SCS評価制度が求める端末管理とID認証 ── SSO×デバイス証明書×IT資産管理で実現するサプライチェーンのセキュリティ強化

中堅・中小企業にも広がるサイバー被害

帝国データバンクの調査によると、中堅〜中小企業の58.4%が過去1年間にサイバー攻撃による実被害を経験しています。

また、警察庁サイバー警察局がまとめる被害報告届では、届出の63%が中小企業に関するものでした。被害は大企業だけの問題ではなく、企業規模を問わず現実的な脅威となっています。

被害事例から見るサプライチェーン管理の重要性

国内でも被害事例が相次いでいます。金融機関や自治体など3,000社以上の業務を請け負う委託先会社への攻撃では、委託元の個人情報約150万件が流出しました。

医療機関へのランサムウェア攻撃では約4万件の患者情報が流出し、通販サービス事業者ではサービス停止と約74万件の顧客・取引先情報流出の可能性が公表されています。

中でも注目されるのが、大手通販サービス事業者を狙った攻撃の事例です。

業務委託先に対して例外的に多要素認証（MFA）が適用外とされており、漏えい・詐取された委託先アカウントを侵入口に、EDRなどのセキュリティソフトを無効化したうえでランサムウェアが展開されました。

ID・パスワードだけの認証ではリスクが高く、サプライチェーンを含めたID管理・統制の重要性が浮き彫りになっています。

政府主導で進むSCS評価制度の背景と概要

政府動向としては、2025年5月に能動的サイバー防御を可能にする「サイバー対処能力強化法」が成立し、7月には司令塔となる「国家サイバー統括室」が発足。2025年12月には「サイバーセキュリティ戦略」が閣議決定されました。

こうした流れの中で、2026年3月に経済産業省と内閣官房国家サイバー統括室が公表したのがSCS評価制度の構築方針です。

発注元企業には「取引先の対策状況を外部から判断しにくい」という課題が、委託先企業には「複数の取引先からバラバラの対策を要求される」という課題があり、共通の評価軸で対策状況を「★」の数で可視化する任意制度として整備が進められています。

レベルは★1から★5までの5段階で、★3／★4は2026年度末から運用開始予定です。

攻撃の偵察段階から始まる脅威と中小企業の構造的課題

なお、情報通信研究機構（NICT）の「NICTER観測レポート2025」によると、観測されるアクセスの55%は攻撃に先立つ調査パケットであり、サイバー攻撃は事前の偵察から始まっているのが実態です。

中小企業が狙われる背景には、セキュリティ予算が大企業の10分の1程度にとどまること、情シス担当の兼務体制やスキル不足といった構造的な理由があります。

NIST CSF 2.0を基に対策を整理する

SCS評価制度への対応には、NIST CSF 2.0の「統治（Govern）」「識別（Identify）」「防御（Protect）」「検知（Detect）」「対応（Respond）」「復旧（Recover）」の6つの機能で対策を整理するのが有効です。

レベルごとの評価方法は以下の通りです。

1. ★1：中小企業の情報セキュリティ対策ガイドライン付録の「情報セキュリティ5か条」への取り組み宣言
2. ★2：IPAの「SECURITY ACTION」への自己宣言に位置付けられる
3. ★3：セキュリティ専門家の確認を経た自己評価
4. ★4：評価機関による第三者評価と技術検証（脆弱性検査など）が求められる

レベルが上がるほど、多要素認証やIT資産管理など、より高度な対策がマッピングされます。

クライアント端末に関わる認証と管理の要件

クライアント端末に関わる要件を見ると、識別の領域では「3-1-1」として、情報機器・OS・ソフトウェアに関する情報を把握すること、すなわち資産管理が求められます。

防御の領域では「4-1-3」として、すべてのユーザーID・管理者IDを認証情報で認証することに加え、重要な機密情報を扱うクラウドサービスでは多要素認証の利用が必須とされています。

多要素認証では、知識情報（ID・パスワード）、所有情報（ワンタイムパスワードや証明書）、生体情報（指紋・顔など）などの要素から2種類以上を選択して組み合わせます。

さらにプラットフォームセキュリティとして、利用を許可していないソフトウェアの削除・無効化やインストール制限、セキュリティパッチ・アップデートの適用手続の整備も求められています。

端末・認証・アクセスを統合管理する「ワンストップ」の考え方

かつては社内LAN内の端末とその中身が管理できていれば足りました。

しかしクラウドサービスの利用が拡大した現在では、「誰が」「どの端末から」「どのサービスに」アクセスしたかまで制御しないと、私物端末からの勝手なアクセスを防げません。

IT資産管理で「端末の中」を、SSOで「誰が」を、クライアント証明書で「どの端末から」を押さえることで、端末の中から外までを一貫して管理する考え方です。

IT資産管理で「端末の状態」を可視化・制御する（MaLionCloud）

インターコムのMaLionCloudは、ハードウェア台帳や導入ソフトウェア台帳、ライセンス管理台帳を自動生成するIT資産管理ツールです。

MaLionCloudの主なSCS評価制度対応範囲

1. 3-1-1（資産情報の把握）：インベントリ情報の自動収集
2. 4-4-1（安全な構成の確立）：アプリケーション起動制御
3. 4-4-5（マルウェア感染からの保護）：ブラックリスト・ホワイトリスト形式のWebアクセス制御
4. 5-1-2（状態・挙動の監視）：インストール状況の点検材料として対応できます。アプリケーションやUSBメモリの利用制限も可能です。Windows・Macに加え、MDMオプションでスマートデバイスもまとめて管理できます。

SSOと強固な認証で「誰が・どこから」を制御する（CloudGate UNO）

ISRのCloudGate UNOは、「シングルサインオン」「強固な認証」「クラウドアクセス管理」を統合するセキュリティ基盤です。

一度の認証で多数のクラウドサービスへアクセスでき、600以上のサービス連携用テンプレートが用意されています。

パスキー（FIDO2）をはじめとする多要素認証を全プランで提供し、ユーザーやサービス単位で認証方式を切り替えられます。

デバイス証明書による端末制限の仕組み

端末制限では、サイバートラストのデバイス証明書がインストールされた端末のみがCloudGate UNOの認証に進める仕組みを採っています。

証明書がない端末は認証まで進めないため、悪意のある第三者の端末からのアクセスを遮断できます。

デバイス証明書は、MACアドレスやUDIDなどの機器IDを事前に指定することで、インストールを許可する端末を厳密に管理することが可能です。

ゼロトラストを実現するデバイス証明書とパスキー認証による相乗効果

デバイス証明書とパスキー認証は役割が異なります。デバイス証明書は「どの端末からアクセスしているか」を検証し、パスキー認証は「誰がアクセスしているか」を確認します。

デバイス証明書だけでは、許可された端末を別の人が使う内部不正への耐性がなく、パスキーだけでは共有端末や私物端末など安全でない端末からのアクセスに対応できません。

ゼロトラストの観点では内部不正も想定すべきであり、両者の組み合わせによる相乗効果が有効です。

運用負荷を軽減する証明書配付と包括的なアクセス管理配付

証明書の配付も運用負荷にならない設計です。MaLionCloudで管理されている端末であれば、Windows・Macともにユーザー操作なしで証明書をプッシュ配付できます。

さらにCloudGate UNOでは、IPアドレス制限・端末制限・時間別・国別アクセス制限を組み合わせ、誰が（Who）・何を使って（What）・いつ（When）・どこから（Where）・どのように（How）サインオンするかを特定するゼロトラストのアクセス制御を実現します。

MaLionCloudにはリモートコントロールやファイル配付による運用管理支援、PC稼働ログや強制シャットダウンによる労務管理支援の機能も備わっています。