サプライチェーンが問う「どう守っているか、見せてください」

重要インフラ事業者と取引する場合、遠隔接続の管理方法を説明する場面があります。いま整備が進む評価制度を軸に、製造業・機械メーカーが供給者として備えることを整理します。

取引先から「どう守っているか」を尋ねられたときに、接続の管理方法を説明できる状態を整えておくことが大切です。

取引先との関係

取引先に接続管理を説明する

重要インフラ事業者と取引する装置メーカーや保守事業者は、遠隔接続の管理方法を顧客へ説明する場面があります。必要な対策や記録は契約と業務内容によって異なります。接続する担当者、対象装置、権限、履歴を整理し、顧客の確認に答えられる状態を整えます。

SCS評価制度の対象範囲、★3と★4の要件、リモートアクセスに関わる要求事項の一覧は、SCS評価制度とリモートアクセスにまとめています。

取引先からの要求

対策状況を取引先へ示す

この流れを制度として後押しするのが、経済産業省が整備を進める「サプライチェーン強化に向けたセキュリティ対策評価制度」です。企業のセキュリティ対策状況を★の段階で可視化し、取引先選定の指標にする——いわば「どう守っているか」を見える形で示す仕組みです。

IPAは、★3・★4の運用開始を2027年3月頃に予定しています。制度開始は申請受付の開始を指し、予定は変更される場合があります。★5の要求事項や評価方法、開始時期は検討中です。評価項目はNIST CSF をベースに「取引先管理」を加えた7分類で構成されます。★3・★4に向けた準備として、IPAはSECURITY ACTIONによるセキュリティ対策の自己宣言を案内しています。

任意制度だが、取引先から対応を求められる場合がある

この評価制度は任意のものです。しかし取引先がこれを参照する場合、★の段階や「どう守っているか」を示すよう、取引先から対応を求められる場合があります。

これまで製造業は、取引先ごとに異なるセキュリティチェックシートへの回答で疲弊してきました。これからは、★の段階に加えて「接続をどう統制し、証跡をどう残しているか」を、その都度・具体的に示せる状態を整えておくと、取引先への説明に役立ちます。

問いの中身

問われているのは「接続の統制と、その証跡」

取引先への説明では、誰にどの装置への接続を許可し、履歴をどう確認しているかを示します。Secomeaの権限設定や接続記録を、その説明に活用できます。制度や規格ごとに対象と要求は異なるため、接続管理以外の対策や必要な手続きも確認します。

実装

供給者として「見せられる」状態をつくる

Secomeaは、製造業・機械メーカーが「どう守っているか」を示せる状態を、実装で支えます。Secomeaの設定と接続記録は、リモートアクセスの管理状況を説明する材料になります。評価では、組織全体の対策と運用も確認します。

セッション録画はProfessional・Premiumで利用でき、対象はブラウザ経由のRDP・VNC・SSH・Telnet接続です。利用には設定が必要です。

さらにSecomeaは、IEC 62443-4-1に基づく開発プロセスの認証（TÜV）を取得し、IEC 62443-4-2に関する第三者評価を受けています。開発プロセスの認証と第三者評価は、製品選定時に確認できる情報です。適用される範囲は各証書・報告書で確認できます。

対応の主体について：製品の導入は、これらを「見せられる」状態をつくる基盤になります。ただし★の取得や評価そのものは制度の手続きであり、最終的な対応の主体は、供給者であるあなたに残ります。

出典：サプライチェーン強化に向けたセキュリティ対策評価制度（経済産業省）。★3・★4の運用開始予定はIPA「SCS評価制度 FAQ」（2026年10月7日確認）。重要インフラ文書の改訂・廃止は国家サイバー統括室「重要インフラ対策関連」（2026年10月4日取得）を参照。