Products & Services

経産省 SCS評価制度
対応支援サービス

経産省SCS評価制度を
現場で使える武器にする

多数の自動車産業支援実績から導く、ムダのないSCS対応の進め方。現状把握から規程整備・技術対策・★4認証取得まで、NTTセキュリティ・ジャパンがワンストップで支援します。

資料請求・お問い合わせサービス概要を見る

SCS評価制度への対応
どこから手をつければよいかわからない方へ

近年サプライチェーンを経由したサイバー攻撃が急増しており、経産省SCS評価制度への対応は今や避けられない課題です。しかし現場では、対応方法に迷っている企業が多くあります。

現状の対策への不安
対策はしているが
十分かどうかわからない
- 経営者から「大手企業でランサムウェア被害が出ているが、うちは大丈夫か？」と問われる
- 対策はやっているが「十分かどうか」が分からない
- ランサムウェア対策を個別に行っているが、組織全体として守れているか不安
SCS評価制度への対応
★3・★4を取得するために
具体的に何をすれば
よいか
- 経産省SCS評価制度に対してどう対応するか迷っている
- ★3・★4取得に向けて、自社において具体的に何をすれば良いかわからない
- 要求事項を見ているけれど、どこまで対応できていればOKかがよくわからない

経産省SCS評価制度とは

サプライチェーン全体のセキュリティ水準向上を目的とした新しい評価制度

2027年1〜3月に制度開始予定。
★3〜★5の段階別評価で、発注元企業から受注者（取引先）へのセキュリティ対策要請の共通基準として機能します。

3
基礎的な組織的対策と
システム防御策
全サプライチェーン企業が最低限実装すべきセキュリティ対策。専門家確認付き自己評価で取得可能。
- 要求事項：26件
- 評価基準：81問
- 有効期間：1年（年次更新）
- 評価：専門家確認付き自己評価
- 参照：自工会・部工会 Lv1、Cyber Essentials
4
包括的・標準的な
セキュリティ対策
サプライチェーン企業が標準的に目指すべき対策。第三者評価（実地審査＋技術検証）が必要。
- 要求事項：43件（★3含む）
- 評価基準：153問
- 有効期間：3年（年次自己評価で維持）
- 評価：第三者評価（実地審査＋技術検証）
- 参照：自工会・部工会 Lv2〜3（一部）、分野別ガイドライン
5
現時点でのベストプラクティスに基づく高度な対策
さらに目指すべき高度な対策。国際規格等に基づくリスクベースの改善プロセスを整備。令和8年度以降に詳細検討予定。
- 要求事項：今後検討
- 評価：第三者評価（予定）
- 参照：ISO/IEC 27001、自工会・部工会 Lv3

SCS評価制度の3つの特徴

★3＋★4の
評価基準総数
153問
自工会・部工会
ガイドラインから
参照した設問の割合
78%
要求事項のうち
ルール・運用＋教育が
占める割合
約70%

SCS評価制度への対応も、
セキュリティ対策の不安も、
NTTセキュリティ・ジャパンに
お任せください

「SCS評価制度の活用」「正確な現状把握」「リスクベースの対策」の3点を柱に、
現状の対策の不安・SCS評価制度の対応など、お客さまが抱える不安・課題をまとめて解決します。

SCS評価制度対応支援サービスに
ついて知りたい方は
お気軽にお問い合わせください。

資料請求・お問い合わせサービス資料
ダウンロードサービス概要を見る

現状把握から認証取得まで、
現場に寄り添った一気通貫支援

お客さまが自社で進められる業務に対し、弊社のコンサルタントがヒアリングからご相談・企画提案・作業代行まで幅広く伴走サポートいたします。ご状況に応じ、必要なフェーズのみのご依頼も可能です。

01
現状把握
- CRRIC診断(334問)
- システム診断
- 専門家ヒアリング(6時間)
- 経営層向け報告会(2時間)
弊社支援内容
要求事項の解説 / ヒアリング / 現状課題の明確化 / リスクベース対策プラン（概要）提示
02
対策プランニング
- 対策要件定義
- 概算コスト算定
- 優先順位の整理
- 実装計画策定
弊社支援内容
対策要件検討 / 実装計画策定 / 幹部説明資料の作成
03
対策実装
- 規程整備支援
- セキュリティ教育支援
- 技術対策の提供
- セキュリティ運用支援
弊社支援内容
ポリシー・手順書作成 / フィッシングメール訓練 / SASE、SOC、EDR等の技術対策提供
04
技術対策の提供
- エビデンス整備支援
- 認証取得申請支援
- 審査対応支援
弊社支援内容
★4取得に向けたエビデンス整備 / 申請代行 / 第三者評価への審査対応支援

現状把握

正確な現状把握が、効果的な対策への近道

経産省SCSの評価基準である153問には、1つの設問に複数の論点が含まれているものもあり、回答が難しい場合があります。NTTセキュリティ・ジャパンが活用するCRRIC（334問）は、対策につながりやすい単位に問いを分解。「何からすれば良いか」の優先順位を明確化します。

CRRIC 334問の優先度別構成

診断の流れ

01
CRRIC診断アンケート
内部
SCS153問（教科書）を334問（参考書）に分解し、回答しやすく、結果が分かりやすい設計に。
設問ごとに優先度が設定されており、現状の対策レベルが即座に把握できます。
02
システム診断
外部
Security ScoreCardを活用し、インターネット公開サーバ等を外部から診断します。
ハッカー目線で外部から見た攻撃面のリスクを可視化します。
03
専門家ヒアリング
(Day1・Day2 各3時間)
ヒアリングを通じて、正確な現状把握と自社に最適な対策を深掘りし、ご説明します。
「どこまで対応すればOKか」を専門家と一緒に判断します。
04
報告会(2時間)
課題の整理とリスクベースの対策プラン（概要）を経営者にも分かりやすい内容で報告します。

対策プランニング

優先順位付きの実装計画で、経営層を巻き込んだ推進を

現状把握の結果をもとに、実施スケジュール・体制・概算コストを含む具体的な実装計画を策定します。経営層への説明資料作成やPM代行も対応します。

問題点の整理と
対応策の検討
現状把握で洗い出した課題を整理し、★3・★4の要求事項に対応する対策を定義します。
実施スケジュール・
体制・概算算定
優先順位に基づいた実装ロードマップと、各対策の概算コストを提示します。
幹部説明支援
経営層にセキュリティ投資の必要性を説得力を持って説明するための資料作成をサポートします。
PM代行
実装フェーズ全体の進捗管理・調整・報告をNTTセキュリティが担当することも可能です。

対策プランニングの主な成果物

対策要件定義書
★3・★4の要求事項ごとに「現状」「ギャップ」「対策内容」を整理したドキュメント
実装計画書（ロードマップ）
優先順位・担当・期限・概算コストを含む、実務で使えるアクションプラン
経営層向け報告資料
リスクと投資対効果を分かりやすく示した、意思決定に使えるエグゼクティブサマリー

対策実装（規程整備）

SCS要求事項の約70%を占める
ルール・運用を整備

SCS★3・★4の要求事項のうち約70%はルール・運用と教育に関するものです。多くの企業でセキュリティ規程の更新が遅れており、この領域の整備が認証取得の鍵となります。

ルール整備が遅れている
(古いままの)企業が多い主な理由

更新が難しい・更新の稼働が無い・外部委託費が高額。
NTTセキュリティ・ジャパンは、テンプレートと専門家サポートでこの課題を効率的に解決します。

規程の3層構造で整備

ポリシー（基本方針）
最上位
組織としてのセキュリティへの基本的な考え方・方針を定める文書。経営層の承認が必要な最上位規程です。
スタンダード（標準規程）
中間
ポリシーを実現するための具体的な基準・ルールを定義する文書。部門・業務ごとに整備します。
プロシージャー（手順書）
実務
現場担当者が実際の作業を行うための手順・チェックリスト。インシデント対応手順書などが含まれます。

対策実装（教育）

ルールを作ったら、定着までサポート

規程を整備しても、従業員に定着しなければ意味がありません。NTTセキュリティ・ジャパンは、ドコモビジネスの「セキュリティ教育＆メール訓練」サービスと連携し、継続的なセキュリティ意識の向上を支援します。

対象

経営者・管理職・IT管理者・営業・
工場業務従事者など

誰に、どんな内容を、いつ実施するかの
教育プランもご支援します。

セキュリティ教育＆
メール訓練 3つの機能

フィッシングメール訓練
本番さながらの擬似攻撃で実践的なリスク体験。Phish Alertボタンで「報告する習慣」を醸成します。
効果測定・分析
受講状況・訓練結果を社員別・グループ別に可視化。セキュリティ意識の定着度を継続的に確認できます。
セキュリティ
教育コンテンツ
動画視聴・確認テストがデバイスを問わず受講可能。充実したコンテンツで意識向上を継続的にサポート。

対策実装（技術対策）

SCS対応の難所「SOC・インシデント対応」もおまかせ

SCS要求事項の中で特に対応が難しいのが、SOCの導入とインシデント対応体制の整備です。「SOC in Pocket」は、これらの要求事項を安価かつ効果的に満たすセキュリティおまかせBOXです。

ポイント 01
NTTグループとしてお客さまにマッチした
セキュリティソリューションを
幅広く提供
ポイント 02
SOC in Pocketにより、
24時間365日のIT・サイバー空間の
監視を低コストで実現
ポイント 03
端末(PC・サーバー)からネットワークに至る
各種セキュリティ対策(EPP・EDR・SIEM等)も
NTTグループでまとめて
導入・運用をサポート