SCS評価制度とは？中小企業がMicrosoft365でできる備えの第一歩

SCS評価制度とは

SCS評価制度(サプライチェーン強化に向けたセキュリティ対策評価制度)は、大企業のサプライチェーンにおいて攻撃の突破口になりやすい中小の下請け企業を対象に、セキュリティ対策の状況を客観的に評価する経済産業省の制度です。

つまり、自社が望むかどうかに関わらず、取引先の大企業から「SCS評価を取得していますか」と聞かれる場面が、数年のうちに珍しくなくなる可能性があります。

だからといって、今すぐ全部対応する必要はありません

中小企業のIT投資は会社の規模や状況によって大小があって当然で、大企業と同じ対策を無理になぞる必要はありません。Officeの置き換えとしてMicrosoft365を導入した会社が、いきなり全項目に手を広げる必要はなく、まずは無料で使える「セキュリティの既定値群」で当面は十分なことがほとんどです。

大事なのは、「うちには関係ない」と先送りにせず、自社の取引先構成や業種を踏まえて、今のうちに情報だけでも押さえ、備えられるところから一つずつ手をつけておくことです。

Microsoft365でできる備え：条件付きアクセス

SCS評価制度の評価項目には、アカウントやアクセスの管理体制も含まれます。Microsoft365を使っている会社がこの領域で備えられる機能が「条件付きアクセス(Conditional Access)」です。あらかじめ設定した条件(場所、デバイスの状態、ユーザーやグループ、アプリケーションなど)に基づいて、アクセスを許可するか、追加のMFAを要求するか、あるいはブロックするかを自動的に判断するMicrosoft Entra ID(旧Azure AD)の機能で、Microsoft365 Business Premium以上で使えます。

無料の「セキュリティの既定値群」が全社一律のオン・オフしかできないのに対し、条件付きアクセスは海外からのアクセスだけブロックする、管理者アカウントだけ常時MFAにするといった、きめ細かな制御ができます。備えとして特に効果が高いのは、次の3つのポリシーです。

備えるとしたら、まず知っておきたい3つの基本ポリシー

Business Premium以上を契約していて条件付きアクセスに手を伸ばすなら、優先度の高い基本ポリシーを3つ紹介します。全部を一度に入れる必要はなく、自社に関係の深いものから検討してください。

1. 海外からのアクセスをブロックする

海外からの不正アクセスは、アカウント乗っ取りの典型的なパターンです。業務で海外出張・海外拠点とのやり取りがない企業であれば、まず「特定の国・地域からのアクセスをブロックする」ポリシーから始めるのが効果的です。海外出張者がいる場合は、その国だけ許可リストに追加するか、期間限定で条件を緩和する運用にします。

2. 管理者アカウントの保護をさらに強化する

グローバル管理者などの特権ロールは特に狙われやすく、乗っ取られた際の被害も甚大です。Microsoftは2024年以降、こうした特権ロールがAzureポータルやMicrosoft365管理センターなどの管理画面にサインインする際のMFAを、テナント側の設定に関わらず段階的に必須化しており(2026年中に全フェーズが完了予定)、管理画面へのアクセスでMFAをオフにするという選択肢はすでにありません。条件付きアクセスで管理者向けのポリシーを追加する価値があるのは、管理画面だけでなくOutlookやTeamsなど日常業務のアプリ全般でも同じ厳しさを適用したい場合や、MFAに加えて「準拠デバイスからのみ」「特定の国からのみ」といった条件を重ねて、より強固に守りたい場合です。

3. 会社支給デバイス以外からのアクセスに追加認証を求める

私物のPCやスマートフォンからのアクセスは、会社が管理していない分リスクが高まります。「準拠デバイス(会社が管理・登録したデバイス)以外からのアクセスには追加のMFAを要求する」、あるいは「特定の重要システムには準拠デバイスからのみアクセスを許可する」といったポリシーを設定することで、私物端末経由の情報漏えいリスクを抑えられます。

着手する前に：自社の利用実態を把握する

条件付きアクセスは、設定を誤ると社内の正規ユーザーまでアクセスできなくなる「締め出し」が起こり得る機能です。技術的な設定作業そのものより先に、まず自社の利用実態を洗い出しておくことが欠かせません。

ここが曖昧なまま条件を設定すると、想定外の締め出しや、逆に穴のあるルールになりがちです。

まとめ：無理に急がず、身の丈に合わせて備える

• SCS評価制度を知っておく：★3評価が2026年度中に開始、2027年以降は評価企業が公表される予定
• 今すぐの全対応は不要：Officeの置き換えレベルの活用段階なら、まずはセキュリティの既定値群で十分
• 備えられるところから着手する：条件付きアクセスなら、海外アクセスのブロック、管理者保護の強化、非準拠デバイスへの追加認証の3つから
• 設定より先に現状把握：デバイス・アクセス場所・働き方・利用者を洗い出してから条件を検討する

「うちの規模で、いつ、どこまで対応すべきか」の判断は、社内にIT専任者がいない中小企業ほど悩ましいところです。とはいえ、これから先は「IT人材がいないから」を対応しない理由にはしづらくなっていきます。自社の状況や取引先構成を踏まえた優先順位付けは、bitgateのような専門家と一緒に進めることで、無駄な投資をせずに済みます。