「うちは狙われない」が通用しない時代に。CoopersがSCS評価制度「★4」を目指す理由

この秋、個人情報の流出を伝えるニュースが、ほぼ毎日のように続きました。数百万件、なかには2,000万件を超える規模の公表もあり、10月には個人情報保護委員会、警察庁、経済産業省、IPA、JPCERT/CCなどが次々と注意喚起を出しています。

こうしたニュースを見るたびに、私たちは「自分たちが原因になったら」と考えます。Coopersは、お客様の業務システムを開発し、公開後の保守・運用まで担っています。お客様のサーバーやデータを扱う権限をお預かりすることもあります。もし私たちのところで問題が起きれば、お客様の業務、さらにその先のお取引先にまで影響が広がるかもしれません。

そこで、国の新しい制度「SCS評価制度」で★4の取得を目指し、社内の対策をあらためて点検することにしました。この記事では、そう決めた背景と、いま取り組んでいることをお伝えします。

相次ぐ不正アクセスと、政府の一斉の注意喚起

2026年10月、国内の企業で大規模な不正アクセスと情報流出の公表が続きました。2,000万件を超える会員情報が流出したおそれがあるという発表もありました。

これを受けて、10月7日に個人情報保護委員会が、8日に警察庁とJPCERT/CCが、9日には経済産業省、総務省、金融庁、IPAなどが相次いで注意喚起を出しました。内閣官房国家サイバー統括室は10月14日、これらを一つのページにまとめて公表しています。それだけ、多くの組織に関わる問題だということです。

JPCERT/CCの注意喚起は、一連の事案が「すべて同じ攻撃手法によるものではない」としたうえで、いくつかの手口を整理しています。外部に公開されたソフトウェアの脆弱性を突くものから、後で触れるAIを使った手口まで、入口はさまざまです。

被害は、攻撃を受けた1社の中だけで終わるとも限りません。2025年の秋には、大手飲料メーカーや通販大手がランサムウェアの被害を受け、受注や出荷が止まりました。取引先や、物流を受託していた他社のネットストアにまで影響が広がっています。

IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」でした。守りの固い企業を直接狙うより、つながりのある取引先や委託先から入る。攻撃する側から見れば、筋の通ったやり方です。

開発会社は、まさにその「委託先」にあたります。

私たちが使う技術でも

10月21日には、Webサービスで広く使われているプログラミング言語「PHP」に、重大な脆弱性が見つかったとして修正版が公開されました。認証なしでサーバー上のプログラムを動かされるおそれがあるもので、IPAも注意喚起を出しています。10月26日には、米国の政府機関CISAが「実際に悪用が確認された脆弱性」の一覧に加えました。国内でも、予防のためにWebサイトやサービスを一時停止する企業が相次ぎました。

PHPは、WordPressやLaravelなど、Coopersが日々の開発で使っている技術の土台です。今回の流出事案とこの脆弱性の関係は、公式には確認されていません。それでも、自分たちが使う技術に重大な問題が見つかり、すぐに対応を迫られる。そうした事態は、どの開発会社にも起こりえます。

AIで変わる攻撃と、AIを使う私たちの責任

JPCERT/CCの注意喚起では、手口の一つとして、本来は防御側が自社の弱点を調べるために使う「AIを用いた侵入テストの仕組み」が攻撃に悪用された例も挙げられています。

IPAの「10大脅威 2026」でも、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて入りました。AIに入力した情報の漏えい、AIの出力をそのまま信じてしまうこと、そしてAIの悪用で攻撃が容易に、巧妙になることが挙げられています。

海外では、米Anthropic社が2025年11月、自社のAIが悪用された攻撃を検知して止めたと公表しています。同社の分析では、攻撃の作業の80〜90%をAIが担っていました。

一方で、AIが存在しない認証情報を作り出すなど、うまくいかない場面もあったと書かれています。

AIを使えばどんな攻撃でも成功する、というわけではありません。それでも、これまで多くの人手が必要だった作業の一部をAIが肩代わりできるようになったのは確かです。「小さな会社だから狙われない」とは、言い切れなくなっています。

Coopersも、社内の開発基盤「Coopers AI Studio」をはじめ、AIを日々の開発に使っています。便利さを知っているからこそ、リスクにも向き合う必要があると考えています。

SCS評価制度とは

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、経済産業省と内閣官房国家サイバー統括室が2026年3月に公表した方針にもとづく制度で、IPAが運営します。

目的は、発注する側が取引先に求めるセキュリティの水準をわかりやすく示し、サプライチェーン全体の水準を上げることです。これまで取引先ごとにばらばらだった「どこまで対策すればよいか」を、★の段階で共通のものさしにします。

段階	想定する脅威	評価の方法
★3	広く知られた脆弱性などを悪用する、一般的なサイバー攻撃	自己評価を、SCSセキュリティ専門家が確認（要求26項目・有効期間1年）
★4	供給停止などでサプライチェーンに大きな影響を与える企業や、機密情報への攻撃	評価機関による第三者評価。実地審査と技術検証を含む（要求43項目・有効期間3年）
★5	より高度なサイバー攻撃	国が検討中

要求事項は、「ガバナンスの整備」「取引先管理」「リスクの特定」「攻撃等の防御」「攻撃等の検知」「インシデントへの対応」「インシデントからの復旧」の7つに分かれています。経営の関わり方から、攻撃を受けたあとの復旧まで、会社としての備えが問われます。

制度について、誤解されやすい点もまとめておきます。

• 取得は任意です。 制度として★の取得を義務付けるものではありません。取引の条件にするかどうかは、発注する側の判断になります。
• 特定の製品を入れる必要はありません。 決まったセキュリティ製品の導入は求められていません。
• 取得した企業は公表されます。 ★3・★4を取得した企業は、IPAのWebサイトで公開されます。
• 中小企業への支援もあります。 ★の取得を伴走支援する「サイバーセキュリティお助け隊サービス（新類型）」の準備が進んでいます。

2026年10月には評価のためのガイドと解説書が公開され、12月下旬には評価機関などが指定される予定です。★3・★4の登録申請は、2027年3月に受付が始まります。

Coopersが★4を目指す理由

★4が想定しているのは、被害を受けると取引先にも大きな影響が出るような企業です。自社での点検に加えて、評価機関による実地審査と技術的な検証を受けます。

私たちは、お客様のシステムの中身を知り、管理の権限を持ち、公開後も長く関わる立場です。「対策しています」と自分で言うだけでは、十分ではありません。

それに、日々続けている対策ほど、慣れて見直さなくなります。自分たちだけでは気づけないこともあります。だからこそ、第三者に実地で確かめてもらえるこの段階を選びました。なお、★3を先に取得していなくても申請できます。

評価を取ることが目的ではありません。お客様に安心してシステムを任せていただける状態を保ち続けるための点検です。

いま取り組んでいること

パスワードの管理や二要素認証、業務に使う端末の管理、データのバックアップ、AIに渡してよい情報を決めた利用ルール、AIが書いたものも含めたコードレビュー。こうした基本的な対策は、これまでも日々の業務の中で続けてきました。

そのうえで、★4の取得に向けて、まず次の3つから進めていきます。

1. 43の要求項目と現状の照らし合わせ：社内で使っているサービスや管理者の権限を洗い出し、要求事項と評価基準に一つずつ照らして、できていることと足りないことを整理します。
2. 外部の脆弱性診断：★4の技術検証に備えて、社内の環境を外部の目でも確認します。
3. もしものときの手順と訓練：攻撃を受けたときの連絡や判断の手順を文書にし、バックアップから実際に戻せるかも試します。

進み具合や取り組む中で気づいたことは、このブログでもお伝えしていく予定です。

最後に

セキュリティ対策に、「これをやっておけば絶対に安心」という答えはありません。技術も攻撃の手口も変わり続けます。だから私たちも、学びながら見直し続けるしかないと考えています。

SCS評価制度への準備は、その一つです。まだ始めたばかりですが、制度の基準を手がかりに、社内の管理や開発・運用の進め方を一つずつ確かめていきます。

もし「自社の委託先にどこまで対策を求めればよいか」「自分たちのシステムは大丈夫か」と気になっている方がいれば、お気軽にご相談ください。Coopersの考え方は「セキュリティへの取り組み」のページでもご紹介しています。

新しい技術を使いながら、その安全にも責任を持つ。これからも、お客様に安心してシステムを任せていただける会社であるために、一つずつ取り組んでいきます。

※本記事の制度に関する情報は、2026年11月5日時点の公表内容にもとづいています。