取引先からSCS★3を
求められたら、最初に何をする？

なぜ取引先からSCSを求められるのか

SCS評価制度では、発注者が取引の重要度や扱う情報などを踏まえて、取引先へ適切な★水準の対応を求める利用が想定されています。つまり、中小企業でも大手企業・元請・重要顧客のサプライチェーンに入っていれば関係する可能性があります。

1. 求められている内容を確定する

• ★3なのか、★4なのか
• 「取得」まで求めているのか、対応状況の回答を求めているのか
• 回答期限と取得期限はそれぞれいつか
• 全社が対象か、特定事業・拠点・サービスが対象か
• 提出を求められている資料や形式は何か

2. 26項目に対して現在地を把握する

★3は、定められた要求事項・評価基準をすべて満たす必要があります。最初の棚卸しでは、詳細な証跡まで揃える前に「対応済み・一部対応・未対応・要確認」に分けると進めやすくなります。

特に、MFA、管理者権限、端末更新・暗号化、バックアップ、インシデント対応など、事故影響の大きい項目は早めに確認します。

3. 経営層へ「取引条件」として共有する

SCSはIT担当者だけで完結しません。規程、責任体制、教育、委託先管理など会社全体の判断が含まれます。取引先から正式な要請が来ている場合は、対象となる取引、期限、未対応時の事業影響、必要な費用・工数を整理して経営層へ共有します。

4. 取引先へは事実ベースで回答する

まだ取得していない場合も、相手先の求める回答形式に沿って、現在確認できている対策、未確認事項、今後の確認・改善予定を整理します。制度の申請方法や費用は2026年9月時点ですべて確定しているわけではないため、未確定事項を断定しないことも重要です。

5. 製品購入はギャップ確認後に判断する

「SCS対応だからIntuneを入れる」「EDRを買う」と先に決めるのではなく、要求事項→必要な管理要件→現在の仕組み→不足分、の順に確認します。既存のMicrosoft 365や他製品で満たせる項目もあります。

AZWorkの実務上の推奨手順

1. 取引先の要求を文書で確認
2. 適用範囲を仮決定
3. ★3要求事項で簡易棚卸し
4. 未対応項目のリスク・費用・期間を整理
5. 経営判断
6. 取引先へ現状と計画を回答
7. 設定・規程・運用・証跡を改善

この順番なら、「取得すること」だけが目的にならず、取引継続と実際のセキュリティ改善を同時に進められます。