2026年は、日本のサイバーセキュリティ制度が大きく動く年です。10月1日には「サイバー対処能力強化法」の主要な規定が施行され、能動的サイバー防御の運用が始まります。あわせて、企業の対策水準を可視化する「SCS評価制度」が、令和8年度（2026年度）末頃の申請受付開始を目指しています。これらの動きは、取引先との関係を通じて、民間企業に広く関わってくると考えられます。

この記事では、当社の公式ブログ記事と関連する研修コースを、「なぜ今か」から「学びの第一歩」までの順に並べてご紹介します。点でつまみ読みするのではなく、一本の線としてたどると、制度と人材育成のつながりが見えてきます。大きな流れをこの記事で把握いただき、それぞれの詳細は紹介している別記事を読んでいただく形で活用ください。

※本記事の内容は、2026年6月30日時点で公表されている情報に基づきます。最新情報は各府省およびIPAの公式サイトでご確認ください。

図1：当社ブログ記事・研修コース8本でたどる学習導線（上から順にお読みください）
※赤＝出発点（今向き合うべき現実）

目次

なぜ今、備えるのか - 民間企業を襲うランサムウェアの現実

制度の話に入る前に、現場の現実を物語でイメージしてください。架空の製造業がランサムウェア攻撃を受け、復旧に3か月を要するまでを描いた記事です。一人情シス、更新を放置したVPN機器、つなぎっぱなしのバックアップなど、どこにでもある落とし穴が重なります。警察庁の統計では、令和6年（2024年）の被害222件のうち、約63パーセントが中小企業でした。規模の小さい会社が、取引のつながりを通じて狙われやすい現実があるといえます。

ランサムウェア被害の多くは中小企業：一人情シス・VPN更新放置が招いた試練の3ヶ月間
ある中堅の製造業企業がランサムウェア攻撃を受け、会社が完全復旧するまでに3ヶ月を要した架空のストーリーを通して、特にずさんな対応をしているわけではない企業でも直面しうる事態について紹介します。

国が動いた - 能動的サイバー防御という転換

被害の現実を押さえたら、国の対応を見ます。2026年10月1日に施行される「サイバー対処能力強化法」と、その核心である能動的サイバー防御を解説した記事です。「やられてから対応する」受動的な防御から、政府が主体的に動く能動的なアプローチへの転換を扱い、基幹インフラ事業者・通信事業者・ITベンダーに求められる対応も整理しています。これらは法的な義務づけを含む、国の枠組です。

「能動的サイバー防御」の時代に、組織は何をすべきか？
「能動的サイバー防御」の概要・背景に加えて、企業に求められる行動を事業者タイプ別に解説します。

まず自己宣言から - SECURITY ACTIONと「6か条」

国の枠組とは別に、民間企業が自社の対策水準を外から見えるようにしていく道があります。対策のレベルは★（星）で表され、★1・★2は自社で取組を宣言する「自己宣言」、★3以上は専門家の確認や第三者の評価を伴う「評価」にあたります。前者がSECURITY ACTION、後者が後述のSCS評価制度です。いずれも法的な義務ではなく、任意の取組です。まず全体像をご覧ください（図のなかの伴走者と土台については、のちほど触れます）。

図2：制度の全体像

このうち、最初の一歩がSECURITY ACTION（セキュリティ対策自己宣言）です。IPA（情報処理推進機構）が中小企業向けに運営する制度で、企業が情報セキュリティ対策に取り組むことを自ら宣言します。★1（一つ星）は、「情報セキュリティ6か条」に取り組むことの宣言です。6か条とは、OSやソフトを最新に保つ、ウイルス対策ソフトを入れる、パスワードを強くする、共有設定を見直す、バックアップを取る、攻撃の手口を知る、という基本的な対策です。★2（二つ星）は、これに加えて、自社点検（5分でできる自社診断）と、情報セキュリティ基本方針の策定・公開まで進めます。

ここで大切なのは、IPAが対策状況を審査・認定するものではなく、あくまで「自己宣言」だという点です。だからこそ、ロゴの取得そのものを目的にすると、形だけで終わりかねません。記事は、SECURITY ACTIONを経営者の決意表明と位置づけ、全従業員のリテラシーという土台づくりを要に置いて整理しています。

SECURITY ACTION（セキュリティ対策自己宣言）とは?【2026年版】 - 経営者の決意表明から始める、中小企業のセキュリティ
SECURITY ACTION の概要だけでなく、「なぜこの制度が必要・有効なのか」「取り組むにあたって、何が大事なのか」なども含め、分かりやすく解説します。

取引先とともにつくる - SCS評価制度

自己宣言（★1・★2）の先、★3以上にあたるのがSCS評価制度です。SECURITY ACTIONが「自分で宣言する」段階だとすれば、SCS評価制度は「専門家の確認や第三者の評価を受ける」段階にあたります。対策レベルを★で可視化する任意の制度で、新区分のうち★3・★4は令和8年度（2026年度）末頃の申請受付開始が予定されています（★5は今後具体化される見込みです）。取引先との信頼関係を築き、サプライチェーン全体で対策水準をともに高めていくための、共通のものさしになると考えられます。多くの民間企業がまず目指す★3に、専門家の確認と経営層の関与が組み込まれている点を、4ステップで説明した記事です。

SCS評価制度とは？★3取得を見据えた専門家要件と社内育成の進め方【2026年版】
2026年10月施行の「サイバー対処能力強化法」と、これと連動する「SCS評価制度」（2026年度末頃運用開始）について、企業のセキュリティ人材育成担当者向けに分かりやすくお伝えします。

制度を担う人材 - 登録セキスペとCCT

任意の取り組みであっても、専門家の確認や日々の運用を担う人がいなければ、対策は形になりません。先ほどの全体像の図で、全段に並走していた「伴走者」が、ここで効いてきます。★3の「専門家確認」を担える資格の一つが、情報処理安全確保支援士（登録セキスペ）です。日本のサイバーセキュリティ分野で唯一の国家資格で、対策を一度きりの「点」ではなく走り続ける「線」と捉え、それに並走する「伴走者」と位置づける視点が軸の記事です。さらに、その次の一手として、EC-CouncilのCCT（Certified Cybersecurity Technician）を紹介する記事もあわせてご覧ください。合格後に感じやすい「知識はあるが、手を動かして学んだ実感に乏しい」というギャップを、豊富なハンズオンで埋めるもので、管理職やベンダーマネジメント担当が現場感覚を得るのに向く、という切り口です。

情報処理安全確保支援士（登録セキスペ）とは？点ではなく線で考える【2026年版】
情報処理安全確保支援士（登録セキスペ）について、資格や試験について解説するほか、組織の中での「伴走者」としての役割についてお伝えします。

情報処理安全確保支援士（登録セキスペ）の次の一手：CCTで“現場感覚”を身につける
CCTは、情報処理安全確保支援士試験合格後の次のステップとしておすすめの資格です。その理由や資格の概要について解説します。

侵入を前提とした体制 - SOCとCSIRT

人材を育てたら、それを活かす体制が要ります。「侵入される前提」での検知・対応の中核として、SOC（Security Operations Center）とCSIRT（Computer Security Incident Response Team）の違いを整理し、SOCアナリストのスキル階層（ティア1からティア3とマネージャー）に応じた育成ロードマップを示す記事です。報告を正しく理解し、次の手を決められる人材が社内に要る、という指摘が中心です。

【サイバー攻撃対策】組織の命運を分けるSOC構築と必須スキル：人材育成のロードマップ
近年のサイバー攻撃・ランサムウェア感染などのインシデント事例紹介からSOC・CSIRTの違い、特にSOC人材の育成ロードマップについて詳しく紹介します。

学びの第一歩 - 能動的サイバー防御入門セミナー

最後に、制度理解の入口となる研修です。能動的サイバー防御の全体像を、関係する組織・主体の役割を通じて俯瞰する講義型コースで、経営企画・法務・総務・情報システム・セキュリティの担当者など、制度の影響を受ける立場の方が対象です（高度なIT専門知識は不要）。提供は1社向け、所要は1日、演習はなく講義のみです。

能動的サイバー防御入門 ～制度の全体像を理解する～（コースコード SCC0665G）

まとめ - 点ではなく、線で

8本をたどると、一つの絵が見えてきます。ランサムの現実（1）に国が能動的サイバー防御で応え（2）、民間企業はまずSECURITY ACTIONの自己宣言から始め（3）、取引先とともに対策水準を高めるSCS評価制度（4）へと任意の取り組みを広げ、それを担う人材を登録セキスペとCCTで育て（5）、侵入を前提とした体制をSOC・CSIRTで整え（6）、その入口として制度を学ぶ（7）、という流れです。

セキュリティ対策は、一度で終わる「点」ではなく、組織で走り続ける「線」だといえます。全従業員のリテラシーという土台の上に、経営から現場まで、それぞれの役割を継続的に育てていくこと、その見取り図として8本をご活用ください。育成計画や研修については、お気軽に当社へご相談ください。

課題がまだ曖昧なところから整理したい方：人材育成お悩み相談室

育成計画や研修をご検討中の方：お問い合わせ窓口

また、社内のセキュリティ人材育成の検討材料の一つとして、「セキュリティ人材育成マップ」をご用意しています。自社でで増強が必要なエリアを大まかに判定し、各エリアでの必要スキルや知識を把握できる資料となっています。

「セキュリティ人材育成マップ」をダウンロードする