Macでも★3は取得できる？SCS評価制度で求められる対策を解説
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の施行を前に、「うちの会社にも関係あるのだろうか」「対応は大変なのだろうか」と疑問や不安を感じている企業のセキュリティ担当者様も多いのではないでしょうか。
本稿では、特にMacを業務で利用している企業様向けに、「MacでもSCS評価制度の★3以上を取得できるのか」「現在のMac管理やセキュリティ対策で十分なのか」といった疑問にお答えします。
まずは「最低限実装すべきセキュリティ対策」と位置付けられる★3の取得に向けて、SCS評価制度の概要から求められる対応まで一緒に考えていければと思います。
SCS評価制度では、「製品」と「運用」のどちらか一方ではなく、その両方がそろって初めて十分なセキュリティ対策と評価されます。
そのため、必要な製品の導入にとどまらず、社内ルールや運用体制まで含めて見直していくことが、★3・★4取得への近道となります。
本記事を通じて、「この対応が自社に必要だ！」というような気付きの一助になれば幸いです。
目次
1-制度の概要1-制度の概要
まずは簡単に、SCS評価制度についておさらいしましょう。
SCS評価制度とは、企業のセキュリティ対策を一定の基準で評価・可視化する制度です。
統一した基準によってサプライチェーン内でのセキュリティ状況を共有しやすくするとともに、サイバー攻撃に対し、取引先などを横断した被害の拡大を避けることを目的にした制度です。
評価は、セキュリティレベルを星の数で表し、5段階で構成されています。
SECURITY ACTION/★1~2
★1・★2は「SECURITY ACTION」、つまり自己宣言によるもので、★3以降の準備段階になります。
★1では、「OSを最新状態に維持すること」「パスワードの強化」など、基礎的なセキュリティの対策、「情報セキュリティ6か条」に取り組むことへの姿勢を宣言するものです。
★2は、「会社としてしっかりセキュリティに取り組んでいます」と対外的にアピールできるものになります。25項目からなる情報セキュリティ自社診断と、企業としての情報セキュリティ基本方針の設定・外部公開をすることで、特に費用をかけずに宣言できるものです。
自社のセキュリティ要件を基に、診断と方針を進め、積極的にセキュリティへ取り組んでいることを発信していきましょう。
新たに始まる評価制度/★3~
第三者による評価が必要になる★3以降の本格的な制度は2026年度末から運用開始予定で、より実践的なセキュリティ対策を実装していく必要があります。
★3は、「全企業が最低限実装すべきセキュリティ対策」と位置付けられ、まずは、全ての企業がここを目指すことが推奨されます。そのため、今後取引先から★3以降の評価を取得しているか、対応状況を確認される場面が増えることも想定されます。
ただ…
「最低限実装すべき」と聞くと簡単そうに思えるかもしれませんが、実際に求められる内容を見るとデバイスの管理、脆弱性への対応、アクセス権限の管理など、求められる対策は多岐にわたり、一朝一夕で対応が完了するものではありません。
だからこそ、最初からすべてを完璧に目指す必要はありません。
まずはSCS評価制度で何が求められているのかを理解し、自社ではどこまで対応できていて、何が不足しているのかを整理することが第一歩です。
その上で、必要な対策やセキュリティ製品の導入、運用体制の整備などを具体的に検討していきましょう。
次の章からは、★3の取得に向けて、MacをSCS評価制度の基準で利用するために具体的にどのような対策が求められるのかを見ていきます。
また、★4以上を目指すために更に何が必要か、も併せてご紹介します。
取引先との情報のやり取りが多い、攻撃による影響が大きくなる予想がある、といった背景から★4の取得を目指される企業の方は、★4とその先の対応も合わせて取り組んでいきましょう。
2-社内資産を把握する「リスクの特定」
★3取得に向け、まず必要になるのが【リスクの特定】です。
この章では、保有するIT資産を正しく把握し、サイバー攻撃の対象となり得るリスクを洗い出すために必要な対応について解説します。
リスクの特定において★3レベルの要件は以下のようなものになります。
・PC：メーカー、OS、台数の把握
・サーバー：メーカー、OS、台数の把握
・情報機器・OS・ソフトウェア：導入からネット接続、パッチ適用までのルール策定
・情報サービス利用のセキュリティルールと承認フローの策定
こうした情報を把握し、自社が認識していない業務デバイスやサービスを含め、攻撃の対象となり得る範囲を適切に管理することが求められます。
Windows PCを主に利用する企業で一部のMacが管理されていないケースもあれば、逆にMacがメインで少数のWindows PCが管理対象から漏れているケースもあります。自社の管理状況を一度確認してみてください。
導入を推奨する製品 -MDM
こうした資産管理を効率的に行うためには、専用の管理ツール、MDMの導入をお勧めします。
複数OSに対応するMDM(Microsoft Intune・Iru)やAppleデバイスに特化したMDM（Jamf Pro）などを活用し、会社が所有するデバイスの情報収集やOS・利用アプリケーションの管理などを複合的に行っていくことでリスクの特定への準備をしていきましょう。
★4への対応
さらに★4では、利用しているOSやソフトウェアに脆弱性がないか情報を収集し、対応の必要性を判断するとともに、定期的に対策漏れがないことを確認する運用も求められます。
Jamf Proでは、動的なデバイスの状態によってグループを作成し特定のコマンドなどを実行することができます。
例えば、セキュリティパッチが適用されていないデバイスに向けてアップデートを促すということも可能になり、脆弱性の特定から対応までの工数を大幅に削減し、対応漏れも防げます。
3-「攻撃の防御」のための体制作り
★3取得に向け、次に必要になるのが【攻撃の防御】です。
この章では、サイバー攻撃による被害を防ぎ、万が一侵入された場合でも被害を最小限に抑えるための体制作りについて解説いたします。
攻撃の防御において★3レベルの要件は、以下のようなものになります。
・社員などのユーザーIDなどは承認を経て、発行・変更・削除する
・利用者、管理者のアクセス権限を適切に管理する
・パスコードポリシーやアカウントロックアウトなど、デバイスセキュリティを強化する
・ユーザー認証では、強固なパスワードや多要素認証（MFA）を導入する
・OSやソフトウェアを最新の状態に保つ
・ファイアウォールなどで不正な通信を制御する
これらの対策によって、アカウントの乗っ取りや脆弱性を狙った攻撃によって、社内システムや重要な情報へ不正アクセスを防止する準備が求められます。
万が一攻撃を受けても、アクセス権限が適切に管理されていれば、被害を最小限に抑えることができます。
アクセス権限の管理やパスワードの強化、OSのアップデートなど、基本的な対策が、どのOSにおいても同じ基準で管理できているか、一度確認してみましょう。
導入を推奨する製品 -IdP
ユーザーIDのライフサイクルマネジメントや、アクセス権限、認証においてはOktaなどのID管理ツールによる対応が有効です。
過剰な権限が社内にないかを確認したり、MFAを適用することによって認証を強化し、ユーザー単位で防御の体制を備えることができます。
また、攻撃の防御の対策においても、【リスクの特定】にて登場したMDMで、デバイスのロック設定やパスコードポリシーを一括登録できます。
これにより脆弱性のあるパスワードの使い回しを回避することもできます。
★4への対応
さらに★4では、データの暗号化やアクセスログの取得・監視、クラウドストレージにおけるアクセス権限の管理などが求められます。ここでは、ファイアウォール製品（例：FortiGate）による通信の制御に加え、OktaなどのIdPを活用した認証ログの取得や、MFAによる認証の強化によってログの改竄などに備える運用も可能です。
4-不審な挙動を見逃さない「攻撃の検知」
★3取得に向け、次に必要になるのが【攻撃の検知】です。この章では、サイバー攻撃を完全に防ぐことは難しいという前提のもと、不審な挙動や異常をいち早く検知し、被害の拡大を防ぐための対策について解説いたします。
攻撃の検知において★3レベルの要件は、以下のようなものになります。
・不審な通信や異常な挙動をリアルタイムで検知・遮断するシステムを導入する
・ネットワーク機器のログやアラートを確認し、不審な動きをセキュリティ事故か判断する体制を作る
これらの要件により端末やネットワークを継続的に監視、不審な通信や異常な挙動を早期に発見することで、被害の拡大を防ぐことができます。
システムの導入やインシデントの判断などの運用において、Windows向けの監視体制は整備されていても、Macの監視が十分ではないケースも少なくありません。
Macも監視対象に含め、異常な挙動を検知できる体制になっているか確認しておきましょう。
導入を推奨する製品 -セキュリティ製品
ネットワーク全体の通信を監視・制御するには、FortiGateをはじめとするファイアウォール製品が有効です。
また、端末に対するマルウェア対策や攻撃の検知には、EPPやEDRなどのエンドポイントセキュリティ製品を組み合わせることで、より多層的な防御を実現できます。
また、Appleデバイス環境では、Jamf Proによるデバイス管理とJamf Protectによる脅威検知を組み合わせることで、デバイスの設定や運用管理、そしてセキュリティ監視までを一貫して実施できます。
さらに、Jamf Protectではネットワーク脅威防御やコンテンツフィルタリングにも対応しており、Macに対するセキュリティ対策をより強化できます。
自社環境に必要な製品構成や運用方法については、Tooまでお気軽にご相談ください。
Jamf for Mac導入事例 株式会社ニーリー 様
★4への対応
さらに★4では、デバイスやネットワークの監視に加え、許可されていないソフトウェアの利用を防止することや、マルウェア対策ソフトによって外部から受け取ったファイルの安全性を確認することなどが求められます。
あらかじめ利用を許可するソフトウェアを定め、Jamf ProなどのMDMによるアプリ管理や設定の制御を行うとともに、ESETやJamf Protectなどのエンドポイントセキュリティ製品を組み合わせることで、継続的な検知・監視体制を構築できます。
5-製品だけではない、運用の見直しによる対応
ここまで、SCS評価制度への対応を支援する製品として、MDMや、ID管理ツール、セキュリティツールなどをご紹介してきました。
しかし、SCS評価制度はセキュリティ製品を導入するだけで取得できる制度ではありません。
日々の運用や社内ルールの整備や周知も評価対象となっており、製品だけでは対応できない項目も数多くあります。
例えば★3では、
組織としてセキュリティ方針を策定し、責任者を明確にすることや、インシデント発生時の対応手順・責任体制を整備することが求められます。
また、取引先と接続しているシステムや機密情報の管理方法を把握し、適切に管理すること。攻撃を受けたあとの復旧計画を作ることなども重要な評価項目です。
さらに★4では、
★3で構築したセキュリティ対策の状況を定期的に確認し、不備を確認する運用や、取引先・子会社のセキュリティ状況の把握、重要システムのバックアップなど、他社の状況を含めより継続的な運用体制が求められます。
社内ルールや運用体制を見直しながら、必要なセキュリティ要件の実現と社内リソースを含めたコストを考慮した製品の導入などが★3・★4取得への近道となります。
Tooでは、MDMやID管理ツール、セキュリティツールなどの製品導入だけでなく、お客様の状況に合わせた運用のご相談まで含めてサポートしています。「何から始めればよいかわからない」という段階でも、お気軽にご相談ください。
6-まとめ
いかがでしたでしょうか。
SCS評価制度への対応は、短期間で完了するものではなく、システムの整備や運用体制の構築など、計画的な準備が必要になります。制度の施行までの期間を有効に活用し、社内でどのような対策が必要なのかを整理していきましょう。
最後に、★3・★4取得に向けてTooがご支援できる領域をまとめました。
ご覧のとおり、MDMやID管理、セキュリティ製品によって多くの評価項目に効率的に対応できます。
もちろん、製品の導入は、評価制度の要件を満たすことだけが目的ではありません。
社内のセキュリティ、情シスの運用を効率化し、担当される方の負担や運用工数を削減することで、本来注力すべき業務に時間を充てられるようにすることも重要な目的です。
Tooでは、MDMやID管理ツール、セキュリティツールに加え、Apple Premium Business Partnerとして培ってきたApple製品の知見を基に、デバイス導入から設計・構築、運用まで一貫してご支援しています。
Macを含めた運用設計やSCS評価制度への対応をご検討の企業様へ、★3・★4取得に向けた準備を伴走支援いたします。
制度対応やMac環境のセキュリティ強化をご検討の際は、ぜひTooまでご相談ください。
記事は2026年8月 3日現在の内容です。
この記事に付けられたタグ
おすすめ記事を見る
