物流・運輸業 × SCS評価制度 ― 荷主から求められる前に押さえるべき論点
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
物流・運輸業は、SCS評価制度において二重の立場に置かれます。
ひとつは重要インフラの一角としての立場。政府が定める重要インフラ15分野には物流が含まれており、社会機能の維持に不可欠な事業者として位置づけられています。もうひとつは荷主のサプライヤーとしての立場。メーカーや小売業の物流を請け負う事業者は、荷主のサプライチェーンの一部として評価対象になります。
この記事では、物流・運輸業がSCS評価制度にどう向き合うべきかを、業界特有の論点に沿って整理します。
なぜ物流でセキュリティが問われるのか
物流業のシステム停止は、そのまま荷物が動かなくなることを意味します。倉庫管理システム（WMS）が止まれば入出庫作業が止まり、配車システムが止まれば車両が出せません。復旧まで手作業で凌ぐにも限界があります。
実際、国内でも港湾のシステムがランサムウェア被害を受けてコンテナの搬出入が停止し、サプライチェーン全体に影響が及んだ事例があります。「うちは荷物を運ぶだけでITは関係ない」という時代ではないというのが、荷主側の共通認識になりつつあります。
加えて、共同配送やデータ連携の進展により、荷主のシステムと物流事業者のシステムが直接つながるケースが増えました。接続点はそのまま攻撃経路になり得るため、荷主が物流事業者のセキュリティ水準を確認する動機は年々強くなっています。
目標★の選び方
| 立場 | 想定される目標 | 理由 |
|---|---|---|
| 重要インフラに該当する物流事業者 | ★4〜★5 | 社会機能維持の観点から高い水準が想定される（★5の要求事項は未公表） |
| 大手荷主の物流を包括受託する3PL事業者 | ★4 | 荷主システムとの接続、大量の取引データを保有 |
| 中堅の運送会社・倉庫会社 | ★3 | 基礎的な対策の実装と可視化から |
| 地場の運送事業者 | ★3 | まずは★3を確実に |
重要インフラ事業者本体とそのサプライヤーの関係は重要インフラ × SCS評価制度で詳しく扱っています。
物流業特有の7つの論点
1. WMS / TMS と荷主システムの接続
荷主とのEDI連携、API連携、専用線・VPN接続——これらの接続点は、★3の「自社の資産が接続している他社システムを把握する仕組みを整備し、年1回以上点検すること」に該当します。
まず接続の一覧を作ってください。 相手先、接続方式、使用しているアカウント、開始時期、担当者。この一覧がないまま「取引先管理はできている」と自己評価しても、確認の段階で崩れます。
古いVPN装置が残っていないかも要確認です。サポートが終了した機器の脆弱性は侵入経路の定番であり、サポート期限切れ機器の利用停止・更改は★4の要求事項です（VPN機器からの侵入対策）。
2. 倉庫のマテハン機器・自動倉庫（OT）
自動倉庫、ソーター、コンベア、AGV——これらの制御システムは、事務所のIT環境とは別の管理下にあることがほとんどです。ベンダー保守のためリモート接続口が開いているケースもあります。
対応の方向性は製造業の工場と同じです。事務所ネットワークと制御系ネットワークを分離し、接続点を管理すること。ネットワークセグメンテーションは★4の要求事項ですが、★3の段階でも「どこがどうつながっているか」を把握しておく必要があります（工場・OT環境 × SCS評価制度、VLANとネットワークセグメンテーション）。
保守ベンダーのリモート接続は、委託先管理の対象でもあります。接続元・接続時間・作業内容が記録される形にしておくと、★4の年次確認にも耐えられます。
3. 複数拠点の管理
営業所・センター・倉庫が分散し、各拠点のIT環境が個別に育ってきた——物流業でよくある状態です。★3では資産台帳もパッチ運用もマルウェア対策も、全拠点で統一されていることが前提になります。
拠点ごとに異なるルーター、拠点ごとに買ったウイルス対策ソフト、拠点で管理しているファイルサーバ。これらをクラウドと統合管理に寄せることが、対策コストと維持工数の両方を下げる王道です（多拠点IT運用の設計）。
4. パート・アルバイト・ドライバーのアカウント
現場の入退社頻度が高く、アカウントの棚卸しが追いつかないのが物流業の実情です。★3の「退職者アカウントの速やかな削除・無効化」は、人事プロセスと連動していないと必ず破綻します。
対策はシンプルで、退職・異動の連絡経路を一本化し、月次でアカウント一覧と人事名簿を突き合わせること。この突合記録がそのまま証跡になります（退職時のIT対応）。
共有アカウントで倉庫端末を運用している場合は、少なくとも誰がいつ使ったかを記録できる運用に切り替える設計を検討してください。
5. 車載機器・デジタコ・スマートフォン
デジタルタコグラフ、運行管理端末、ドライバーのスマートフォン。これらは資産台帳の対象であり、紛失時の対応も問われます。位置情報や配送先情報は、荷主から見れば十分に機密情報です。
モバイル端末は、リモートワイプができる管理下に置くのが基本線です。Intune / GWSのエンドポイント管理で管理対象にすれば、資産台帳と紛失対応の両方が同時に片付きます。
6. 24時間稼働とパッチ適用の両立
「止められないから更新できない」は、物流業で最も切実な課題です。★3ではパッチを適用する運用が確立されていることが求められますが、これは「常に最新であること」ではなく、適用の仕組みと運用があることを意味します。
現実的には、更新リングを分けて閑散時間帯に段階適用する設計にし、適用できない機器については理由と代替策（ネットワーク分離、アクセス制限）を文書化します。適用できない事実そのものより、把握されず放置されている状態が問題視されます。
7. BCPとの接続
物流業はもともとBCPの意識が高い業界です。★3の「事業継続上重要なシステムについて業務の目標復旧レベルを定め、必要な対策（待機系、電話・FAX等の代替手段）を整備する」という要求事項は、既存のBCPを流用できる部分です。
ただし、サイバー攻撃を想定した記載になっているかは要確認です。地震・水害を前提としたBCPは「拠点が使えない」想定であり、「システムは動くがデータが暗号化された」想定が抜けていることが多くあります。ここを補うだけで要求事項に近づきます（バックアップとリストアの実装）。
進め方（★3・6か月モデル）
| 時期 | やること |
|---|---|
| 1か月目 | セルフチェックで現状把握。評価範囲（本社・センター・営業所）を決定 |
| 2〜3か月目 | 全拠点のアカウント・端末の棚卸し、MFA適用、マルウェア対策とパッチ運用の統一 |
| 3〜4か月目 | 荷主・ベンダーとの接続一覧の作成、保守リモート接続の管理、倉庫OTとの境界確認 |
| 4〜5か月目 | 規程・台帳・インシデント対応手順の文書化、人事連動のアカウント棚卸し運用の開始 |
| 5〜6か月目 | 教育・訓練の実施と記録、バックアップの遠隔地保管とリストア手順書の整備、BCPのサイバー版追記 |
情シス365による支援
情シス365では、多拠点を持つ物流事業者のIT運用とSCS対応をあわせて支援しています。
- 多拠点の統合管理： 拠点ごとにバラバラな端末・回線・アカウントをクラウド管理に統合
- 接続点の可視化： 荷主・ベンダーとの接続を一覧化し、年次点検の運用に落とす
- OT境界の設計： 事務所ネットワークとマテハン制御系の分離設計
- アカウント運用： 入退社の多い現場に耐えるアカウント棚卸しの仕組み化
物流業のIT課題全般は物流業のIT支援もご覧ください。
まとめ
- 物流は重要インフラ15分野の一角であり、同時に荷主のサプライヤーでもある二重の立場
- 中堅・地場の事業者はまず★3。3PLや重要インフラ該当事業者は★4以上が視野に入る
- 特有の論点は、荷主システムとの接続点／倉庫OT／多拠点／入退社の多いアカウント／車載端末／24時間稼働下のパッチ適用
- パッチは「常に最新」ではなく**「適用する仕組みと運用があること」**。適用できない機器は理由と代替策を文書化する
- 既存のBCPは流用できるが、サイバー攻撃想定（データが暗号化される想定）が抜けていないかを確認する
参考リンク：