SCS支援会社の選び方｜4タイプの特徴と7つの確認点

1. 支援会社は4つのタイプに分かれる

SCS対応の支援を掲げる会社は増えていますが、もともとの事業領域によって得意な部分がはっきり違います。まず全体像を整理します。

1-1. コンサル型

制度の読み解きと文書整備を得意とするタイプです。要求事項をどう解釈するか、自社の規程体系にどう落とし込むかといった部分では力を発揮します。

注意したいのは、規程を整備した後です。技術的な実装が支援範囲に含まれていない場合、別の会社に依頼することになり、規程を書いた側と実装する側で認識のずれが生じることがあります。支援が終わった後に誰が運用を回すのかも、契約前に確認しておきたい点です。

1-2. 製品ベンダー型

自社製品を軸に解決を提案するタイプです。不足している領域がはっきりしている場合は、導入までが速く、サポート体制も整っています。

一方で、提案が自社製品の範囲に寄りやすいという構造的な特徴があります。評価基準の達成にあたって特定製品の導入が必須とされているわけではないため、提案された製品が要求事項のどの部分にどう効くのかを、説明してもらえるかどうかが判断の材料になります。

1-3. SIer・システム会社型

規程の整備から技術的な実装、その後の運用までを一つの会社で見られるタイプです。既存システムとの兼ね合いを踏まえた提案ができる点や、実装後の運用まで含めて相談できる点が強みになります。

ただし、セキュリティ領域の専門性は会社によって差があります。システム構築の実績が豊富でも、制度の要求事項を読み込んでいるかどうかは別の話です。制度そのものについてどこまで理解しているかは、初回の打ち合わせで確認しておくべき点です。

1-4. 監査法人・審査機関型

第三者の立場から評価を行うことを本業とするタイプです。評価する側の視点を持っているため、どこが指摘されやすいかについての知見があります。

注意点として、利益相反の観点から、支援を行った会社が同じ組織の評価を担えない場合があります。★4は指定された評価機関が評価を行う仕組みであり、支援と評価の関係については制度の枠組みを確認したうえで依頼先を検討してください。

2. 依頼前に確認したい7つのポイント

タイプを絞ったうえで、個別の会社を検討する際に確認したい点を挙げます。

1. 要求事項を読み込んだうえで、自社の業務に当てはめて話ができるか
制度の一般的な説明で終わる会社と、「御社の場合、委託先は何社くらいありますか」と自社の状況を聞いてくる会社では、この段階で差が出ます。要求事項を自社の業務に翻訳する作業は対応の中心になるため、そこに踏み込めるかどうかは重要な判断材料です。

2. 既存の規程・仕組みを活かす提案になっているか
すでにISMSやPマークを取得している、あるいは社内規程が一定程度整っている場合、それを活かせるかどうかでコストが大きく変わります。ゼロから作り直す前提の提案は、費用も期間も膨らみます。

3. 文書整備だけで終わるのか、技術的な実装まで対応できるのか
規程を作っても、それを実行する仕組みがなければ記録は残りません。どちらを担うのか、担わない部分は誰がやるのかを、契約前に明確にしておきます。

4. 取得後の運用・更新まで支援範囲に入っているか
評価を受けた後も、水準を維持し続ける必要があります。運用フェーズの負荷は小さくないため、そこまで見てもらえるのか、取得までで契約が切れる設計になっていないかを確認します。
運用で何が起きるかについては、「大変なのは取得より運用｜SCS対応でつまずく6つのこと」で詳しく整理しています。

5. 支援範囲を必要な部分に絞れるか
一式のパッケージしか用意がない場合、すでにできている領域にも費用を払うことになります。自社の状況に応じて範囲を調整できるかどうかを確認してください。

6. 費用体系が明確か
何が定額で、何が個別見積りなのか。追加作業が発生した場合にどう扱われるのか。ここが曖昧なまま進むと、後から想定外の費用が出ます。

7. 「取得を保証」と言っていないか
これについては次の章で詳しく説明します。

3. 注意したい売り文句

提案を受けるなかで、聞こえは良いものの慎重に判断したほうがよい表現があります。

3-1. 「取得を保証します」

結論から言えば、支援会社が評価の結果を保証できる性質のものではありません。

★3は専門家の確認を経た自己評価、★4は評価機関による第三者評価という枠組みで、判断を行うのは制度側です。支援会社にできるのは、要求事項を満たすための整備を支援することまでです。

「必ず取得できます」と言い切る会社は、制度の枠組みを正確に理解していないか、営業上の誇張をしている可能性があります。どちらであっても、その後の進め方に不安が残ります。

なお、これは当社にも同じく当てはまる話です。当社のサービスページや診断ツールでも、制度上の評価・登録を保証するものではない旨を明記しています。

3-2. 「これを入れれば要件を満たせます」

特定の製品を導入すれば要求事項を満たせる、という説明にも注意が必要です。評価基準の達成にあたって、特定のセキュリティ対策製品の導入が必須とされているわけではありません。

製品を提案すること自体が問題なのではありません。判断の基準になるのは、その製品が要求事項のどの部分に、どう効くのかを説明できるかです。あわせて、すでに導入しているツールでまかなえる範囲はないかを確認してくれる会社であれば、より信頼できます。

製品をめぐる誤解については、「SCS評価制度のよくある誤解6つ｜対応を始める前に」でも取り上げています。

4. 相談する前に自社で準備しておくこと

ここまで支援会社の見方を整理してきましたが、準備なしに相談しても、どの会社からも精度の高い提案は返ってきません。最低限そろえておきたいものが3つあります。

4-1. 現在の対策状況を粗く棚卸しする

精緻な資料である必要はありません。何ができていて、何ができていないのかの大枠が分かれば十分です。

これがあると、提案の内容が変わります。現状が分からないまま相談すると、どの会社も「まず現状把握から」という同じ提案を返すことになり、比較のしようがなくなります。

4-2. 社内の推進体制を決めておく

誰が窓口になるのか、決裁は誰が行うのか。ここが決まっていないと、提案を受けても社内で判断が進みません。

体制の考え方については、「SCS対応、結局だれがやるのか｜必要な体制とスキル」で整理しています。

4-3. 想定している時期と予算感を整理する

いつまでに何をしたいのか、どの程度の予算を想定しているのか。この2つに幅がないと、支援会社は見積もりを作れません。

「いくらかかるか分からないので教えてほしい」という相談は自然なものですが、支援範囲によって金額は大きく変わるため、前提がないまま数字だけを出すことはどの会社にもできません。おおまかでよいので、時期と規模感を持って相談するほうが、具体的な話になります。

5. まとめ：比較の精度は自社の現状把握で決まる

支援会社の4タイプには、それぞれ得意な領域と注意したい点があります。どこが優れているかではなく、自社がいま何に困っているかでタイプを選ぶのが基本です。

そして、比較の精度は、自社の現状をどれだけ把握しているかで決まります。現状が見えていれば、提案の内容が自社に合っているかを判断できますし、不要な範囲を外して見積もりを取ることもできます。逆に現状が分からないまま複数社に声をかけても、返ってくる提案の前提がばらばらで、金額の差に意味がなくなります。

なお、当社（サン・エム・システム）は上記の分類でいえばSIer・システム会社型にあたります。規程の整備から技術的な実装、その後の運用までを一つの窓口で見られる点を強みとしていますが、前述のとおりこのタイプはセキュリティ領域の専門性に差が出やすいという特徴もあります。当社に限らず、制度をどこまで理解しているかは初回の打ち合わせで確かめていただくのがよいと考えています。

比較検討の前段として、サン・エム・システムではSCS評価制度の要求事項と自社の現状の差分を確認できる無料のセルフ診断をご用意しています。Web上で完結し、回答後すぐに結果が表示されます。支援会社への相談材料としてもご利用いただけます。
まずは以下より、無料セルフ診断をお試しください。

※本診断は当社独自の簡易診断であり、制度上の評価・登録を保証するものではありません。

よくある質問（FAQ）

Q. 相見積もりは何社くらい取るべきか？

A. 社数よりも、同じ前提条件で依頼できているかどうかが重要です。支援範囲がばらばらのまま比較しても、金額の差に意味がありません。自社の現状と依頼したい範囲を整理したうえで声をかければ、少ない社数でも十分に判断できます。逆に、前提を揃えずに多くの会社から見積もりを取ると、比較作業そのものが負担になります。

Q. 支援を受けた会社に評価もお願いできるか？

A. ★4は指定された評価機関が評価を行う仕組みであり、利益相反の観点から支援と評価を同一社が担えない場合があります。★3は社内外のセキュリティ専門家が自己評価の内容を確認する形式です。制度の細部は現在も具体化が進められている段階のため、依頼先を検討する際は最新の枠組みを経済産業省およびIPAの公式サイトで確認してください。

Q. 費用の相場はどれくらいか？

A. 支援範囲によって大きく変わるため、相場という形ではお示ししにくいのが実情です。規程の整備だけなのか、技術的な実装や運用の定着まで含むのかで前提がまったく変わります。また、既存の規程や仕組みがどこまで整っているかによっても必要な作業量が変わります。まず自社の現状を把握したうえで、必要な範囲を絞って見積もりを取るのが現実的です。

サン・エム・システムでは、無料のセルフ診断から詳細なヒアリング、規程の整備、技術的な実装、運用の定着までを一貫してご支援しています。支援の範囲は企業ごとに調整しますので、すでにできている領域を除いて必要な部分だけをご相談いただくことも可能です。制度の解釈だけでなく、システム会社として実装まで見られる点が当社の特徴です。
サービスの内容や支援の進め方は、下記のページでご確認いただけます。

参考・出典

• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
• IPA「SCS評価制度の詳細情報」

【この記事を書いた人】
サン・エム・システムコラム編集部