自工会・部工会ガイドライン × SCS評価制度 ― 自動車サプライヤーが押さえるべき対応関係
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
自動車業界では、JAMA（日本自動車工業会）とJAPIA（日本自動車部品工業会）が共同で策定した「自動車産業サイバーセキュリティガイドライン（自工会／部工会ガイドライン）」が、2020年版から運用されています。Tier1〜Tier3のサプライヤーは、このガイドラインに基づくレベル評価への対応が事実上の取引条件となっています。
そこに2027年3月頃の運用開始が予定されているSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）が加わると、自動車部品メーカーは「自工会レベル × SCS★」という二重対応を迫られる構図になります。本記事では、両制度の関係を整理し、効率的な対応戦略を解説します。
自工会・部工会ガイドラインの構成
レベル1〜3の評価体系
自工会・部工会ガイドライン（エンタープライズ領域版、最新はV2.3／2025年9月1日公表）は、37項目の要求事項と153項目の達成条件で構成され、達成条件はレベル1〜3の3段階に分かれています。
| レベル | 想定 | 達成条件数 |
|---|---|---|
| Lv1 | 自動車産業として最低限実施すべき水準。全企業が対象 | 50項目 |
| Lv2 | 標準的に目指すべき水準。顧客情報・取引先の技術情報を扱う企業 | Lv1に加え74項目 |
| Lv3 | 到達点として目指すべき水準。機密度の高い情報を大量に扱う企業 | Lv1・2に加え29項目 |
JAMA・JAPIAは、自動車産業に関わるすべての企業がLv1・Lv2を達成することを目標として掲げています。取り扱う情報の重要度によって目標レベルが変わる仕組みです（詳細は自工会・部工会ガイドラインの全体像）。
評価の進め方
自工会・部工会ガイドラインは現状、自己評価方式が中心です。サプライヤーが自己評価シートに記入し、OEMや一次サプライヤーが評価結果を確認する形で運用されてきました。
SCS評価制度との対応関係
公表資料での水準の目安
IPAが公表しているSCS評価制度の水準の目安（ベンチマーク）では、自工会・部工会ガイドラインのレベルとSCS★の関係は次のように示されています。
| SCS評価制度 | 水準の目安（ベンチマーク） | 主な特徴 |
|---|---|---|
| ★3 | 自工会・部工会ガイドLv1、Cyber Essentials | 基礎的な対策と体系的管理 |
| ★4 | 自工会・部工会ガイドLv2〜3、分野別ガイドライン等 | 高度な管理体制と取引先管理 |
| ★5 | ISO/IEC 27001、自工会・部工会ガイドLv3等 | 国際規格水準（要求事項は未公表） |
自工会Lv2〜3をすでに達成している企業は、★4要求事項の多くをカバーできていると考えてよく、ステップアップに必要な工数は限定的です。逆に、Lv1相当にとどまる企業がまず狙うべきは★3です。
重なる領域
両制度で重なる主な領域は次のとおりです。
- 情報セキュリティポリシーの策定と運用
- アクセス制御と多要素認証
- パッチ管理と脆弱性管理
- ログ管理とインシデント検知
- インシデント対応計画と訓練
- 委託先管理（再委託含む）
両制度ともNIST CSFをベースとしているため、コンセプトレベルでは共通する管理策が大半です。
異なる領域
異なる領域も少なからずあります。
- 製造現場OT（制御系）対応：自工会は工場のOT環境（PLC、製造ライン制御）への配慮が強い／SCSは事業所一般を対象
- 車両セキュリティ：自工会は車載ECU・インフォテインメント等の車両側セキュリティに踏み込む／SCSは含まない
- 取引条件への組み込み度合い：自工会は完成車メーカーの調達基準として強く運用／SCSはまだ任意
- 更新サイクル：自工会レベルは内容により更新サイクルが異なる／SCS★3は1年・★4は3年
自動車サプライヤーの対応戦略
Tier1サプライヤー（OEM直接取引）
完成車メーカーの調達基準により自工会Lv2〜3が求められるTier1サプライヤーは、自工会対応をベースにSCS★4を上乗せ取得する戦略が現実的です。
- 既存の自工会Lv2〜3対応のドキュメント・運用記録をSCS★4の証跡に流用
- 不足するのは「取引先管理（委託先のSCS取得促進など）」「サプライチェーン全体の可視化」など
- 第三者評価機関の選定では、自動車業界の知見を持つ機関を優先
Tier2／Tier3サプライヤー
Tier2/Tier3の中小サプライヤーは、自工会Lv1〜2を達成しつつSCS★3を取るケースが多くなる見込みです。
- 自工会Lv1・Lv2の自己評価シートで蓄積した証跡を、SCS★3の評価シートに転用
- 二重対応を避けるため、規程・運用記録は共通化を意識
- 専門家確認のタイミングで、自工会対応とSCS対応を一括レビュー
部品工業会未加盟の中小製造業
自工会・部工会ガイドラインに直接的な拘束を受けないが自動車向け取引のある中小製造業は、SCS★3を先行取得しておくと、将来的にOEMやTier1から評価を求められた際にスムーズに対応できます。
対応を効率化する3つの実装方針
方針1：規程・文書の共通化
自工会対応とSCS対応で別々の規程・記録を作ると運用が破綻します。情報セキュリティ規程は1つに統合し、各制度の要求事項マッピング表を別添で整備するのが効率的です。
方針2：年次サイクルの統合
自工会の自己評価とSCSの自己評価を別々のタイミングで実施すると工数が倍増します。年次セキュリティ評価サイクルを統一し、1回の評価活動で両制度の証跡を整える設計にします。
方針3：委託先管理の共通化
自工会もSCSも委託先管理を求めています。重要委託先リスト・年次評価シート・契約書テンプレートを共通化し、両制度の要件を同時に満たします（委託先管理の実装ガイド参照）。
OT・制御系セキュリティの扱い
自動車サプライヤー特有の論点として、製造現場のOT（Operational Technology）セキュリティがあります。SCS評価制度の★3・★4では明示的にOT環境への要件は規定されていませんが、製造業のサプライチェーン参加企業として実態的にはOTを含む対策が求められます。
- 工場LANと事務所LANのネットワーク分離
- 製造ラインのPCのリプレース計画
- 古いOSが必要な制御端末の隔離
- USBメモリ等の外部媒体管理
OTセキュリティは★4の「ネットワークセグメンテーション」「アクセス制御」「マルウェア対策」の領域で間接的に評価されるため、自工会対応で実装した内容をSCS評価シートに紐付けて記載します。
政府調達・防衛との関係
自動車業界には、防衛省向け車両（特殊車両、装備品搭載車両）を扱うサプライヤーも存在します。これらの企業は防衛装備品調達基準（NIST SP 800-171相当）への対応が別途求められるため、自工会×SCS×防衛調達の三重対応が論点になります。
詳細は防衛装備品調達基準×SCS評価制度も合わせてご覧ください。
情シス365による自動車サプライヤー支援
情シス365では、自動車部品メーカー・サプライヤー向けに次の支援を提供しています。
- 自工会Lv1〜Lv3とSCS★3〜★4の同時取得計画策定
- 規程・運用記録の共通化設計
- OT環境を含めたネットワーク分離の実装
- 委託先管理の共通フレーム整備
- 専門家確認・第三者評価機関対応の伴走
自動車サプライヤーのSCS対応に関する60分無料相談はこちら →