外注先にもSCS対応を頼む？委託先の範囲と確認方法

取引先から「SCS（サプライチェーン強化に向けたセキュリティ対策評価制度）に対応しているか」と問われた際、自社だけでなく外注先への対応をどう考えるべきか悩む経営者は少なくありません。結論から言えば、すべての外注先に一律でSCSの取得を求める必要はありません。

まずは「その外注先に、自社の重要な情報を預けているか」と「自社のネットワークに接続する権限を与えているか」の2点を確認してください。この基準で、対応を強く求めるべき範囲を切り分けることが、コストとリスクのバランスを取る第一歩となります。

外注先へのSCS要求を判断する基準とは

預けている情報の重要度で分ける

外注先に依頼する業務の内容によって、求めるセキュリティ水準は大きく変わります。例えば、顧客の個人情報や製品の設計図といった、流出時に経営に大きなダメージを与える情報を預ける場合は、高いセキュリティ対策が求められます。

この場合、外注先がSCSの★3（セキュリティ専門家による確認を経た自己評価）以上の水準にあるかを確認することが、リスク管理の検討材料の一つとなります。

一方で、単なる消耗品の購入や、機密情報に一切触れない事務作業の委託であれば、SCSの取得までを条件にする必要性は低いでしょう。外注先へ「何を預けているか」を棚卸しし、情報の重要度に応じた区分けを行うことが、無理のない管理の基本です。担当者には「現在、外注先に預けている情報の種類と、その重要度をリスト化してください」と指示を出しましょう。

ネットワーク接続の権限を確認する

情報の持ち出しだけでなく、外注先の担当者が自社のシステムやネットワークに直接アクセスする権限を持っている場合も注意が必要です。ネットワーク接続は、万が一外注先がサイバー攻撃を受けた際に、そこを足がかりとして自社へ被害が及ぶ「侵入経路」になる恐れがあるからです。接続権限を持つ委託先に対しては、防御力の高さを証明するSCSの基準を検討材料に含めるべきです。

例えば、保守点検のためにリモートアクセスを許可しているITベンダーなどは、接続権限を持つ重要な対象となります。逆に、物理的に隔離された環境で作業を行うだけで、ネットワーク接続がない場合は、情報の持ち出しリスクに焦点を当てた確認に絞ることができます。担当者には「外注先の作業員が、自社のネットワークにログインできる環境にあるか」を確認させてください。

業務の継続性と影響度を考慮する

その外注先が止まったときに、自社の事業が止まってしまうかどうかという「継続性」の視点も重要です。特定の部品供給や、基幹システムの運用を特定の会社に依存している場合、その会社がサイバー攻撃を受けて業務停止に追い込まれると、自社のサプライチェーン全体が寸断されます。これは、SCSが目指す「サプライチェーン強靭化」の考え方に直結します。

業務への影響度が高い委託先については、単なる情報の保護だけでなく、攻撃を受けた際にどのように復旧し、事業を継続するかという体制まで含めて確認することが望ましいでしょう。担当者には「その外注先が機能しなくなった場合、自社の業務にどの程度の支障が出るか」をシミュレーションさせ、リスクの大きさを可視化させてください。

委託先の役割に応じたSCSの活用方法

★3（自己評価）を求めるべきケース

SCSの★3は、セキュリティ専門家による確認を経た自己評価を指します。これは、一般的なサイバー脅威に対処しうることを水準として規定されています。中規模の情報を扱う外注先や、定期的に機密書類のやり取りが発生するパートナーに対して、この水準を一つの目安として提示するのは現実的な判断といえます。

★3の取得には、専門家の助言や署名が必要となるため、外注先にとっても一定の準備負担はあります。そのため、全ての取引先に求めるのではなく、「重要情報の取り扱いがある取引先」に限定して、取得状況を回答してもらう運用がスムーズです。担当者には「取引先リストの中から、★3の取得状況を確認すべき優先度の高い企業を抽出してください」と伝えると効率的です。

★4（第三者評価）を検討する高度な連携

★4は、評価機関による審査や技術検証が行われる段階です。これは、初期侵入の防御にとどまらず、内外への被害拡大防止や、サプライチェーンにおける自社の役割に応じた強靭化策が講じられていることを水準として規定しています。例えば、自社の基幹システムを運用するクラウド事業者や、極めて重要な機密情報を継続的に扱う戦略的パートナーに対して検討すべき水準です。

★4の取得は、外注先にとって非常に高いハードルとなります。そのため、新規の契約条件としていきなり課すのではなく、長年の信頼関係がある重要な取引先に対して、中長期的な目標として相談するような形が現実的です。担当者には「現在の主要な委託先の中で、★4レベルの対策が求められるほど重要な役割を担っている先はどこか」を整理させてください。

段階的な要求によるコスト負担の軽減

外注先に高いセキュリティ水準を求めることは、相手方のコスト増につながり、最終的に取引価格へ反映される可能性があります。そのため、いきなり最高水準を求めるのではなく、段階的に要求を整理することが、健全な取引関係を維持するコツです。まずは自社のセキュリティ方針を伝え、現状の対策状況を報告してもらうことから始めます。

例えば、最初に外注先に自社で実施しているセキュリティ対策の概要を提示してもらい、次にSCSの★3に相当する自己評価（セキュリティ専門家の確認を得た形）を参考情報として取得し、重要度が高い取引先については★4の第三者評価や技術検証の実施を検討するといった段階的なアプローチが考えられます。

担当者には、外注先の負担と自社のリスクを踏まえて、どのレベルの証明や評価を求めるのが適切かを判断するよう指示してください。

外注先が回答できない場合の具体的な対応策

独自の確認項目による代替評価

外注先がSCSを取得していなかったり、回答を保留したりする場合でも、対策を放棄してはいけません。SCSの基準をそのまま使うのが難しいのであれば、自社で作成した「セキュリティ確認チェックリスト」を用いて、最低限必要な対策ができているかを確認する方法があります。これは、中小企業の情報セキュリティ対策ガイドラインなどを参考に作成できます。

チェックリストには、「バックアップは定期的に取っているか」「外部からの不要な通信を遮断しているか」といった、具体的で答えやすい質問を盛り込みます。これにより、SCSという制度を知らなくても、実質的なセキュリティ水準を把握することが可能です。担当者には「SCSの項目を参考に、自社専用の簡易的な確認シートを作成してください」と依頼しましょう。

契約書によるセキュリティ義務の明文化

制度的な評価（SCS）が受けられない場合、法的な枠組みである「契約」によって、セキュリティ対策のレベルを担保する手法があります。契約書の中に、情報の管理方法、インシデント（事故）発生時の報告義務、および監査権限（自社が状況を確認できる権利）などを明記しておくことで、一定の抑止力と管理体制を築けます。

ただし、契約書の内容は法的な効力を持つため、現場の判断だけで進めず、必要に応じて専門家へ相談してください。担当者には「現在の外注先との契約書に、情報の取り扱いに関する具体的なルールや、事故時の報告手順が記載されているか」を点検させることが重要です。

状況に応じたリスクの受容と継続判断

全ての委託先に対して、自社の求める水準の対策を求めることは、コストやリソースの観点から現実的ではない場合があります。確認の結果、外注先の対策が不十分であったとしても、そのリスクが自社の事業継続に致命的な影響を与えないと判断できる場合は、「リスクを受け入れる」という選択肢もあります。

これは放置することではなく、経営判断として「このリスクは許容範囲内である」と決めることです。

ただし、リスクを受け入れる場合は、必ずその理由と判断基準を記録に残してください。担当者には「対策が不十分な委託先をリストアップし、それらが万が一事故を起こした際に、自社にどのような影響が出るか」を報告させ、経営層が判断を下せる材料を揃えさせてください。

委託先管理を仕組み化するための手順

委託先情報の棚卸しと分類

まずは、現在どのような外注先と、どのような関係にあるのかを整理することから始めます。社内の担当部署に散らばっている委託先情報を集め、一つのリストにまとめます。この際、単に会社名だけでなく、「扱う情報の種類」「ネットワーク接続の有無」「業務の重要度」の項目を必ず追加してください。

このリストが完成すれば、どの会社にSCSの確認を行い、どの会社に独自のチェックリストを使うべきかという「管理の優先順位」が明確になります。担当者には、支払実績や契約書の一覧など、入手可能な情報をもとに委託先リストを作成するよう指示してください。

作業の漏れを防ぐため、情報の種類は「個人情報」「機密情報」「一般情報」などのように、あらかじめ定義しておくとスムーズです。

評価結果の記録と定期的な見直し

外注先から回答を得た後は、その結果を単に保管するだけでなく、管理台帳に記録して継続的に管理する仕組みを作ります。SCSの取得状況や、独自チェックリストの結果、契約内容などを一覧できるようにしておきます。セキュリティ対策は一度実施して終わりではなく、変化し続けるものであるため、定期的な見直しが欠かせません。

例えば、年に一度の定期点検として、委託先の状況を再確認する運用を組み込みます。新しい外注先が増えた際や、委託する情報の性質が変わった際にも、その都度リストを更新するルールを定めておきましょう。担当者には「確認した結果をどのように保存し、いつ次の確認を行うかという運用ルール案を作成してください」と依頼してください。

専門家への相談タイミングの判断

委託先のセキュリティ対策が自社の基準に満たない場合や、契約書の条項をどうすべきか迷ったときは、無理に自社だけで解決しようとせず、専門家へ相談してください。特に、大規模なシステム改修を伴う委託や、極めて重要な情報の移管を行う際は、客観的な視点での評価が不可欠です。

相談すべきタイミングとしては、「新しい重要な外注先を選定する際」「委託先でセキュリティ事故が発生した際」「SCSの★4などの高度な要求を検討する際」などが挙げられます。担当者には「判断に迷うケースや、自社の知識だけではリスクの大きさが測れないケースを、あらかじめリストアップしておいてください」と伝えておくと、スムーズな相談につながります。

自社の状況を整理し、どこまでを自社で行い、どこからを専門家に任せるかの境界線を明確にしましょう。