「SCS評価制度の開始に向けて、どのようなバックアップを取っておけば良いのか?」という相談をいただくことが増えてきました。
今回はSCS評価制度(サプライチェーン強化に向けたセキュリティ対策評価制度)において「最低限取得が必要」と言われている★3について、バックアップの観点で具体的にどのように対応するべきかを検討します。
# サプライチェーン強化に向けたセキュリティ対策評価制度(SCS評価制度)とバックアップ
SCS評価制度は、経済産業省がサプライチェーン全体のセキュリティ強化と可視化を目的として開始を検討している制度です。令和8年度末(2027年3月末)の一部開始を目指して準備が進められています。
参考:「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針(案)」(SCS評価制度の構築方針(案))を公表しました(2025年12月26日)
この制度では、企業のセキュリティ対策状況を★3~★5の3段階で評価します。★を取得しておくことで、取引先に自社のセキュリティ対策状況を簡単に伝えることができるようになります。
特に★3は「全てのサプライチェーン企業が最低限実装すべきセキュリティ対策」となっており、文字通り全企業が最低限クリアしておきたい水準です。
では、★3を取得するには具体的に何を行えばよいのでしょうか?2025年12月26日に公開された要求事項と評価基準案のうち、バックアップに直接関連する項目を詳しく見ていきましょう。

(サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針(案) - 別添 ★3・★4要求事項及び評価基準案(経済産業省)より一部を抜粋)
# 4-3-4-1.「取得対象、取得頻度及び保管期間を定めて自組織で取り扱うデータのバックアップを取得すること。」
まず基本となるバックアップのルール決めです。これは、Arcserve 製品をご利用いただいている方にはおなじみの考え方かもしれません。
取得対象:パソコンやサーバ、クラウドなど自社の情報資産を洗い出し、保護すべきデータを特定します。
取得頻度:情報システムの更新頻度に合わせて決定します。毎日使う(更新頻度の多い)システムはバックアップも毎日行う必要があるでしょうし、もし月に1回しか使われないシステムであればバックアップの頻度も月に1回で十分です。
保管期間:サイバー攻撃を意識したバックアップでは重要なポイントです。ランサムウェア等の被害は攻撃を受けてから発覚するまでにタイムラグがあります。被害拡大前の安全な状態に戻すためにも。バックアップ データを世代管理し、古いバックアップ データも一定期間保管しておきましょう。
参考:Arcserve UDP(Windows エージェント)の初期設定
Arcserve UDP では、すぐにバックアップ運用が開始できるよう、以下のような初期設定になっています。バックアップ ポリシー策定の参考にしてください。
- 取得対象:すべてのボリューム
- 取得頻度:毎日1回
- 保管期間:7日間
<関連記事>
バックアップを始める前に考える 3W2H