SCS評価制度とSEMI E187：半導体の取引先が今から備えること
経済産業省などが進める「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」は、サプライチェーンに関わる会社のセキュリティ対策を★の段階で評価する制度です。IPAによると、★3と★4は2027年3月頃の運用開始を予定しています。半導体の製造装置では、台湾で装置の規格「SEMI E187」の認証制度も始まりました。今から準備することを、IPAの資料をもとにまとめました。
SCS評価制度は、対策を★の段階で評価する制度
SCS評価制度は、サプライチェーンに関わる会社のセキュリティ対策を、★の段階で評価する制度です。IPAの詳細ページには、★3、★4、★5の水準が示されています。IPAの説明では、評価の対象として会社のIT基盤が挙げられています。工場の装置については、後で触れるSEMI E187という規格があります。
★3は、自社で評価して専門家が確かめる
★3は、申請する会社が自分で評価し、その結果に専門家が確認と助言を加えて署名する方式です。★3では、評価機関は関わりません。水準は、一般的なサイバー脅威に対処できることです。IPAは、★3を全てのサプライチェーン企業が最低限実装すべきセキュリティ対策と説明しています。
★4は、第三者の評価機関が審査する
★4は、第三者の評価機関が要求事項を審査する方式です。水準は、侵入を防ぐことにとどまらず、侵入された後の被害の広がりや攻撃者の目的の達成を抑えることです。事業継続に向けた取組と、取引先の対策状況の把握も含まれます。
★5は検討中、詳細は順次公表
★5は、より高度なサイバー攻撃への対応を念頭に置いています。ただし、評価の方式と開始時期は、IPAが「引き続き議論を行う」としています。★3と★4の申請方法などの詳細は、IPAが順次公表するとしています。
運用開始は2027年3月頃の予定
IPAは、★3と★4の運用開始を2027年3月頃と予定しています。2026年度の下半期には、評価用のガイドなどを公表する計画です。準備の内容は、この公表を見てから見直すとよいでしょう。
半導体の装置の規格SEMI E187と、台湾の認証制度
SEMI E187は、半導体の製造装置のサイバーセキュリティに関する規格で、2022年に正式に公表されました。台湾のデジタル発展部（政府機関）は、SEMIと組んで、装置メーカーにE187の認証の取得を求める制度を発表しました。発表では、制度は正式に始まったとされています。
今から準備すること：6か条、自社診断、IT基盤の点検
IPAの「情報セキュリティ6か条」（2026年9月の解説編）は、OSやソフトの更新、ウイルス対策ソフト、パスワードの強化、共有設定の見直し、バックアップ、攻撃の手口を知ることの6つです。IPAの中小企業向けガイドには、自社診断「5分でできる！情報セキュリティ自社診断」と、自己宣言の制度「SECURITY ACTION」も示されています。インターネットに公開している機器（VPN装置やルータなど）を一覧にし、取引先を含めて誰に知らせるかの手順も決めておきます。
IPAの「情報セキュリティ10大脅威 2026」では、組織にとっての脅威の2位が「サプライチェーンや委託先を狙った攻撃」でした。制度の開始を待たずに、自社のIT基盤の点検と、6か条の実施から始めてください。
