|
SecurityScorecardは、対象組織の内部環境へログインすることなく、インターネット上の公開資産への非侵入型スキャンや外部データをもとに、セキュリティ状態をA〜Fで評価する米国SecurityScorecard社のサービスです。 検出された問題は10のファクターに分類され、ファクター別スコアと総合スコアが日次で更新されます。取引先から自社のスコアを提示された場合は、どのIssueや資産が影響しているかを正しく把握することが改善の第一歩です。 IPAが運営するSCS評価制度との違いは、記事後半および関連記事でご確認いただけます。 |
取引先やグループ会社からSecurityScorecardのスコアを提示された際に、次のような疑問を持つ担当者もいるでしょう。
- SecurityScorecardは、何を根拠にスコアを算出しているのか
- 評価対象となる10項目には、それぞれ何が含まれるのか
- 問題を修正したのに、スコアにすぐ反映されないのはなぜか
- 自社がスコア付けされていることに気づいていなかった場合、どう対応すればよいか
この記事では、SecurityScorecardの評価項目とスコア算出の仕組みを中心に解説します。
SecurityScorecardとは
SecurityScorecardは、米国SecurityScorecard社が提供する、企業のサイバーセキュリティ状態を外部から評価するSaaS型プラットフォームです。
対象組織の内部環境へログインしたり、コードを実行したりする侵入型診断ではなく、インターネット上に公開されたシステムへの非侵入型スキャン、独自センサー、提携先のデータ、OSINTなどから収集した情報をもとに評価します。
SecurityScorecardは、組織のドメインを起点に関連するIPアドレスやドメインを特定し、「Digital Footprint（デジタルフットプリント）」としてひも付けます。この仕組みにより、自社だけでなく、グループ会社や取引先などの外部セキュリティ状態も継続的に確認できます。
- 取引先・委託先のサイバーリスク評価（サードパーティリスクマネジメント）
- M&A実施前のサイバーセキュリティデューデリジェンス
- サイバー保険の契約可否や保険料を検討する際の参考情報
- 経営層・株主向けのセキュリティ状況の可視化
- 自社のセキュリティ対策状況のセルフチェック
スコアを構成する10のファクター（評価項目）
SecurityScorecardは、検出した問題（Issue）を次の10のファクターに分類し、ファクターごとの数値スコアと組織全体の総合スコアを算出します。
スコアの算出では、Issue typeごとの重要度、検出されたfindingの数、Digital Footprintの規模、同程度の規模を持つ組織との比較などが考慮されます。総合スコアは、10のファクタースコアを単純に合計したものではありません。
| ファクター | 内容 |
|---|---|
| Network Security（ネットワークセキュリティ） | 不正アクセスや誤用、改ざん、妨害を防ぐための、 安全でない設定や、適切に適用されていないセキュリティポリシーを検出 |
| DNS Health（DNSの健全性） | ドメインのパッシブDNS履歴における、安全でない設定・脆弱性・不審なイベントを検出 |
| Patching Cadence（パッチ適用状況） | セキュリティ更新プログラムを適用する速さを測定 |
| Endpoint Security（エンドポイントセキュリティ） | PC・モバイル端末・仮想デスクトップなど、保護されていないエンドポイントを検出 |
| IP Reputation（IPレピュテーション） | マルウェアやスパムの発信など、ネットワーク内の不審な活動を検出 |
| Application Security（アプリケーションセキュリティ） | Webアプリケーションによく見られる脆弱性を検出 |
| Cubit Score | ランサムウェアの標的になりやすい公開リモートアクセスサービスや、 露出したサブドメインなど、複合的なセキュリティ課題を独自ロジックで測定 |
| Hacker Chatter（ハッカーの会話） | ハッカーが利用するサイト・フォーラムなどでの言及の有無を測定 |
| Information Leak（情報漏えい） | 認証情報や機密データの漏えいを、ダークウェブ等での言及・活動から検出 |
| Social Engineering（ソーシャルエンジニアリング） | フィッシングなど、従業員を欺いて情報を引き出す攻撃への備えを測定 |
スコアに影響するIssue typeには「High（高）」「Medium（中）」「Low（低）」の深刻度が設定され、深刻度や検出数に応じた重みがスコアへ反映されます。
一方、SecurityScorecardには、確認を推奨するもののスコアへ直接影響しない「Informational」や、良好なセキュリティ対策を示す「Positive」のIssue typeもあります。
スコアはどのように更新されるのか
SecurityScorecardは、次の3段階の処理によってスコアを算出・更新しています。
- 信号収集：IPv4アドレス空間全体（約39億件）を10日ごと、1,400以上のポートにわたってスキャン。クラウド資産は所有者が変わりやすいため、より高い頻度で監視
- 関連付け（アトリビューション）：収集した情報をIPアドレスやドメインにひも付け、企業の「Digital Footprint（デジタルフットプリント）」として整理
- 分析：マルウェアの種類特定、CVE（既知の脆弱性情報）の照合などを行い、問題（Issue）として検出
スコアは日次で更新され、採点アルゴリズム自体も四半期ごとに見直し（再校正）が行われます。なお、SecurityScorecard社は、スコア60以下（F評価）の組織は、スコア90〜100（A評価）の組織と比べて統計的に13.8倍侵害を受けやすいとする分析を公表しています（2026年6月時点、同社ヘルプセンターの情報に基づく）。
問題を修正したのに、スコアがすぐに変わらない理由
SecurityScorecardには、検出した問題を管理するための固有の考え方があります。あらかじめ知っておくと、対応後の見え方に戸惑わずに済みます。
- finding（検出事項）：対象となる資産、最終観測日時、Issue typeに関する情報を組み合わせた個別の記録です。スコアに影響するfindingは、解決されるか、Issue typeごとに定められた期間を経てdecayするまでスコアへ影響します。
- decayed finding（減衰した検出事項）：未解決のfindingであっても、一定期間再観測されなかった場合などに、スコアへの影響がなくなった状態です。decayまでの期間はIssue typeによって異なります。
- compensating control（代替統制）：指摘された対策を直接実施することが難しい場合に、別の統制によって同等のリスク低減を図っていることを申告する仕組みです。
- Projected Score（予測スコア）：findingの解決申請やDigital Footprintの変更申請が承認された場合に表示される、変更反映後のスコアの試算値です。
問題を修正した場合は、SecurityScorecard上で解決申請を行います。主な申請方法には、「修正済み」「代替統制がある」「問題を再現できず誤検知と考えられる」などがあります。
申請後の再検証方法や反映時期はIssue typeによって異なります。外部スキャンで修正を確認できるIssue typeもあれば、Patching Cadenceのように、修正後も一定のdecay期間が経過するまでfindingが残るものもあります。
自社がスコア付けされていることに気づいていなかった場合
SecurityScorecardは、対象組織の同意や申請を必要とせず、インターネット上で観測できる情報をもとにスコアを算出する仕組みのため、取引先や投資家などの第三者が、自社を評価対象として閲覧しているケースがあります。
自社のScorecardに心当たりがない場合は、次の対応を検討しましょう。
- SecurityScorecardのアカウントを作成し、自社のScorecardを確認する
- Digital Footprintに含まれる資産が、実際に自社の管理下にあるかを確認する
- 現在使用していない資産や、他社の資産が誤ってひも付いている場合は、修正を申請する
- 検出された問題（finding）ごとに、対応の要否とcompensating controlの適用可否を検討する
SCS評価制度との違いは？
SecurityScorecardは民間企業が提供する評価サービスであり、経済産業省・内閣官房国家サイバー統括室の監督のもとIPAが運営するSCS評価制度とは、運営主体も評価方法も異なります。
SecurityScorecardは対象組織の同意なく外部から自動的にスコアを算出するのに対し、SCS評価制度は組織が任意で申請し、要求事項・評価基準への対応状況を専門家・評価機関が確認する仕組みです。スコアの高低だけでSCS評価制度の★3・★4の取得可否が決まるわけではありません。
両者の詳しい違いや、SCS評価制度の概要・★3〜★5の位置付けについては、関連記事「SCS評価制度とは？経産省が進めるサプライチェーンセキュリティ評価と企業が今すぐ始めるべき対策」で解説しています。
よくある質問（FAQ）
Q. スコアが急に下がりました。原因を調べるにはどうすればよいですか？
SecurityScorecardのアカウントで自社のScorecardを確認し、Issuesタブに表示される検出事項（finding）を、深刻度（高・中・低）が高いものから順に確認します。あわせて、Digital Footprintに自社と無関係の資産がひも付いていないかも確認しましょう。
Q. 問題を修正しましたが、スコアに反映されません。なぜですか？
Issue typeによって、スキャンの頻度やスコアから外れるまでの期間が異なるためです。
修正済みとして解決申請できるfindingでは、申請後に再検証が行われます。一方、Patching Cadenceなど過去の対応速度を示すfindingは、修正後も所定のdecay期間が経過するまで残る場合があります。
対象のIssue typeに表示される解決方法とdecay期間を確認し、必要に応じて「修正済み」「代替統制」「誤検知」のいずれかで申請しましょう。
Q. 該当する対策をそのまま実施できない事情があります。どうすればよいですか？
「compensating control（代替統制）」として、同等のリスク低減策を実施していることを申告できる場合があります。該当する統制の有無をご確認ください。
Q. SecurityScorecardのスコアは、公的な資格や認証ですか？
いいえ。SecurityScorecardは民間企業が独自に提供する評価サービスであり、公的な資格や認証制度ではありません。経済産業省と内閣官房国家サイバー統括室の監督のもとIPAが運営するSCS評価制度とは別の仕組みです。
🔶外部評価サービスの指摘内容の確認・改善をご支援します
SecurityScorecardなどの外部評価サービスで指摘を受けても、
どのサーバーや設定が原因なのか分からなければ、適切な対応は進められません。
フューチャースピリッツでは、Webサイト、サーバー、クラウド環境の現状を確認し、
設定変更、運用改善、インフラ移行を含めた対策をご支援しています。
まとめ
SecurityScorecardは、ネットワークセキュリティ、DNSの健全性、パッチ適用状況など10のファクターに基づき、外部から観測できる情報をもとにA〜Fでスコアを算出する、民間企業のセキュリティ評価サービスです。
スコアは日次で更新されます。findingは、解決申請が承認されるか、Issue typeごとに定められた期間を経てdecayすると、スコアへ影響しなくなります。
また、指摘された対策を直接実施できない場合には、「compensating control（代替統制）」を申告できることがあります。こうしたSecurityScorecard独自の仕組みを理解しておくと、指摘への対応を進めやすくなります。
IPAが運営するSCS評価制度とは別の仕組みであるため、スコアの改善だけでSCS評価制度の要求事項を満たせるわけではありません。SCS評価制度の概要については、本文中で紹介している関連記事もあわせてご覧ください。
