تصنيف SCS الياباني سيفرز المورّدين: ما يحتاج المديرون التنفيذيون إلى معرفته عن متطلب ★ يمتد نزولًا إلى مورّدي المستوى 3، وما يحدث للشركات التي لا تستوفيه

في مارس 2027 يُفتح باب الطلبات في نظام تصنيف SCS (نظام التصنيف الأمني لتعزيز سلاسل التوريد) الذي تديره IPA، وكالة تعزيز تكنولوجيا المعلومات في اليابان. وفي 28 أكتوبر 2026 نُشرت أدلة التقييم والدليل التوضيحي، فباتت مضامين النظام محسومة الآن.

بالنسبة إلى المديرين التنفيذيين، ثمة نقطة واحدة هي الأهم: صُمّم النظام ليمتد لا إلى مورّدي المستوى 1 الذين يتعاملون مباشرة مع الشركات الكبرى فحسب، بل نزولًا إلى مورّدي المستويين 2 و3 أيضًا. فما إن تُدرج شركة كبيرة عبارة «★3 أو أعلى» في معايير المشتريات لديها، حتى يتعذّر اختيار الشركات التي لا تستوفي المعيار كمورّدين. ولأن مورّد المستوى 1 الذي يريد ★4 يجب عليه، بموجب المتطلبات، أن يعرف الوضع الأمني لمورّديه هو (المستوى 2)، فإن المتطلب يواصل التدفق نزولًا عبر السلسلة.

هذا المقال موجّه إلى المديرين التنفيذيين على الجانبين: من سيُطلب منهم ★ شرطًا للتعامل التجاري، ومن سيطلبونه. واستنادًا إلى الوثائق الأساسية (وثائق النظام الصادرة عن IPA)، يتناول المقال طريقة عمل النظام، وسبب امتداده، وما يحدث للشركات التي لا تستوفيه، والقرارات الواجب اتخاذها، والتكلفة والوقت اللازمين. وتجد التفاصيل التقنية في الدليل الموجّه إلى المهندسين، ومقدمة عن النظام في الدليل العام.

هذا المقال منشور أيضًا بالإنجليزية على sitescouter.net وnkzw.jp، وباليابانية على sitescouter.net. هذه هي النسخة العربية على Site Scouter، مترجمة عن النسخة الإنجليزية.

ما الذي تقرّر

• تدير IPA النظام تحت إشراف وزارة الاقتصاد والتجارة والصناعة والمكتب الوطني للأمن السيبراني التابع لأمانة مجلس الوزراء. ويستند إلى «سياسة تصميم النظام» الصادرة في مارس 2026
• هناك ثلاثة مستويات: ★3 و★4 و★5. يُثبَت ★3 بالوفاء بـ 26 متطلبًا عبر تقييم ذاتي يؤكده خبير؛ ويُثبَت ★4 بالوفاء بـ 43 متطلبًا عبر تقييم من طرف ثالث مع تحقق تقني. ولا يزال ★5 قيد الدراسة
• مدة صلاحية ★3 هي 1 سنة، و★4 هي 3 سنوات. ورسوم التسجيل المدفوعة إلى IPA هي ¥10,000 سنويًا لـ ★3 (حتى نهاية مارس 2028؛ ثم ¥20,000 بعد ذلك) و¥60,000 لمدة 3 سنوات لـ ★4
• تُدرج الجهات المعتمدة على موقع IPA الإلكتروني، ويحق لها استخدام شعار النظام
• من المقرر أن يُفتح باب الطلبات في مارس 2027. ومن المقرر صدور دليل طلب التسجيل في نهاية نوفمبر 2026، وقائمة جهات التقييم في أواخر ديسمبر، وقائمة الخبراء بدءًا من يناير 2027

لماذا يصل إلى مورّدي المستوى 3

يقول وصف النظام إن «الجهة المُسنِدة تعرض على المورّد مستوى مناسبًا (★)، وتشجعه على تطبيق التدابير، وتتحقق من تطبيقها». يبدو ذلك شأنًا بين شركتين، لكن قراءة المتطلبات تُظهر أن النظام مصمَّم ليمتد نزولًا.

• متطلب ★3 رقم 2-1-1: إنشاء آلية لمعرفة العلاقات بين أصولك والأنظمة التي تديرها جهات أخرى (المورّدون، بمن فيهم العملاء والشركات التابعة والشركات الشقيقة ومزوّدو الخدمات السحابية)
• متطلب ★3 رقم 2-1-4: مع المورّدين الذين تتشارك معهم معلومات سرية، تحديد الأدوار والمسؤوليات عند وقوع حادث
• متطلب ★4 رقم 2-1-3: من منظور مخاطر استمرارية الأعمال ومخاطر إدارة المعلومات، معرفة الوضع الأمني للمورّدين الذين قد يؤثرون في شركتك
• متطلب ★4 رقم 2-1-5: عند انتهاء العقد، استرداد المعلومات السرية وصلاحيات الوصول من المورّد، أو جعله يتلفها

بعبارة أخرى، يجب على مورّد المستوى 1 الذي تطلب منه شركة كبيرة ★4 أن يعرف الوضع الأمني لمورّديه من المستوى 2 كي يحتفظ بـ ★4، وأبسط طريقة لمعرفته هي «أن يحصل مورّدو المستوى 2 على ★ هم أيضًا». وما إن يحصل مورّد من المستوى 2 على ★3، حتى يُلزمه متطلبه 2-1-1 بمعرفة علاقاته بمورّدي المستوى 3. ولأن الفئة 2 من المتطلبات هي «إدارة المورّدين»، فإن بنية النظام تقضي بأن تنتقل النجوم حتى نهاية السلسلة.

ماذا يحدث إن لم تستوفه

تقول الأسئلة الشائعة لدى IPA إن «الحصول على ★ أمر طوعي» وإن «عدم استيفاء كل المتطلبات لا يعني إيقاف الأعمال فورًا». وهذا وصف صحيح للوضع القانوني للنظام.

لكن واقع الأعمال مختلف. فالشركات الكبرى لا تستطيع التعامل مع شركات لا تستوفي معايير المشتريات لديها. وبمجرد أن تنص المعايير على أنه «يجب أن يحوز المورّدون ★3 أو أعلى بموجب نظام تصنيف SCS»، تسقط الشركات التي لا تحوزه من القائمة المختصرة للمورّدين. وليس للمسؤول المعني أي سلطة تقديرية: فالتعاقد مع مورّد لا يستوفي المعيار سيعرّض هذا الشخص والشركة لمخالفة في الامتثال.

ويعزّز تصميم النظام ذلك. فالشركة الحائزة ★4 ملزمة بمعرفة الوضع الأمني لمورّديها، ولذلك لا يمكنها الإبقاء على مورّدين يتعذّر عليها معرفة وضعهم. وفي الأعمال الجديدة يكون ذلك شرطًا منذ البداية؛ وفي الأعمال القائمة يُضاف عند تجديد العقد. وبشأن المشتريات الحكومية، تقول IPA إن «جعله شرطًا في المناقصات أمر يعود إلى الجهة المشترية»، لكن بما أنه نظام حكومي، فمن المعقول توقّع أن تتحرك مشتريات القطاع العام أولًا.

باختصار، هو طوعي بحكم القانون وإلزامي فعليًا في الأعمال. والفجوة بين الشركات التي تستعد قبل أن يطلب عملاؤها والشركات التي تتدافع لاحقًا ستتسع أكثر بمجرد فتح باب الطلبات وامتلاء جداول جهات التقييم والخبراء.

خمسة قرارات للمديرين التنفيذيين

يستطيع الموظفون المضي قدمًا في معظم المتطلبات، لكن النقاط الخمس التالية لا تتحرك حتى تحسمها الإدارة.

1. أي نجمة تستهدف. يتوقف ذلك على ما سيطلبه عملاؤك الرئيسيون. وكقاعدة تقريبية في الوقت الراهن: ★4 إذا كنت تتعامل مباشرة مع شركات كبرى، و★3 إذا كنت مورّدًا من المستوى 2 أو أدنى. ويمكنك أيضًا التقدم إلى ★4 مباشرة دون ★3
2. أي وحدة تُعتمد. في ورقة التقييم تختار الكيان القانوني بأكمله، أو جزءًا منه كقطاع أعمال، أو مجموعة الشركات. وكلما اتسع النطاق ارتفعت تكلفة التدابير؛ وكلما ضاق، تكررت المرات التي سيتعين عليك فيها أن تشرح للعملاء أن «هذا القطاع خارج النطاق»
3. من المسؤول. يطلب متطلب ★3 رقم 1-2-1 تعيين المدير التنفيذي المسؤول عن الأمن (مثل CISO) والإدارة المسؤولة، وتوزيع المسؤوليات والصلاحيات. ويشترط ★4 إضافة إلى ذلك هيئة قادرة على اتخاذ قرارات إدارية، مثل لجنة لأمن المعلومات تشارك فيها الإدارة العليا (1-2-1-4)
4. من يُصدر الإعلان الذاتي عن المطابقة. في كل من ★3 و★4، تُعلن الإدارة في النهاية أننا «مطابقون للمتطلبات». يتحقق الخبراء أو جهات التقييم، لكن مسؤولية الإعلان تقع على عاتق الإدارة
5. بحلول متى. يُفتح باب الطلبات في مارس 2027. والقاعدة التقريبية المتداولة في القطاع هي من 2 إلى 3 أشهر لتطبيق التدابير ومن 1 إلى 2 شهر لإعداد الأدلة. احسب بالعكس انطلاقًا من مواعيد تجديد عقود عملائك لتحديد موعد البدء

التكلفة والوقت الفعليان

تبدو رسوم التسجيل المدفوعة إلى IPA زهيدة، إذ تبلغ ¥10,000 سنويًا لـ ★3، لكنها ليست سوى جزء من التكلفة.

أما من حيث التوقيت، فقد نُشرت ورقة التقييم (نموذج التقييم الذاتي) بالفعل، لذا يمكنك البدء في تقييم وضعك الحالي الآن.

وللشركات الصغيرة والمتوسطة، تُعدّ IPA «خدمة Otasuketai للأمن السيبراني (النوع الجديد)»، وهي خدمة دعم تهدف إلى مساعدة الشركات على الحصول على ★3 و★4 (لا تزال في المرحلة التجريبية حتى أكتوبر 2026).

ما ينبغي فعله هذا الشهر

لا حاجة إلى انتظار فتح باب الطلبات. يمكنك البدء في هذه الأمور الأربعة هذا الشهر.

1. اسأل عملاءك الرئيسيين عن خططهم. اسأل عبر فريق المبيعات: «ما المستوى في نظام تصنيف SCS الذي تعتزمون اشتراطه على المورّدين؟» فأقسام المشتريات لديهم تستعد هي الأخرى، وكلما سألت مبكرًا اتسع هامشك للتفاوض على الشروط
2. عيّن الشخص المسؤول. أنشئ الهيكل التنظيمي الذي يتطلبه المتطلب 1-2-1 وسلّمه ورقة التقييم
3. قيّم وضعك الحالي ذاتيًا. مجرد تعليم البنود الـ 26 بأنها مستوفاة أو غير مستوفاة يُظهر أين ستذهب الأموال. وأكثر البنود التي تتعثر فيها الشركات هي أنظمة التشغيل والبرمجيات المنتهية الدعم، وغياب المصادقة متعددة العوامل، وتأخر التحديثات، وانعدام إجراءات الاستعادة
4. تحقق من صورة شركتك من الخارج. يمكنك التحقق مما إذا كان موقعك الإلكتروني أو خادمك يُعلن إصدارًا قديمًا، دون تسجيل، بمجرد إدخال عنوان URL في فحص معلومات الخادم من Site Scouter. وهذه «النظرة من الخارج» هي أيضًا أول ما ينظر إليه قسم المشتريات لدى العميل

للمديرين التنفيذيين الذين سيطلبون نجمة من المورّدين

إذا كانت شركتك هي المقاول الرئيسي وستطلب ★ من المورّدين، فعليك أن تقرر ما يلي:

• أي مستوى تطلب من أي مورّد. يفترض النظام أن التدابير المطلوبة «تُعرض وفقًا لموقع المورّد في سلسلة التوريد». فلا حاجة إلى طلب المستوى نفسه من مورّد يحتفظ بمعلوماتك السرية ومن مورّد قطع عامة
• صياغة العقد وفترات السماح. يُفتح باب الطلبات في مارس 2027، لذا لا يمكنك جعل «الحصول على الاعتماد مسبقًا» شرطًا قبل ذلك. والشرط المقترن بمهلة، مثل «الحصول على ★3 خلال السنة المالية 2027»، شرط واقعي
• الصلة بـ ★4 الخاص بك. يشترط متطلب ★4 رقم 2-1-3 معرفة الوضع الأمني لمورّديك. فطلب ★ من المورّدين يصبح كذلك دليلًا لـ ★4 الخاص بك
• ما تفعله بقوائم التحقق الخاصة بك. من أهداف النظام إنهاء العبء الواقع على المورّدين بسبب قوائم التحقق المختلفة لدى كل جهة مُسنِدة. واستبدال أجزاء قائمة التحقق لديك التي يمكن أن يغطيها ★ يسهّل كسب تعاون المورّدين

احذر من أساليب البيع الضاغطة

في أبريل 2026، حذّرت وزارة الاقتصاد والتجارة والصناعة وأمانة مجلس الوزراء من أساليب بيع غير لائقة تدّعي أنك «لن تتمكن من ممارسة الأعمال دون تصنيف» أو أن «نحن جهة دعم معتمدة». فلا وجود في النظام لدور اسمه «جهة دعم معتمدة». والأدوار الرسمية أربعة تعيّنها IPA أو تسجّلها: جهات التقييم، ومزوّدو التحقق التقني، ومزوّدو التدريب، وخبراء أمن SCS، وستُنشر قوائمها على موقع IPA الإلكتروني بدءًا من ديسمبر 2026. كما لا تطلب المتطلبات تثبيت أي منتج أمني بعينه. والعرض القائل إن «تثبيت هذا المنتج يمنحك ★» لا يتوافق مع النظام.

والفرق بين ما يسميه القسم 3 من هذا المقال «إلزاميًا فعليًا في الأعمال» وأساليب البيع هذه هو التوقيت والطرف. فإلى أن يدرجه العميل في معايير المشتريات لديه، لا يمكن لأحد فرضه، والآن، قبل فتح باب الطلبات، لا أساس للقول «وقّع اليوم وإلا فاتك الأوان».

ملاحظات منهجية وحدود

يستند هذا المقال إلى موقع النظام لدى IPA، والأسئلة الشائعة، والمتطلبات ومعايير التقييم (SCS-400 Ver.1.1)، والدليل التوضيحي (SCS-620)، وإشعار الرسوم، والبيان الصحفي الصادر في 28 أكتوبر 2026، بحسب ما كان منشورًا في 30 أكتوبر 2026. ومعرّفات المتطلبات ومضمونها مأخوذة من SCS-400 Ver.1.1. والقول الوارد في القسم 3 بأنه يصبح «إلزاميًا فعليًا في الأعمال» هو رأي المؤلف، مستمد من بنية المتطلبات وممارسات المشتريات لدى الشركات الكبرى؛ فيُرجى قراءته بمعزل عن الموقف الرسمي لـ IPA (الحصول على تصنيف أمر طوعي). ولم يُنشر دليل طلب التسجيل بعد، لذا قد تتغير التفاصيل الإجرائية. ويعمل المؤلف في مجال النطاقات والاستضافة والأمن، وليس جهة تقييم ولا خبيرًا ضمن النظام.

الأسئلة الشائعة

هل سيحتاج مورّدو المستوى 3 فعلًا إلى ★؟

يعمل النظام بأن تعرض الجهة المُسنِدة مستوى على مورّدها، دون حدّ لعدد المستويات التي ينزل إليها. ولأن متطلب ★4 رقم 2-1-3 يشترط معرفة الوضع الأمني للمورّدين، فكلما زاد عدد الشركات في المستويات العليا التي تحصل على ★4، اشتد الحافز لطلب ★ من الشركات في المستويات الأدنى.

هل سنخسر أعمالًا إن لم نحصل عليه؟

تقول IPA إن «الحصول على تصنيف أمر طوعي» وإن «الأعمال لا تُوقَف فورًا». ومن جهة أخرى، ما إن يُدرج العميل ★ في معايير المشتريات لديه، حتى يتعذّر عليه التعاقد مع الشركات التي لا تستوفيها. ونوصي بالاستعداد على أساس أنه طوعي بحكم القانون وإلزامي فعليًا في الأعمال.

من يُصدر الإعلان الذاتي عن المطابقة؟

الإدارة. فبعد تأكيد الخبير في ★3، أو تقرير جهة التقييم في ★4، تعلن الإدارة المطابقة للمتطلبات وتتقدم بطلب التسجيل.

إذا كان لدينا ISMS، فهل ما زلنا بحاجة إليه؟

نعم. تصف الأسئلة الشائعة لدى IPA نظام ISMS وهذا النظام بأنهما متكاملان. كما أن التصنيف لا يضمن الامتثال للأطر القانونية الأخرى أو لمعايير القطاع.

ما التكلفة الإجمالية؟

باستثناء رسوم التسجيل لدى IPA (¥10,000 سنويًا لـ ★3، و¥60,000 لمدة 3 سنوات لـ ★4)، لا يرد شيء في جدول رسوم النظام: فالخبراء وجهات التقييم يتقاضون أسعار السوق، وتكلفة التدابير تتوقف على وضعك الحالي. وتعليم بنود التقييم الذاتي بأنها مستوفاة أو غير مستوفاة يمنحك فكرة تقريبية عن تكلفة التدابير.

المراجع

آخر تحقق: 2026-10-30. قد تتغير المواصفات والسياسات؛ يُرجى مراجعة المصادر الأصلية قبل اتخاذ أي إجراء.

• IPA: Security Rating Scheme for Strengthening Supply Chains (SCS rating scheme)
• IPA: Overview of the level-based assessment
• IPA: Requirements and evaluation criteria (SCS-400 Ver.1.1), assessment guides and handbook
• IPA: Frequently asked questions
• IPA: Fee notice (2026-09-18, PDF)
• IPA: Press release on the assessment guides (2026-10-28)
• METI: SCS rating scheme special site (scheme design policy)