムの側の項目にも、「適切な」「事業継続の要件に沿う」という言葉が入っている。先のFAQが、組織の規模やシステム構成によって求められる対応は同一ではないと書いているのは、この部分に表れている。同じ製品を入れても、埋まる欄は会社によって違う。

この仕分けの物差しは、まだ出そろっていない。要求事項をどうすれば満たしたことになるのかを説明する解説書や、自己評価のガイドは、2026年10月下旬に公表される予定とされている。それまでは、ある製品がどの項目をどこまで満たすのかを、国の資料で確かめきる材料が無い。これは売る側にとっても、買う側にとっても同じである。申請の受付が始まるのは2027年3月の予定で、国のFAQによれば、制度が始まる時点で★を持っている会社は存在しない。

三つの欄に分かれると、提案の読み方が変わる。製品が受け持つ項目については、買うかどうかを、ほかの買い物と同じように中身と値段で決められる。会社が決めて書く項目については、製品とは別に、誰がいつ決めるのかという話になる。一つに見えていた問いが、性質の違う二つの問いに分かれる。

三つの欄の埋め方は、一通りではない。自社の側から埋める道、製品の側から埋める道、物差しが出そろうのを待つ道がある。

A案：26項目の表をAIに渡し、自社の今の状態を当てはめて「まだ決まっていないこと」の一覧を作らせる

仕分けの元になる表は、すでに公開されている。IPAは要求事項と評価基準の一覧を表計算のファイルで出しており、★3の欄に印の付いた要求事項が26項目ある。足りないのは、この表の一行ずつに、自社の今の状態を当てはめる作業である。項目の文は硬く、自社の言葉に置き換えながら26回繰り返すことになる。この当てはめを、AIに任せる道がある。

用意するものは二つ。一つは、その表。もう一つは、自社の今の状態を書いた一枚である。社員の人数。パソコンとスマホのおおよその台数。ITのことを誰が見ているか。使っている外部のサービスの種類。すでに入っている機器やソフトの種類。社内にある決まりの文書（就業規則の守秘の条項、パスワードについての通知など）。分からないことは「分からない」と書く。提案書があれば、機能の一覧のページも添える。そのうえで、こう頼む。

• 「表の★3の要求事項を一つずつ、当社の説明と照らして、『決まっていて、書いたものもある』『やってはいるが、書いたものが無い』『決まっていない』『説明からは判断できない』の四つに分けて。分けた理由も一行で書いて」
• 「『決まっていない』と『書いたものが無い』に入った項目について、会社が決めることを、問いの形で並べて」
• 「提案書の機能が、どの要求事項に関わりそうかを挙げて。提案書が触れていない要求事項も挙げて。読み取れないものは、読み取れないと書いて」
• 「『説明からは判断できない』に入った項目について、当社に追加で確かめたいことを並べて」

出てくる表は、たとえば次のような行になる。

• 「セキュリティ推進活動部門（1-2-1）：説明に、担当する人と権限の記載がありません。『決まっていない』に入れました。決めること＝誰が担当するか。その人は何を決めてよいか」
• 「情報機器、OS及びソフトウェアに関する情報の把握（3-1-1）：パソコンの台数は書かれていますが、OSとソフトウェアについての記載がありません。『説明からは判断できない』に入れました」
• 「パスワード設定ルール（4-1-5）：口頭で伝えているとの説明があります。『やってはいるが、書いたものが無い』に入れました」
• 「マルウェア感染からの保護（4-4-5）：ウイルス対策のソフトが入っているとの説明があります。提案書の機能も、この項目に関わりそうです」
• 「提案書が触れていない要求事項：守秘義務のルール、セキュリティ対応方針の策定、機密情報の取扱い、ほか」

こうして手元に残るのは、製品の提案書には載ってこない側の一覧である。誰が担当するのか、何を持っているのか、どう扱うのか。会社が決めて書く項目が、問いの形で並ぶ。提案された製品が受け持つ項目と、その外に残る項目も、同じ表の上で見える。

• 向く場面：提案書は手元にあるが、制度の表を自社に引き当てて読む時間が取れない会社。すでに入っている機器やソフトが、制度のどの項目に当たるのかを言える人がいない会社。
• 割に合わないこと：この仕分けは、評価ではない。★3の自己評価は、制度が定める専門家が内容の妥当性を確かめて署名する形になっており、AIが「決まっている」に入れたからといって、その項目を満たしたことにはならない。何をもって満たしたとするかを説明する解説書も、まだ公表されていない。それまでAIは、要求事項の一文から中身を推し量って分けることになり、推測が混じる。要求事項と評価基準には軽微な修正が入る予定もあるので、ガイドと修正後の表が出た時点で、当てはめはやり直しになる。また、AIが知っているのは渡された一枚だけである。書かれなかった機器やサービスは、表のどこにも現れない。一覧ができた時点では、まだ何も決まっていない。並ぶのは決めることであって、決めるのは会社である。もう一つ、この作業でAIに渡すのは、自社の守りのうち、まだ手が付いていない所を並べた文章になる。会社名、取引先の名前、機器の設定の中身は、書かなくても仕分けはできる。使うAIサービスが入力をどう扱うかは、渡す前に見ておく種類のことである。
• 始める前に要ること：IPAのページから、要求事項の表を手元に置くこと。そして、自社の今の状態を一枚に書くこと。この一枚を書く途中で、「分からない」としか書けない欄が出てくる。そこは、AIに渡す前から見えている空欄である。

※AIにはいろいろな種類・サービスがある。ここでは「特定の製品を入れる」話ではなく、「国が公開している項目の表に、自社の今の状態を当てはめる作業をAIに任せる」という考え方を指している。どれが合うかは、会社の状況によって変わる。

B案：提案してきた業者に、項目ごとの受け持ちを表で出してもらう

製品の側から埋める道である。製品の働きをいちばんよく知っているのは、それを扱っている業者である。26項目の表を渡して、三つを聞く。この製品が関わるのは、どの項目か。関わらないのは、どの項目か。関わる項目について、製品を入れたあとに会社の側で決めること、続けることは何か。

答えが表で返ってくれば、機器やシステムの側の項目について、いま入っている物で足りているのか、提案された物で何が加わるのかが読める。買うと決める場合にも、何のために買うのかを、項目の名前で言えるようになる。見送る場合にも、見送る理由が同じ表の上に残る。

• 向く場面：すでに提案を受けていて、その業者と日ごろから話ができる会社。機器やシステムの側の項目が手薄だと分かっている会社。
• 割に合わないこと：業者が答えられるのは、自分の扱う製品が関わる範囲までである。会社が決めて書く項目は「対象外」と返ってくるだけで、中身は埋まらない。「関わる」という言葉が、その項目を満たすことを指すのか、一部を助けることを指すのかは、書く側の言葉づかいによる。要求事項の原文と並べて読むことになる。評価用のガイドが出る前は、業者の側にも、国の資料で確かめきれない部分が残る。表を作る手間を相手に頼むことになるので、出てくるまでに時間がかかることもある。
• 始める前に要ること：26項目の表を、自分の側でも手元に置いておくこと。聞く三つを、紙に書いて渡すこと。

C案：評価用のガイドが出るまで、買うかどうかの判断を置いておく

物差しが出そろうのを待つ道である。先に触れた国の注意は、要求事項と評価基準を満たす具体的な実装例などをまとめた評価ガイド等を公表する予定である、とも書いている。IPAの運営審議委員会の資料では、評価用のガイド類の公開は2026年10月下旬の予定とされている。出たあとなら、製品がどの項目をどう満たすのかを、国の資料と突き合わせて読める。自社の側の当てはめにも、業者から出てきた表にも、確かめる先ができる。

• 向く場面：取引先から★の話が出ておらず、提案への返事に期限が付いていない会社。いまの機器やソフトの入れ替えの時期が、まだ先にある会社。
• 割に合わないこと：待っている間、会社の守りは今のまま変わらない。制度とは関係なく手薄な所があれば、それはそのまま残る。予定は予定であり、計画に遅れが出た場合は受付の開始時期を見直すと、同じ資料に書かれている。また、会社が対策を整えるのにどのくらいの期間がかかるのかは、公表されている資料には書かれていない。取引先から★の話が出てから動き始める場合、その期間は自社で見積もることになる。
• 始める前に要ること：提案してきた業者に、判断はガイドが出てからにすると伝えること。あわせて、取引先との間で★の話が出ているかどうかを、営業や受注の担当に確かめておくこと。

A案は自社に残る側を、B案は製品が受け持つ側を埋める。同じ一枚の表を、両側から埋める関係にある。C案は、その表を確かめる先が出てくるのを待つ道である。どれを先にするかは、提案への返事の期限と、取引先との話の有無で変わる。

提案書を横に置いたまま、紙に三行書いてみる。26項目のうち三つを、自社の言葉に置き換えたものである。

• セキュリティのことを担当するのは誰か。その人は何を決めてよいか。
• 会社にあるパソコン、スマホ、通信の機器を、台数まで挙げられるか。
• パスワードとIDの扱いについて、書いたものが社内にあるか。

それぞれの横に、答えを一行で書く。書けた行と、書けなかった行に分かれる。書けなかった行が、いまの時点で会社の側に空いている所である。

次に、提案書の機能の一覧を見て、この三行のどれかに触れている箇所があるかを探す。触れている行があれば、そこは製品が助ける分である。触れていない行は、製品を入れたあとも会社の側に残る。

ここまでで見えるのは、26項目のうち三つについての、自社の今の位置までだ。残りの項目がどちらの側にあるのか、提案をどう扱うのかは、その先に残る。

「提案書の機能と要求事項の文を並べても、関わるのかどうかが読み取れない」「すでに入っている機器やソフトが、どの項目に当たるのか見分けがつかない」「決めることの一覧はできたが、どれから決めたものか順が付けられない」——表を前にしても、ここから先は会社ごとの事情で答えが変わる。人数も、使っている機器も、取引先との関係も、一社ごとに違う。

そういうときは、OSAKA AI-Center の窓口に相談するという選択肢がある。何かを買う必要はなく、こちらから売り込むこともない。「うちに来ている提案は、制度の項目のどこに関わっていて、どこが自社に残るのか」——その読み分けを一緒に考えるところまでが、この辞典の役割である。