ISO/IEC 27001（ISMS）とSCS評価制度の関係性

今週末の5/22（金）の12:00～13:00でISMSとSCS評価制度の関係性を読み解きつつ、セキュリティ運用設計の話をする無料セミナーを開催します。
ちなみにSCS評価制度とは、経済産業省から発表された「サプライチェーン強化に向けたセキュリティ対策評価制度」のことです。

内容としては、ISMSとSCS評価制度の違いを概要レベルで説明しながら、具体的にはどんなことを何をやらなければならないのかまとめていきます。

日本のISO/IEC 27001（ISMS）取得数

そもそも、なんでISMSとSCS評価制度を比較しようと思ったかというと、日本企業はISMS取得企業数が世界3位という状況だからです。

上記は2024年のISMSの国別の取得数なんですが、人口の多い中国、インドに次いで3位となっています。
中国がと飛びぬけていることを除けば、中国とも競ってるし、アメリカには勝っています。
背景には、日本の文化的に第三者認証による「安心・信頼」が重視される文化と、官公庁・大企業調達での事実上の条件になっているという状況があります。
そのため一定規模以上の企業にとって、ISMSが当たり前という状況です。

私も小規模企業の代表をやっていますが、ISMSを取得している企業を取引をすると、セキュリティ対応状況について色々と聞かれるので、取得していなくてもISMSはけっこう身近に感じます。

今回は日本企業にとって身近なISMSとSCS評価制度を並べてみたとき、どんな違いがあるのかを紐解いてみようと思います。

そもそも、SCS評価制度自体がISO/IEC 27001を参照している

この手の制度やガイドラインは、相互参照していることが多くあります。
ITサービスマネージメントのガイドラインである ITIL と、ITガバナンスとITマネジメントのガイドラインである COBIT はお互いに参照しています。
2025年の段階でSCS評価制度が参照/引用していたと思われるガイドライン類は5つあります。

この中で、一番日本企業に根付いているのが ISO/IEC 27001 だと思います。
ガイドラインは、内容が似ていても目的が違えば構造が変わります。
その目的と構造の違いをつかんでしまえば、社内にあるルールのどこに手を入れればよいかが分かってきます。

ということで、この続きは5/22（金）の12:00～13:00からやります。
お昼ご飯でも食べながら、お気軽に参加してもらえればと思います。
アーカイブ配信はされると思いますが、投影資料はリアルタイム参加の人しかもらえなかった気がするので、資料が欲しい方はお申込みください！