中小企業のセキュリティ、今から取り組むなら「SCS評価制度」を参考に 【IPAに聞く 前編】なぜ、いま新制度が？ その狙いと全体像を知る

「うちの会社は小さいから大丈夫」――そう思っているとしたら、それは大きな間違いかもしれません。サイバー攻撃は、大企業だけでなく、中小企業もターゲットにしています。でも、セキュリティ対策って、何から手をつけていいのか、どこまでやれば十分なのか、専門知識がないと難しいですよね。

そんな悩みを抱える企業のために、情報処理推進機構（IPA）が新しい「サイバーセキュリティ評価制度（SCS）」を立ち上げました。これは、中小企業が自社のセキュリティレベルを把握し、具体的な対策を進めるための「ものさし」のようなものです。

この制度の大きな狙いは、セキュリティ対策の「入り口」を分かりやすくすること。これまで、セキュリティ対策は「完璧を目指すもの」というイメージが強すぎたかもしれません。しかし、SCSでは、まずは「これだけは最低限やっておこう」という基本的な項目から始められるようになっています。いきなり高いハードルを越えようとせず、段階的にレベルアップしていくイメージです。

例えば、会社のパソコンにパスワードを設定する、重要なデータはバックアップを取っておく、従業員に怪しいメールを開かないように注意を喚起するなど、基本的なことでも、実はセキュリティの第一歩なんです。SCSは、こうした「できることから」を具体的に示してくれるので、担当者も取り組みやすくなります。

この評価制度は、企業が自社のセキュリティレベルを客観的に知るためのツールとしても役立ちます。現状を把握できれば、次に何を強化すべきかが明確になりますよね。IPAは、この制度を通じて、多くの中小企業がセキュリティ対策を「自分ごと」として捉え、一歩踏み出すきっかけになることを期待しています。セキュリティは、もはやIT部門だけの問題ではなく、経営全体の課題なのです。