サプライチェーンリスクマネジメント（SCRM）

SCRMとは、ひとことで言えば、製品・サービス・部品の調達経路全体に潜むセキュリティリスクを特定・評価・対応する管理活動です。たとえば、ソフトウェアの第三者ライブラリにバックドアが仕込まれるSolarWinds事件のような「ソフトウェアサプライチェーン攻撃」が代表的な脅威です。自社の防御がいくら堅牢でも、信頼するベンダーが侵害されれば被害が連鎖するため、SBOM（ソフトウェア部品表）の整備、ベンダー監査、契約上のセキュリティ要件付与などの取り組みが重視されています。NIST SP 800-161が代表的なガイダンスです。

SCS評価制度との関係

経済産業省・IPAのSCS評価制度は、サプライチェーンを構成する企業等のIT基盤におけるセキュリティ対策を共通の基準で確認する任意制度です。SCRM全体を評価するものではありません。対象範囲、★3・★4の違い、対応準備はSCS評価制度の解説をご覧ください。