2027年度の運用目指し「サイバーセキュリティ・サービス認定制度」中間とりまとめを公表 経産省
経済産業省の「サイバーセキュリティ・サービス事業者の信頼性強化に向けた検討会」は6月5日、創設を検討している「サイバーセキュリティ・サービス認定制度」についての中間とりまとめを公表しました。検討されている新制度は、サイバーセキュリティのサービスを提供する事業者を対象とした、「適切な運営体制」を確認・認定する制度となります。
ペネトレーションテストやデジタルフォレンジックサービスなど、顧客の機微な情報やシステム内部へのアクセスを伴うサイバーセキュリティ・サービスへの需要が増加しています。一方で、そうしたセキュリティ提供事業者の過失や内部不正によって顧客が被害を被る事案が発生しています。具体的には、セキュリティ提供事業者の従業員が脆弱性情報を不当に入手し、報奨金目的で当該企業に報告した事案などがあります。
新制度では、セキュリティ会社の情報管理体制や資本関係を厳格に審査することを目的としています。具体的には「組織・人・ツール・データ」の4つの観点から審査を行います。会社の資本関係や所在地、代表者・役員などの情報を確認し、外国の法的環境による不当な影響を排除します。さらに、従業員を管理する規程の整備、シャドーITを防止するため使用ツールの選定基準や調達基準を明確にすること、データの保管先、アクセス管理なども詳しく調べます。
新制度は、既存の「情報セキュリティサービス審査登録制度」の“2階建て部分”として位置づけられています。1階部分にあたる現行の審査登録制度は、専門知識を持たないユーザーでも一定の「技術・品質」を備えたサービスを適切に選択できるよう支援することを目的とした任意制度です。経済産業省が策定した基準に基づき、審査を通過したサービスが情報処理推進機構（IPA）の「情報セキュリティサービス基準適合サービスリスト」に掲載される仕組みで、「情報セキュリティ監査」や「脆弱性診断」など5つのサービス区分で合計398サービスが登録されています（2026年3月現在）。しかし、現行制度における事業者の運営体制の確認は、「反社会的勢力等への関与がないこと」を最低限確認するにとどまっていました。
そこで新制度は、この現行制度の登録事業者を審査対象とし、その上に高度な情報管理体制などの「適切な運営体制」の要件を2階部分として上乗せする設計となります。政府機関や重要インフラ、安全保障に関係する事業者などが、安全にセキュリティサービスを調達・活用する際の基準となることが想定されています。
審査にあたっては既存の枠組みも積極的に活用します。具体的には、ISMS（情報セキュリティマネジメントシステム）認証の取得と、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）における星4つ（★4）以上の取得を共通要件とすることが検討されています。
経済産業省は今年度内に、具体的な「制度構築方針」と審査基準などを定める「ガイドライン」を策定する方針です。その後、来年度（2027年度）中の制度運用開始を目指すとしています。
