新しいセキュリティ評価制度と、
経営としての向き合い方

サプライチェーン上で重要な役割を担いながら、  

セキュリティ体制が十分とは言えない企業が多い、という課題があります。

 

発注側ではすでに、

 

> 「問題が起きてから確認する」のでは遅い

 

という認識が広がっており、  

今後は取引開始前や継続判断の場面で、★評価やそれに相当する水準の提示を求められるケースが増えていくと考えられます。

 

こうした状況では、★評価は単なる参考情報というより、  

取引候補をふるいにかけるための“入口条件”として使われる場面が多くなると想定されます。  

 

発注側には、すべての取引先のセキュリティ対策を細かく調査する権限や時間はありません。  

そのため、第三者評価や自己評価の結果として示される★3〜★5を手がかりに、  

一定水準を満たしているかどうかを形式的に判断したい、というニーズがあります。

 

実務上はたとえば、

 

• 「この区分の取引先には★3以上を求める」  

• 「重要なシステムを委託する先には★4以上を前提とする」  

 

といった形で、★評価が条件として使われる場面が増えていくと考えられます。

 

一方で、この制度は、★の裏側に  

一定の体制・運用・技術的対策が備わっていることを前提として設計されています。  

★を取得する際には、自己評価や第三者評価のプロセスを通じて、  

最低限のチェックを受けることになります。

 

受注側の企業としては、

 

• 「求められた★水準を形式的に満たしていること」を対外的に示しつつ、  

• 自社の事業や役割に照らして、その★水準が過大・過小になっていないか  

 

を内部的に確認しておくことが大切です。

 

★の数だけで取引の可否が判断される場面は今後増えていくと考えられますが、  

だからこそ、自社にとって妥当な★水準を選び、その取得に向けた道筋を無理なく描くことが、  

現実的な備え方になります。