RESOURCE

SCS評価制度に未対応のリスクとは？取引停止の実例で解説｜ハチマルヤ合同会社（808）

2026.08.31

「SCS評価制度、うちはまだ何も対応していないけど、実際どれくらいまずいのか分からない。。」

そう感じている経営層・意思決定者の方は多いのではないでしょうか。ハチマルヤ合同会社（808）には、取引先から急に★の取得を求められて初めて制度を知った、というご相談が寄せられています。この記事では、SCS評価制度に未対応のまま放置した場合に起こりうるリスクを、受注側・発注側の両方の立場から整理します。実際に起きたサプライチェーン攻撃の事例もあわせて紹介します。

SCS評価制度そのものの全体像がまだ分からない方は、先に以下の記事をご覧ください。

→ SCS評価制度とは？2027年から始まる新制度の全体像と対象企業

SCS評価制度に「未対応」とはどういう状態か

まず前提として、SCS評価制度そのものに法的な罰則規定はありません。★を取得していないからといって、行政処分を受けるような制度ではないという点は押さえておく必要があります。

ただし、発注企業が取引条件として★3以上の取得を求める動きは今後広がっていくと見られています。制度に罰則がないことと、取引の現場で不利益が発生しないことは、まったく別の話です。この記事における「未対応」とは、必要な★のレベルをまだ取得していない状態を指します。

似た制度として、ISO27001やプライバシーマークも法的な義務ではなく任意の認証です。それでも多くの企業が取得を進めているのは、取引先から実質的に求められる場面が増えているためです。SCS評価制度も同じ構図をたどる可能性が高いと考えられます。

未対応のまま放置した場合に起こりうる5つのリスク

SCS評価制度に未対応のまま放置した場合に起こりうるリスクは、大きく5つに整理できます。

①取引継続・新規受注の機会喪失 発注企業が★の取得を取引条件に加えた場合、未対応のままでは既存の取引継続や新規の商談で不利になります。他社が先に★を取得していれば、同じ入札・商談の場で比較されたときに選ばれない可能性があります。

②入札・調達プロセスからの排除 政府系機関や重要インフラ事業者が発注元の場合、★の取得状況が調達要件の一部になっていく可能性があります。対応していないだけで、そもそも候補にすら入れない事態が起こり得ます。

③サイバーインシデント発生時の説明責任が重くなる 万が一インシデントが発生した際、業界共通の評価指標に対応していなかったという事実は、取引先や社内への説明を難しくします。「対策はしていた」という主張の裏付けが弱くなるためです。経営層が取締役会や株主に説明する場面を想像してみてください。客観的な指標がないまま「対策は講じていた」と述べるのと、「★3を取得済みだった」と述べるのとでは、説明の重みがまったく違います。

④取引先・顧客からの信頼低下 自社の対策レベルを客観的な指標で示せないままだと、特に新規の取引先との商談で「本当に大丈夫なのか」という不安を払拭しにくくなります。取引先の担当者が経営層への説明資料を作る際、根拠となる指標がない企業は候補から外れやすくなる点も見落とせません。

⑤発注企業ごとの個別対応が減らない 未対応のままだと、発注企業ごとに異なるセキュリティチェックシートへの回答という非効率な業務から抜け出せません。★という共通指標がないぶん、営業・情シス双方の対応工数がかかり続けます。

受注側のリスク・発注側のリスク

自社が「発注される側（受注側）」か「発注する側」かによって、負うリスクの種類は変わります。

立場	主なリスク
受注側	取引継続・新規受注の機会喪失、入札・調達プロセスからの排除
発注側	未対応の取引先を経由した攻撃を自社が受けるリスク、取引先ごとの調査業務が標準化されないままの負担

受注側にとっては、機会損失という形でリスクが顕在化します。発注側にとっては、取引先の対策不足がそのまま自社のリスクになる点が見落とされがちです。自社がどちらの立場でリスクを負うのかを整理しておくと、社内での説明もぶれません。

反対に、SCS評価制度を取得した場合のメリットについては、以下の記事で詳しく解説しています。

→ SCS評価制度を取得するメリットとは？更新時の注意点も解説

実際に起きた「取引先経由」の被害：小島プレス工業の事例

未対応のリスクを考えるうえで参考になるのが、取引先を経由したサイバー攻撃の実例です。

2022年2月、トヨタ自動車のTier1サプライヤー（一次取引先）である小島プレス工業がランサムウェア被害を受けました。この影響でトヨタ自動車は国内全14工場28ラインの稼働を停止しました。2022年2月28日にその旨を発表し、3月2日に稼働を再開しています（出典：日経クロステック 2022年）。

この事例のポイントは、攻撃を直接受けたのは小島プレス工業であり、トヨタ自動車自身がハッキングされたわけではないという点です。取引先の対策が手薄なままだと、発注元企業の事業そのものが止まってしまう。これがサプライチェーン攻撃の構造です。

IPA「情報セキュリティ10大脅威2026」でも、「サプライチェーンや委託先を狙った攻撃」は組織向け脅威の2位にランクインしています。2019年の初選出以来、2026年で8年連続の選出です（出典：IPA「情報セキュリティ10大脅威2026」）。自社が攻撃を受けなくても、取引先を経由して事業が止まるリスクは、業界を問わず高まり続けています。

発注側にとってのリスク：未対応の取引先を抱え続けるリスク

ここまでは主に「自社が発注される側」としてのリスクを見てきましたが、自社が発注する側の場合にも見過ごせないリスクがあります。

未対応の取引先を経由した攻撃を受ければ、被害を受けるのは自社自身です。小島プレス工業の事例が示すとおり、攻撃者は対策が手薄な取引先を踏み台にして侵入してきます。取引先の対応状況を把握しないまま取引を続けることは、発注側にとっても放置できないリスクだといえます。

自社が発注側として取引先の対策状況を確認したい場合、判断基準となる評価の考え方を理解しておく必要があります。まず自社自身が★の取得を通じて評価の考え方を理解しておくことが、取引先とのやり取りをスムーズにする一歩になります。

取引先の対策状況を個社ごとに独自の基準で確認しようとすると、確認作業そのものが大きな負担になります。★という共通指標があれば、取引先ごとに異なる基準で行っていた確認作業を標準化でき、発注側の負担も軽減されます。未対応の取引先を放置するリスクと、確認作業の負担という2つの課題は、SCS評価制度の普及によって同時に解消されていく見込みです。

「形だけの対応」ではリスクは防げない

未対応のリスクを避けようとして★を取得しても、運用が伴わなければ意味がありません。要求事項のチェックリストを埋めることと、その対策が現場で実際に機能し続けることは別の話です。

たとえば、パスワードの使い回し禁止といったルールを定めても、現場に周知が行き届かず形骸化してしまえば、対策としては機能していない状態になります。★の取得はゴールではなく、継続的な運用があってはじめて意味を持ちます。

このように、SCS対応そのものの進め方でつまずくケースについては、以下の記事で詳しく整理しています。

→ SCS評価制度対応で陥りがちな失敗5パターンと回避策

中小企業・下請けの立場でも関係あるのか

「SCS評価制度は大企業だけの話」と考えている方もいるかもしれませんが、それは誤解です。

サプライチェーンは、大企業→一次取引先→二次取引先→三次取引先という構造で広がっています。小島プレス工業の事例のように、直接の攻撃対象になるのは中小規模の取引先であることが少なくありません。自社の規模に関わらず、取引先の取引先という立場でも対象になり得る点は押さえておく必要があります。

むしろ、専任のセキュリティ担当者を置きにくい中小企業ほど、対策が後回しになりやすいという構造があります。攻撃者から見れば、対策が手薄な中小企業のほうが侵入の足がかりにしやすく、結果として大企業の取引先である中小企業が狙われやすくなります。「うちは規模が小さいから狙われない」という考え方は、むしろリスクを見誤る原因になります。

規模が小さいからといって専任の担当者を置けない企業も多いですが、その場合の進め方については、以下の記事も参考にしてください。

→ SCS対応の予算が通らないときの考え方｜経営層への説明の組み立て方

まず何をすればリスクの大きさを把握できるか

未対応のリスクを避けるための第一歩は、自社の現状を正確に把握することです。何がどれくらい足りていないのかが分からないままでは、リスクの大きさも、対応の優先順位も判断できません。

現状把握から具体的な対応計画に落とし込む進め方については、以下の記事で詳しく解説しています。

→ SCS評価制度のギャップ分析の進め方｜現状把握から対応計画まで

よくある質問（FAQ）

Q. SCS評価制度は未対応だと罰則がありますか？ A. 制度自体に法的な罰則規定はありません。ただし、発注企業が取引条件として★の取得を求める動きが広がりつつあり、未対応のままだと取引面で不利になる可能性があります。

Q. 中小企業でも未対応のリスクはありますか？ A. あります。サプライチェーンは規模に関わらず広がっており、取引先の取引先という立場でも対象になり得ます。実際、大企業への攻撃は中小規模の取引先を経由するケースが少なくありません。

Q. ISO27001やPマークを取得していれば未対応でも大丈夫ですか？ A. 既存認証で一部の要求事項はカバーできますが、SCS評価制度独自の項目は別途対応が必要です。取引先から専用の指標を求められる場合、既存認証だけでは説明が不十分になることがあります。

Q. 今すぐ対応しないと、具体的にいつから困り始めますか？ A. ★3・★4の運用は2026年度末頃の開始が見込まれています。取引先から個別に取得を求められるタイミングは企業ごとに異なりますが、制度の運用が本格化するほど、取引条件として求められる機会は増えていくと考えられます。早めの現状把握が、直前に慌てないための備えになります。

まとめ

SCS評価制度に未対応のまま放置すると、取引継続の機会喪失・入札からの排除・信頼低下など、複数のリスクが顕在化する可能性があります。制度自体に罰則はないものの、取引先経由のサイバー攻撃という実例が示すとおり、対応の遅れは自社だけでなく取引先全体のリスクにもつながります。受注側・発注側どちらの立場でも、未対応であること自体がリスクの一部になり得る点は共通しています。まずは自社の現状を正確に把握することから始めることが、リスクを具体的に管理する第一歩になります。

ハチマルヤ（808）では、専門家によるコンサルティングに加えて、無料のセルフチェックができるHACHIMORIというプロダクトも提供しています。「まずは自分たちで現在地を確認したい」という段階でも構いません。

ハチマルヤ合同会社（808）では、SCS評価制度への対応を専門チームがサポートしています。

「何から始めればいいかわからない」という段階からご相談を受け付けています。

まずはお気軽に無料相談をご利用ください。