Blog

経済産業省のセキュリティ対策評価制度に、どう備える？

2026.07.10

バックアップと、M365保護の重要性

本ブログでは、最近注目を集めている「経済産業省のセキュリティ対策評価制度」への対応方法について、同制度において必須となるバックアップで押さえるべきポイントや、M365/ID保護の重要性を解説します。

なぜ今、中小企業のセキュリティが問われるのか

2024年下半期から2025年にかけて、日本の大手企業を標的にしたランサムウェア攻撃が相次ぎました。しかし、問題の本質は、大企業が直接攻撃されることよりも、取引先の中小企業を踏み台にした侵入経路の多様化にあります。サプライチェーン上のどこか一社が侵害されれば、連鎖的に業務全体が停止しうる構造的な脆弱性が浮き彫りとなっています。

こうした背景を受け、経済産業省が策定を進めているのが、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」です。2026年3月27日に制度構築方針が公表され、2026年度末頃の制度開始（申請受付開始）を目指しています。対応が遅れた企業は、新規受注や契約更新の機会を失うリスクを抱えることになります。

評価制度とは何か——星の数が示す成熟度

制度の核心は、企業のセキュリティ対策水準を「星の数（★3～★5）」で可視化する点にあります。従来のように、各発注企業が独自基準でセキュリティ要件を求める方式から、共通の評価軸へと移行する試みです。

★★★（星3）：一般的なサイバー攻撃を想定。自己評価・有効期間1年。中小企業の最低ラインとなる可能性大。
★★★★（星4）：サプライチェーン全体に影響する攻撃を想定。第三者機関による評価・有効期間3年。
★★★★★（星5）：高度なサイバー攻撃を想定。2026年度以降に要求事項・評価基準等の具体化の検討を進める。

評価は発注企業側が「この取引にはどのレベルが必要か」を指定する形で機能します。中小企業が自ら星の数を選ぶのではなく、取引先からの要求に応じた対応が求められる構造となります。

2027年3月という期限が意味するもの

2026年3月27日の発表により、2026年度末頃の制度開始が明確に示されました。つまり、対応に向けた具体的な動きは今年度中に始める必要があります。

未対応の場合のリスクは明確です。取引継続の条件として評価取得が求められれば、未取得企業はRFPの段階で弾かれる可能性があります。公共機関の入札条件に加わる可能性も排除できません。

中小企業にとってのメリットも存在する

制度への対応はコストとして捉えられがちですがが、利点も見逃せません。自社のセキュリティ水準を共通言語で取引先に示せること、サイバー事故発生時の責任の所在を分散できること、そして「何を対策すればよいか」の指針が明確になることです。

また、2026年3月27日には、SCS評価制度の要求事項に対応した「中小企業の情報セキュリティ対策ガイドライン第4.0版」や、リスク認識を深めるための「実例で学ぶサイバーセキュリティリスク事例集」が公開されています。さらに2026年中旬からは、★3および★4を安価かつ簡便に取得できるよう「サイバーセキュリティお助け隊サービス（新類型）」の実証事業も開始されます^*1。すべてを自社で抱え込まず、外部リソースの活用も選択肢となりえます。

クラウド時代に生まれた「守られている幻想」

同制度に関連し、益々重要性の高まるセキュリティおよびバックアップですが、Microsoft 365（以下M365）の普及が進む中、企業の情報システム担当者の間で、根強い誤解があります。「Microsoftがバックアップを取ってくれているから、自社での対応は不要」という認識です。バラクーダの調査でも、多くの企業がクラウドの標準機能に依存し、独自バックアップの必要性を過小評価していることが示されています。

しかしこれは事実と異なることを、Microsoftが公開している責任共有モデルは明確に示しています。SaaS・PaaS・IaaS、どの形態においても「情報・データ」の責任はユーザー側にあり、Microsoftはこの領域に一切の責任を持たないと明記しています。

退職者アカウント削除で何が起きるか

具体的なシナリオで理解を深めましょう。従業員が退職し、アカウントを削除したとします。ライセンスコスト削減のため、多くの企業が実施している日常的な作業です。

アカウント削除後30日経過 → メールボックスのデータが完全消失
アカウント削除後30日経過 → OneDriveのデータが完全消失
削除後は参照不可能。バックアップがなければ永久に復元できない。

「30日あれば気付ける」という意見もありますが、実際には退職後にその人物のデータが必要になるのは数ヶ月後や数年後であることも多く見受けられます。問題が発覚した時点では、既に手遅れというケースが相次いでいます。

Teamsファイルの保存先は「思っている場所」ではない

M365の内部構造は複雑で、ユーザーの直感とは異なる場所にデータが保存されるケースが多くあります。例えば、Teamsのチャンネルにファイルを投稿した場合、そのファイルはSharePointの共有フォルダに保存されます。チームが存在し続ける限りデータは保持されるため、退職者が出ても消えません。一方、チャット（1対1または少人数）に投稿したファイルや、Teams会議の録画は投稿者・録画者個人のOneDriveに保存されます。つまり、アカウントが削除されればデータも消失します。

チャット添付ファイル → 投稿者のOneDriveに保存（退職＝消失）
会議録画 → 録画実施者のOneDriveに保存（退職＝消失）
チャンネル投稿ファイル → SharePointに保存（チームが存在すれば安全）

Entra IDへの攻撃——見落とされる最大のリスク

さらに深刻なのがEntra ID（旧Azure AD）への攻撃です。Entra IDは、ID・パスワード・権限を管理するゲートウェイであり、ここを制圧されるとM365全体へのアクセスが不可能となります。報告されている攻撃手法の中には、バージョン履歴を制限したりファイルを暗号化したりして、復旧の選択肢を狭めるものもあります。M365は通常、ファイルのバージョン履歴を保持しますが、履歴の上限を1件に設定することで事実上の巻き戻しを不可能にします。その後、ファイルを暗号化すれば、バックアップなしには復元の術がなくなります。

Entra IDは、M365のバックアップ以上に重要であり、かつ攻撃対象として注目度が急上昇しています。バックアップ対象として、明示的に含めることが急務です。

「備えた」企業が実は無防備だったという逆説

「バックアップを取っていれば安心」—そう考えている企業に、警察庁の調査結果は冷水を浴びせます。ランサムウェア被害を受けた企業のうち、バックアップを取得していても復旧できなかった割合は、7割以上にのぼります^*2。そしてその主因は、「バックアップデータ自体も暗号化されていた」ことです。

バックアップは存在するが使えないという状況は、今や珍しくはありません。攻撃者は、バックアップの存在を前提に動いており、まずバックアップデータへのアクセス権を奪い、暗号化してから身代金を要求するという手順が確立されています。

評価制度が求める5つのバックアップ要件

経済産業省のセキュリティ対策評価制度における「★3」および「★4」の評価基準（細分化された評価項目の枝番）の中で、バックアップに関する指定項目は以下のとおりです。これらは、「バックアップを取る」という行為を超えた、設計・運用レベルの対応を求めています。

1. バックアップ対象・頻度・期間の定義（★3要件：業務優先度に応じて設定）
2. 重要データの遠隔地保管（★3要件：BCP対策兼ランサムウェア対策）
3. リストア手順書の整備と定期的な訓練の実施（★3要件）
4. 目標復旧レベル（ RTO/RPO）の定義（★3要件：どのタイミングのデータを、どれだけの時間で復旧するか）
5. 復旧テストの実施（★4要件：設定時間内に実際に戻せるかの検証）

特に4.と5.は実装ハードルが高く、「1日前のデータがあれば事業継続できるのか、それとも1時間前でなければ困るのか」という問いに答えるためには、ITと業務側との連携が不可欠となります。

バックアップデータを守る3つの技術的対策

7割が復旧できないという現実を変えるには、バックアップデータそのものを攻撃から守る設計が必要となります。現時点での有効な対策は主に3つあります。

1. イミュータブルストレージの採用

一度書き込んだデータを変更・削除できない「イミュータブル（不変）」ストレージは、バックアップデータの暗号化を物理的に防ぐ仕組みです。攻撃者がアクセス権を奪っても、データを改ざんできません。2018年頃から一部のバックアップ製品が採用してきた技術ですが、最近になって業界標準として普及しつつあります（AWSの例）。

2. 遠隔地への分離保管

ランサムウェアは、ネットワーク経由でアクセス可能なストレージを対象に暗号化を実行します。メインネットワークから物理的・論理的に切り離された場所にバックアップを保管することで、感染の連鎖を断ち切ることができます。BCPとしての遠隔地保管とは目的が異なる点に注意が必要です。

3. 3-2-1ルールの実践

「3つのコピー、2種類の異なるメディア、1つはオフサイト」を意味する「3-2-1ルール」は、ランサムウェア時代に改めて有効性を発揮しています。同一の仕組みで保存されたバックアップは、同一の手法で暗号化されるリスクがあります。異なるメディアや仕組みを組み合わせることで、単一障害点をなくす設計が重要です。