サイバーセキュリティお助け隊の新類型が実証開始、認定15社｜SCS評価制度の★取得を無料で支援

何が始まったか｜IPA認定の15社が中小企業を支援する

この実証事業は、新しい支援制度をいきなり本格運用するのではなく、制度創設に向けた試行という位置づけです。実際にサービスを中小企業へ導入し、内容・品質・価格の妥当性を検証します。

表1：実証事業の概要（経済産業省の公表資料をもとにSTOCKCREW作成）

IPAが認定した15のサービス提供事業者が、中小企業等に対してセキュリティサービスを提供します。

出典：経済産業省「中小企業向け「サイバーセキュリティお助け隊サービス（新類型）」 実証事業を開始します」（2026年9月15日）

背景にあるのは「取引先経由の被害」

公表資料では、中小企業を起点とした攻撃被害が取引先企業へ波及する事例が発生していると指摘されています。狙われるのは規模の大きい企業ではなく、つながっている中で最も守りが薄いところです。自社の被害で完結せず、そこを踏み台にして取引先へ広がる点が、従来のウイルス対策の発想と大きく違います。倉庫の基幹システムが止まれば出荷も止まる構造は、倉庫システムの停止とBCPの回で扱いました。EC事業者の場合、カート・受注管理・倉庫がAPIでつながっているぶん、1か所の停止が全体に波及しやすくなります。

SCS評価制度とは｜対策状況を共通の基準で可視化する

SCS（Supply Chain Security）評価制度は、サプライチェーンを構成する企業が実施すべきセキュリティ対策の状況を共通の基準で可視化する仕組みです。経済産業省が創設に向けた取り組みを進めており、開始は2026年度末頃が予定されています。

★の水準と、今回支援される範囲

今回の実証で提供されるのは、★3または★4を取得するためのサービスです。技術的な対策だけでなく、組織的な対策を含む点が特徴になります。個社ごとに質問票へ回答して回るのではなく、共通の物差しで水準を示せるようになることが制度の狙いです。

表2：個別対応と共通基準の違い（経済産業省の公表内容をもとにSTOCKCREW作成）

実務上のメリットは、この「1回の評価を使い回せる」点にあります。取引先が10社あれば、これまでは10通りの様式に個別対応していました。共通の基準ができれば、その工数を対策そのものに振り向けられます。逆にいえば、基準ができた後に何も示せない企業は、比較の土俵から外れるということでもあります。

「何から始めればいいか分からない」への回答

公表資料は、中小企業から「何から対策を始めればよいか分からない」「専門人材や予算が不足している」という声が多いことを課題として挙げています。制度を作っても、対応できる企業がいなければ普及しません。制度と支援を同時に立ち上げるという設計が、今回の実証事業の位置づけです。物流業界全体のIT課題の構造は物流業界のIT課題に、取り組みの進め方は物流DX事例に整理しています。

「無料」の範囲を正確に読む

参加メリットとして無料でのサービス提供が挙げられていますが、条件が付いています。ここを読み違えると、あとから費用が発生する認識のずれが起きます。

条件は2つ

1. SCS評価制度の対策の範囲であること——制度が求める対策の外側は、無料の対象になりません。
2. 実証期間中であること——最大で1年程度という限定が付いています。2026年9月頃から2027年9月頃までが実証期間です。

この2条件を外れた部分がどう扱われるかは、選んだサービス提供事業者ごとに異なります。申込前に、対象範囲と期間後の費用を書面で確認しておくのが安全です。委託契約で見積書に表れない条件を洗い出す考え方は、見積書のチェックポイントと同じ発想が使えます。

EC事業者に効く理由｜委託する側とされる側の両方に関わる

「うちはメーカーでも製造業でもないから関係ない」と読み飛ばしてしまいがちですが、EC事業者はサプライチェーンの中間に位置します。仕入先から見れば取引先であり、卸先から見れば供給元です。

選ばれる側として

卸販売やB2B取引を行っている場合、取引先から対策状況の提示を求められる場面が増えます。制度が始まれば、共通の基準で示せるかどうかが取引条件に影響しえます。公表資料でも、サプライチェーン対策に取り組む企業として取引先との信頼性向上につながる点が参加メリットに挙げられています。

選ぶ側として

倉庫・配送・受注管理を外部に委託している場合、委託先のセキュリティ水準は自社のリスクです。カートと倉庫をAPI連携でつないでいれば、注文情報と配送先情報が行き来します。委託先選定の観点は3PLや初めての外注化に整理していますが、今後はここに★の水準という共通指標が加わる可能性があります。

EC事業者の日常業務で外部とやり取りしている情報を並べると、範囲の広さが見えてきます。注文者の氏名・住所・電話番号、配送伝票の番号、在庫データ、そして請求に関わる情報。これらはカート、受注管理、倉庫、配送会社のシステムを横断して流れます。どこか1か所で漏れれば、出所を問わず自社の問題として扱われるのが実態です。委託によって作業は手を離れますが、説明責任までは手を離れません。

個人情報保護法の改正とも地続き

配送先情報は個人情報です。令和8年の改正個人情報保護法への対応と、セキュリティ対策の可視化は同じ土台の上にあります。改正の中身は改正個人情報保護法2026に、不正取引への官民連携は不正取引情報の共有の回にまとめました。委託先の管理という点では、外注先への条件明示の論点とも重なります。

参加を判断する3つの軸

実証事業への参加は任意です。手を挙げるかどうかは、次の3点で判断できます。

1. B2B取引の比率——卸・OEM・法人向け販売の比率が高いほど、★の提示を求められる確率は上がります。B2C専業であれば優先度は下がります。
2. 社内に手を動かせる人がいるか——支援は受けられますが、社内の作業がゼロになるわけではありません。担当者を1人立てられるかが分かれ目です。
3. 1年後の体制を決められるか——実証期間の終了後も対策を維持する前提が置けるか。一時的に★を取って、翌年に運用が止まるのでは意味がありません。

申込前に確認しておく5項目

• 対象要件——IPAの紹介ページに記載された「本実証事業における中小企業等の定義」に自社が当てはまるか。
• 提供範囲——選んだ事業者のサービスが、★3と★4のどちらまでをカバーするか。
• 社内の稼働——資料の準備や設定変更に、どの程度の工数を見込むか。
• 期間後の扱い——実証終了後に継続する場合の費用と条件。
• 既存契約との重複——すでに契約しているセキュリティサービスと範囲が重ならないか。

この5点は、参加する・しないのどちらに転んでも棚卸しとして残ります。実証に参加しない場合でも、社内で一度整理しておく価値はあります。

コスト面の位置づけ

2026年は、中小企業向けの支援策が同時期に複数動いています。最低賃金引上げへの支援策や価格転嫁の取り組みと同様、サプライチェーン全体の底上げを狙う流れの一部です。中小企業庁はサプライチェーン全体での支払の適正化についても事業者団体へ要請しており、取引条件と対策水準の両面から環境整備が進んでいます。

システム側の足元も見ておく

制度対応の前に、自社で使っているシステムの棚卸しが要ります。どのシステムがどの情報を持ち、誰がアクセスできるか。物流システムの種類やECカートと発送代行の連携を見取り図にすると、範囲を切り分けやすくなります。STOCKCREWの場合、SCシステム側で必要な接続準備は当社が行うため、お客様側で追加のネットワーク設定は不要です。EC物流の工程をどこまで外に出すかの判断材料として、料金の一覧も併せて見ておくと全体像がつかめます。

まとめ：★の要請が来てから動くと間に合わない

経済産業省とIPAは2026年9月15日、「サイバーセキュリティお助け隊サービス（新類型）」の実証事業を開始しました。IPA認定の15社が支援にあたり、参加する中小企業はSCS評価制度の★3または★4を取得するための対策を、実証期間中（最大で1年程度）は無料で受けられます。実証期間は2026年9月頃から2027年9月頃まで、制度自体の開始は2026年度末頃が予定されています。

EC事業者にとっての論点は、サプライチェーンの中間に位置する以上、選ばれる側としても選ぶ側としても対策水準の説明を求められる点にあります。無料の範囲は「制度の対策範囲」と「実証期間」の2条件に限られるため、申込前の確認は欠かせません。委託先を含めた体制の組み方は発送代行の選定軸から、STOCKCREWのシステム面の仕様はSTOCKCREWの解説から確認できます。連携条件を具体的に詰めたい場合は資料ダウンロードとお問い合わせをご利用ください。