要求される前に、SCS★3を目指してみようと思う
SECURITY ACTION二つ星とDX認定に続き、運用開始前のSCS評価制度★3へ向けた準備を始めます。評価を得るためだけの規程ではなく、預かった情報を実際に守れる小さな会社の仕組みを考えます。
要求される前に、SCS★3を目指してみようと思う
当社では、これからSCS評価制度の★3取得に向けた準備を始めようと考えています。
SCS評価制度は、取引先を含むサプライチェーン全体のセキュリティ対策を、段階別のマークで確認しやすくするための制度です。
2026年8月時点では、★3・★4の要求事項と評価基準は公表されていますが、申請受付はまだ始まっていません。IPAのFAQでは、2027年3月頃の運用開始が予定されています。
実際に取り組んでみれば、想像している以上に大変かもしれません。それでも、制度が始まってから考えるのではなく、今のうちから自分たちの会社を見直してみようと思っています。
情報セキュリティについて考え始めたのは、今回が初めてではありません。
SECURITY ACTION二つ星を自己宣言した理由
当社は2026年2月に、IPAのSECURITY ACTION二つ星を自己宣言しました。
SECURITY ACTIONは、中小企業が情報セキュリティ対策へ取り組むことを自ら宣言する制度です。IPAによる認定や認証ではないため、「取得」ではなく「自己宣言」が正式な表現です。
二つ星では、自社の状況を診断したうえで情報セキュリティ基本方針を定め、外部へ公開します。当社の宣言内容は、既存サイトの認定・宣言・取り組みにも掲載しています。
この頃、当社ではDX認定の取得に向けた取り組みも進めていました。
DXを進めるのであれば、情報セキュリティについて会社としてどう考えているのかも整理する必要があります。
情報セキュリティの認証としては、ISO/IEC 27001に基づくISMS認証などもあります。ただ、少人数の当社にとって、それを取得し維持していくことが会社規模に合っているのかと考えると、当時は少し違うように感じていました。
一方、SECURITY ACTION二つ星は、それまで社内で取り組んできたセキュリティ対策や考え方とも比較的合っていました。
そこで、まずは会社の規模に合った形で、情報セキュリティへの取り組みを対外的にも示せる状態にしようと考えました。
その後、当社は2026年5月1日にDX認定事業者となりました。振り返ってみると、DXとセキュリティは別々の話ではなかったのだと思います。
SECURITY ACTIONの先にある制度
SECURITY ACTION二つ星を自己宣言した時点で、「次はSCS★3を取ろう」という計画を立てていたわけではありません。
その後、IPAが準備を進めている「サプライチェーン強化に向けたセキュリティ対策評価制度」、通称SCS評価制度について知り、制度の動きを追うようになりました。
現在はIPAのメールニュースにも登録し、新しい情報が出れば確認しています。
SCS評価制度では、★3と★4の運用開始が予定されています。★3は、一般的なサイバー脅威へ対処できる水準として位置づけられ、取得希望組織による自己評価にセキュリティ専門家の確認を加える仕組みです。
また、★3を取得するには、公表されている要求事項・評価基準をすべて満たす必要があります。
制度自体は任意であり、国が一律に取得を義務づけるものではありません。実際の取引でどの水準を求めるかは、委託元と委託先の契約などで決まる想定です。
公開資料を読みながら考えていくうちに、当社としては、まず★3を目指してみたいと思うようになりました。
ただ、その理由は、「そのうち元請会社から要求されるかもしれないから」だけではありません。
要求されるからではなく、自分たちがそうありたい
土木設計の仕事では、元請会社や発注者に関係するさまざまな情報を預かります。
仕事を任せてもらうということは、同時に情報を預かるということでもあります。
だから、「相手から求められたからセキュリティを強くする」という順番には少し違和感があります。
要求されるかどうかに関係なく、大切な情報を預かる会社なら、きちんと守れる会社でありたい。
SCS★3について調べていく中で、その思いが強くなりました。
AIを使う会社だからこそ、守ることも考える
生成AIを業務で使うようになったことも、情報管理を改めて考えるきっかけになっています。
AIは非常に便利です。当社でも文章整理や調査だけでなく、業務効率化、社内教育、技術的な検討の補助など、利用する場面が増えています。
一方で、利用範囲が広がれば、「この情報を、このAIに入力してよいのか」という判断も必要になります。
法人向けのAI環境を利用することは一つの対策です。しかし、それだけで安全な運用が完成するわけではありません。
会社が認めていない生成AIを、従業員が業務で使うことは「シャドーAI」と呼ばれます。利用状況を会社が把握できず、入力してはいけない情報が外部へ送られるおそれがあります。
IPAも2026年7月に、シャドーAIによる情報漏洩や、不正確な出力による業務品質低下のリスクが顕在化していると説明しています。
シャドーAIは、便利なAIを使ったこと自体が問題なのではありません。
会社が把握できない状態で、取引先から預かった資料や業務情報がどのサービスへ送られ、どのように扱われるのか確認できなくなることが問題です。
悪意がなくても、個人の判断で業務情報を入力すれば、会社としてその情報を追跡したり、適切に管理したりできなくなる可能性があります。
業務でAIを使うなら、会社が認めた環境を使い、入力してよい情報の範囲を確認する。迷ったときは個人判断で入力しない。少なくとも、この線引きは必要だと思っています。
一方で、禁止するだけでは、かえって見えない利用が増えるかもしれません。会社側も、安全に使えるAI環境と、迷ったときに相談できる簡単なルールを用意する必要があります。
AIだけではありません。クラウド、NAS、パソコン、メール、アカウント、バックアップなど、情報を扱う場所は増えています。
だから一度、個別に行ってきた対策を、会社全体の情報セキュリティとして体系的に見直してみたいと思っています。
小さな会社に合った仕組みにしたい
当社には、情報セキュリティだけを担当する専門部署があるわけではありません。
だからこそ、複雑な仕組みを作っても運用できません。
- 誰がどの情報にアクセスできるのか
- どこに保存するのか
- どうバックアップするのか
- AIには何を入力してよいのか
- 端末を紛失したときはどうするのか
- 問題が起きたとき、誰がどう動くのか
こうしたことを、実際の仕事の中で守れる形にしていく必要があります。
★3の準備では、文書をそろえるだけでなく、決めたことを日常業務で実行し、その証拠を残せる状態まで考える必要がありそうです。
評価を得るためだけの仕組みにはしたくない
これからSCS★3の要求事項と、現在の会社の状態を一つずつ照らし合わせてみるつもりです。
すでにできていること。実際には行っているものの、会社のルールとして整理できていないこと。そして、まだ足りていないこと。
おそらく全部出てくると思います。
そのときに、★3を取得するためだけに規程を作ることはしたくありません。
立派な規程を作っても、実際の仕事で守られていなければ意味がありません。
実際に守れる仕組みを作る。日々その仕組みで仕事をする。その結果として、SCS★3の要求水準を満たしていた。
そんな順番にしたいと思っています。
DXとセキュリティ、二つの信用
当社はDX認定を取得しています。
DXについても、認定そのものを目的に始めたわけではありません。日々の仕事で困っていることをデジタルやAIで改善し、それを会社として整理していった結果、DX認定につながりました。
セキュリティについても、同じでいいのだと思っています。
DXやAIは、「この会社は、仕事をより良くするために新しい技術を使っている」という一つの信用になる。
一方、セキュリティは、「この会社なら、大切な情報を安心して預けられる」という、もう一つの信用になる。
新しい技術を積極的に使うことと、情報を堅く守ることは反対ではありません。むしろ、これからは両方が必要なのだと思います。
まずは★3を目指してみる
まだスタート地点です。
これから要求事項を一つずつ確認すれば、「思っていたより大変だった」となるかもしれません。途中で考え方を変えることもあると思います。
それも含めて、今回の取り組みで分かったことや、会社として変えたことを、情報セキュリティ上問題のない範囲でこの技術ノートにも残していこうと思っています。
成功した話だけではなく、分からなかったことや、やってみて初めて気づいたことも残したいと思います。
要求されてから守るのではなく、要求される前から安心して仕事を任せてもらえる会社でありたい。
SCS★3のマークを得ることが最終目的ではありません。その水準を本当に満たしている会社になること。
まずはそこを目指して、始めてみます。