IDKオリジナル連載 SCS評価制度 連載記事｜第１７回
サプライチェーン・セキュリティ対策評価制度（SCS評価制度）
不正アクセスによる大量漏えいが相次ぎ、IPAが注意喚起──「速やかに実施すべき対策」を中小企業の言葉に翻訳し、SCS評価制度との関係を整理する
[2026.10.13]
| 【速報】2026年10月9日、IPAが注意喚起「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」を公開しました。 同じ日に、国家サイバー統括室(NCO)、経済産業省、金融庁、警察庁、個人情報保護委員会、JPCERT/CCも一斉に注意喚起や協力依頼を発出。政府・関係機関が足並みを揃えて「今すぐ点検せよ」と呼びかける、異例の動きです。 今回は、この注意喚起で求められている対策を中小企業の実務に引きつけて整理し、あわせて注意喚起の中でIPA自身が言及したSCS評価制度との関係を読み解きます。 |
１．何が起きているのか──金融・通信で相次ぐ大量漏えい
注意喚起の背景は、国内の金融機関や通信事業者をはじめ幅広い事業者で、不正アクセスによる情報漏えいの公表が相次いでいることです。大量の個人情報を扱うオンラインサービスやアカウントサービスのシステムに侵入され、個人情報を含むデータが窃取される事案が続き、窃取された情報が「公開をほのめかす脅迫」や「不正売買」に使われて二次被害が拡大する傾向がある、とIPAは指摘しています。
重要なのは、現時点で「特定の製品やサービスの脆弱性を狙った攻撃」とは断定されていないことです。公表事例の傾向から、侵入の起点は「外部に公開しているアプリケーションやサービスの侵害」と「アカウントの侵害」と見られています。つまり、特定のパッチを当てれば終わる話ではなく、外から見える入口と、ログインの仕組みそのものを総点検せよ、という呼びかけです。
第16回で取り上げたランサムウェア教訓集と同じ構図がここにもあります。侵入の入口は、未更新の機器、安易なパスワード、放置されたアカウント──「対策を持っているか」ではなく「続いているか」が問われています。
２．IPAが求める「速やかに実施すべき点検」──4つの柱
注意喚起が「速やかに行う」よう求めている点検は、大きく4つに整理できます。
| 点検の柱 | 求められていること |
| ①外部公開アプリケーションの精査 | 自組織が構築・運用している外部公開アプリ・サービスを洗い出す。直近のログに異常がないか確認(まず直近1か月、その後3か月へ段階的に拡大)。未適用の脆弱性対応パッチがあれば速やかに適用。誰がどう調査できるかを把握しておく |
| ②利用している外部サービスの洗い出し | クラウドサービスやVPNサービスなどを網羅的に把握。ログイン失敗の件数・ログイン元IPアドレス・ログイン時間を平時と比較。作成した覚えのないアカウント、削除・無効化したはずのアカウントの再有効化がないか確認 |
| ③異常を発見した場合 | 速やかにセキュリティインシデントと判定し対応を開始。情報漏えいの可能性を考慮し、専門のセキュリティベンダーへの詳細調査依頼を強く推奨 |
| ④保有データの再点検 | 「不要な情報は持たない」という原則のもと、保有する情報資産を正確に把握し必要最小限に。当面は公的機関等から公表される調査情報(不審IPアドレス等)の収集を強化 |
さらに、点検で異常が見つからなかった場合でも、多要素認証・パスワードなど認証機能の強化、アカウント付与範囲と棚卸運用の見直し、API連携など構成要素単位の管理状況の見直し、ログの取得内容と保持期間の見直し、データの保有の是非・保管場所・暗号化の再検討、といった対策の検討を求めています。「異常がなかったから終わり」にさせない書きぶりです。
３．「大企業向け」と読み飛ばさない──中小企業がやるべきこと
注意喚起の名宛人は「大量の情報資産を保有する事業者、機微な情報を扱う事業者の経営者」です。しかし、これを「うちは中小だから関係ない」と読み飛ばすのは危険です。侵入の起点とされる外部公開サービスとアカウントの侵害は、VPN装置経由の侵入が典型であるランサムウェア事案とも共通する、規模を問わない入口だからです。実際、IPAはこの注意喚起の参考情報に「中小企業の情報セキュリティ対策ガイドライン」「5分でできる!情報セキュリティ自社診断」「サイバーセキュリティお助け隊サービス」を並べており、中小企業も読み手として想定されています。
そこで、点検項目を中小企業の設備に引きつけて翻訳し、★3の評価基準との対応も添えて整理しました。お客様との点検の場で、そのままチェックリストとして使えます。
| 今週やるべき点検 | 具体的には | 対応する★3の評価基準 |
| 外から見える入口の棚卸 | VPN装置・リモートデスクトップ・社外公開しているWebやEDI・NASの外部公開設定を一覧化し、ファームウェア・パッチを最新化 | 機器・ネットワーク・外部接続先の一覧(3-1-1、3-1-2、2-1-1-1)、重要な更新は14日以内(4-4-4-2) |
| クラウド・外部サービスの棚卸 | 会社全体・部署単位で契約しているクラウドサービスを洗い出し、管理者を明確化 | 外部サービスを含む資産の把握(3-1-1)、年1回の点検(3-1-1-4) |
| アカウントの総点検 | 退職者・協力会社のアカウント削除、身に覚えのないアカウントの確認、管理者IDの最小化 | 不要なIDの削除(4-1-1-3)、必要最小限の権限(4-1-2-3) |
| 認証の強化 | VPN・クラウドへのログインに多要素認証を設定。初期パスワード・使い回しの排除、失敗が続いたらロック | 多要素認証(4-1-3-2)、パスワードのルール(4-1-5)、ロック(4-1-4-1) |
| ログインの異常確認 | クラウドやVPNのログイン失敗件数・ログイン元・時間帯を確認。通知機能があれば有効化 | 不正な通信の検知と「事故かどうか」を判断する運用(5-1-1) |
| 持っているデータの見直し | 古い顧客名簿や使っていない個人情報を削除し、重要な情報の一覧を最新化 | 重要な情報の一覧(3-1-4-3) |
| 異常時の段取り確認 | 「おかしい」と思ったら誰に連絡するか──社内の報告ルートと、調査を頼れる相談先を今のうちに決めておく | 手順書と連絡先(6-1-1-1、6-1-1-2) |
４．SCS評価制度との関係──注意喚起の「出口」に据えられた制度
今回の注意喚起で見逃せないのは、IPA自身が文中でSCS評価制度に言及していることです。緊急点検の後は、社内体制の整備に加えて国外拠点や取引先まで含めた対応が必要だとして「サイバーセキュリティ経営ガイドライン」の経営者3原則(①サイバーセキュリティリスクを自社のリスクマネジメントの重要課題と認識し自らのリーダーシップで対策を進める、②サプライチェーン全体に目を配る、③平時・緊急時を問わず関係者と積極的にコミュニケーションをとる)を挙げたうえで、準備中のSCS評価制度を紹介し、2027年3月の制度開始予定を明記しました。
この構成が示す国のメッセージは明確です。今回のような緊急点検を「一度きりの消火活動」で終わらせず、恒常的な仕組みに載せる──その受け皿がSCS評価制度だ、ということです。実際、第3章の表で見たとおり、注意喚起の点検項目は★3の評価基準とほぼ重なります。★3を取得・運用している会社は、資産の一覧・アカウント管理・認証強化・ログの確認・連絡体制が平時から回っているため、今回のような注意喚起が出たときに「どこを見ればよいか」が即座に分かる状態にあります。逆に言えば、今回の点検で慌てた会社こそ、★3の仕組みを入れる動機がある会社です。
なお、制度開始時期についてこれまでIPAの資料では「2026年度末頃」と表現されてきましたが、今回の注意喚起では「2027年3月」とより具体的に書かれました。日経も9月の記事で「2027年3月ごろ開始」と報じており、スケジュールは固まりつつあります。開始まで半年を切った、という時間感覚でお客様と会話すべき局面です。
５．販売店として、いまやるべきこと
第17回の実証事業と違い、今回の注意喚起は堂々とお客様に届けるべき情報です。政府・関係6機関が同日に発出した国の呼びかけであり、これを知らせて点検を促すことは、販売店の信頼をつくるコミュニケーションそのものです。
●お客様への第一報を出す──「10月9日に政府・IPAから一斉に注意喚起が出ています。VPN・クラウド・アカウントの緊急点検をおすすめします」という短い案内を、重要顧客から順に届ける
●第3章のチェックリストで点検会を実施する──VPN機器の更新状況、多要素認証の有無、退職者アカウント、クラウドの棚卸は、販売店が同席すれば半日で確認できる項目が多い
●異常があった場合のエスカレーション先を確保しておく──注意喚起は専門ベンダーへの詳細調査依頼を強く推奨している。フォレンジック調査を依頼できる提携先を、事が起きる前に決めておく
●点検の結果を「★3の入口」につなぐ──点検で見つかった不備(一覧がない、MFAがない、連絡体制がない)は、そのまま★3の評価基準の未達項目。緊急点検を単発で終わらせず、「2027年3月の制度開始までに★3の形に整えましょう」という提案に接続する
●情報収集を続ける──IPAは、公的機関等から不審IPアドレス等の調査情報が公表される可能性があるとして、当面の情報収集強化を求めている。続報が出たらお客様に届ける前提で、IPA・JPCERT/CCの発表を定期的に確認する
| 【関連リンク】 ・IPA注意喚起「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」(2026年10月9日)： https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html ・JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」： https://www.jpcert.or.jp/at/2026/at260030.html ・個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について(注意喚起)」： https://www.ppc.go.jp/files/pdf/261007_houdou.pdf ・経済産業省「サイバーセキュリティ経営ガイドライン」：https://www.meti.go.jp/policy/netsecurity/mng_guide.html ・IPA「中小企業の情報セキュリティ対策ガイドライン」：https://www.ipa.go.jp/security/guide/sme/about.html ・SCS評価制度 トップページ： https://www.ipa.go.jp/security/scs/index.html ・IPA 企業組織向けサイバーセキュリティ相談窓口：https://www.ipa.go.jp/security/support/soudan.html |
| 石渡電気では、今回の注意喚起を踏まえた緊急点検(VPN・クラウド・アカウント・認証)のお手伝いと、点検結果を★3取得につなげる計画づくりをご支援しています。 「何から確認すればいいか」のご相談だけでも、お気軽にお寄せください |
本記事はIPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」(2026年10月9日公開)をもとに、2026年10月13日時点の情報で作成しています。
★の評価基準番号はSCS評価制度 別添「★3・★4要求事項及び評価基準」に基づき当社が対応させた整理であり、IPAが公式に示した対応関係ではありません。
個別の事案への対応は、必要に応じて専門のセキュリティベンダーや上記のIPA相談窓口にご相談ください。
石渡電気が一緒に準備します
石渡電気では、販売店様がSCS評価制度に関する顧客対応力を早期に身につけられるよう、制度情報の提供・勉強会・製品提案サポートを継続的に行っていきます。
制度は動き始めています。「顧客から聞かれてから考える」では遅いかもしれません。今この時期に情報を蓄え、提案の準備を整えた販売店が、これからの競争で先行優位を得ることになります。
ご不明な点・ご相談は石渡電気までお気軽にお問い合わせください。
