Xếp hạng SCS của Nhật Bản sẽ sàng lọc nhà cung cấp: điều lãnh đạo doanh nghiệp cần biết về một yêu cầu ★ lan xuống đến nhà cung cấp cấp 3, và điều gì xảy ra với các công ty không đáp ứng

Tháng 3 năm 2027, chế độ xếp hạng SCS (Chế độ xếp hạng bảo mật nhằm tăng cường chuỗi cung ứng) do IPA – Cơ quan Xúc tiến Công nghệ Thông tin Nhật Bản (the Information-technology Promotion Agency, Japan) – vận hành sẽ bắt đầu nhận đơn. Ngày 28 tháng 10 năm 2026, các hướng dẫn đánh giá và sổ tay giải thích đã được công bố, và nội dung của chế độ nay đã được ấn định.

Với lãnh đạo doanh nghiệp, có một điểm quan trọng nhất: chế độ được thiết kế để lan xuống không chỉ các nhà cung cấp cấp 1 làm việc trực tiếp với doanh nghiệp lớn, mà cả nhà cung cấp cấp 2 và cấp 3. Một khi doanh nghiệp lớn ghi "★3 trở lên" vào tiêu chuẩn mua sắm, các công ty không đáp ứng tiêu chuẩn sẽ không thể được chọn làm nhà cung cấp nữa. Và vì một nhà cung cấp cấp 1 muốn có ★4, theo các yêu cầu, phải nắm được tình trạng bảo mật của chính các nhà cung cấp của mình (cấp 2), yêu cầu này tiếp tục chảy xuống dọc chuỗi.

Bài viết này dành cho lãnh đạo doanh nghiệp ở cả hai phía: những người sẽ bị yêu cầu có ★ như một điều kiện kinh doanh, và những người sẽ đưa ra yêu cầu đó. Dựa trên tài liệu gốc (tài liệu chế độ của IPA), bài viết trình bày cách chế độ vận hành, vì sao nó lan theo dây chuyền, điều gì xảy ra với các công ty không đáp ứng, những quyết định cần đưa ra, cùng chi phí và thời gian liên quan. Chi tiết kỹ thuật có trong hướng dẫn dành cho kỹ sư và phần giới thiệu chế độ có trong hướng dẫn chung.

Bài viết này cũng được đăng bằng tiếng Anh tại sitescouter.net và nkzw.jp, và bằng tiếng Nhật tại sitescouter.net. Đây là bản tiếng Việt trên Site Scouter, dịch từ bản tiếng Anh.

Những gì đã được quyết định

• IPA vận hành chế độ dưới sự giám sát của Bộ Kinh tế, Thương mại và Công nghiệp và Văn phòng An ninh mạng Quốc gia thuộc Ban Thư ký Nội các. Cơ sở của chế độ là "chính sách thiết kế chế độ" tháng 3 năm 2026
• Có ba cấp độ: ★3, ★4 và ★5. ★3 chứng minh 26 yêu cầu bằng tự đánh giá có chuyên gia xác nhận; ★4 chứng minh 43 yêu cầu bằng đánh giá của bên thứ ba cộng với kiểm chứng kỹ thuật. ★5 vẫn đang được nghiên cứu
• ★3 có hiệu lực 1 năm và ★4 có hiệu lực 3 năm. Phí đăng ký trả cho IPA là ¥10,000 mỗi năm cho ★3 (đến hết tháng 3 năm 2028; sau đó là ¥20,000) và ¥60,000 cho 3 năm đối với ★4
• Các tổ chức được chứng nhận sẽ được đăng trên website của IPA và được sử dụng biểu trưng (logo)
• Việc nhận đơn dự kiến bắt đầu vào tháng 3 năm 2027. Hướng dẫn nộp đơn đăng ký dự kiến ra vào cuối tháng 11 năm 2026, danh sách tổ chức đánh giá vào cuối tháng 12, và danh sách chuyên gia từ tháng 1 năm 2027

Vì sao nó lan đến nhà cung cấp cấp 3

Phần mô tả chế độ nói rằng "bên thuê ngoài đưa ra cấp độ (★) phù hợp cho nhà cung cấp, khuyến khích nhà cung cấp triển khai các biện pháp và kiểm tra việc triển khai". Nghe có vẻ là chuyện giữa hai công ty, nhưng đọc kỹ các yêu cầu sẽ thấy chế độ được thiết kế để lan theo dây chuyền.

• Yêu cầu 2-1-1 của ★3: thiết lập cơ chế để nắm được mối quan hệ giữa tài sản của mình và các hệ thống do tổ chức khác quản lý (nhà cung cấp, bao gồm khách hàng, công ty con, công ty liên kết và nhà cung cấp dịch vụ đám mây)
• Yêu cầu 2-1-4 của ★3: với các nhà cung cấp có chia sẻ thông tin mật, xác định vai trò và trách nhiệm khi xảy ra sự cố
• Yêu cầu 2-1-3 của ★4: từ góc độ rủi ro liên tục kinh doanh và rủi ro quản lý thông tin, nắm được tình trạng bảo mật của các nhà cung cấp có thể ảnh hưởng đến công ty mình
• Yêu cầu 2-1-5 của ★4: khi hợp đồng kết thúc, thu hồi thông tin mật và quyền truy cập từ nhà cung cấp, hoặc yêu cầu họ tiêu hủy

Nói cách khác, một nhà cung cấp cấp 1 được doanh nghiệp lớn yêu cầu ★4 phải nắm được tình trạng bảo mật của các nhà cung cấp cấp 2 để duy trì ★4, và cách đơn giản nhất để nắm được là "yêu cầu các nhà cung cấp cấp 2 cũng lấy ★". Một khi nhà cung cấp cấp 2 có ★3, yêu cầu 2-1-1 buộc họ phải nắm được mối quan hệ với các nhà cung cấp cấp 3. Vì hạng mục 2 của các yêu cầu là "quản lý nhà cung cấp", cấu trúc của chế độ là các ngôi sao đi đến tận cuối chuỗi.

Điều gì xảy ra nếu không đáp ứng

FAQ của IPA nói rằng "việc đạt ★ là tự nguyện" và "không đáp ứng mọi yêu cầu không có nghĩa là hoạt động kinh doanh bị dừng ngay lập tức". Đó là mô tả chính xác về vị thế pháp lý của chế độ.

Thực tế kinh doanh thì khác. Doanh nghiệp lớn không thể giao dịch với các công ty không đáp ứng tiêu chuẩn mua sắm của họ. Ngay khi tiêu chuẩn ghi "nhà cung cấp phải có ★3 trở lên theo chế độ xếp hạng SCS", các công ty không có sẽ rơi khỏi danh sách nhà cung cấp được xem xét. Người phụ trách không có quyền tùy ý: ký hợp đồng với một nhà cung cấp không đạt tiêu chuẩn sẽ khiến bản thân người đó và công ty đối mặt với vi phạm tuân thủ.

Thiết kế của chế độ càng củng cố điều này. Một công ty có ★4 có nghĩa vụ nắm được tình trạng bảo mật của nhà cung cấp, nên không thể giữ lại những nhà cung cấp mà mình không nắm được tình trạng. Với giao dịch mới, đó là điều kiện ngay từ đầu; với giao dịch hiện có, nó được bổ sung khi gia hạn hợp đồng. Về mua sắm công, IPA cho biết "việc nó có trở thành yêu cầu đấu thầu hay không là do cơ quan mua sắm quyết định", nhưng vì đây là chế độ của chính phủ, có cơ sở để dự đoán rằng mua sắm khu vực công sẽ đi trước.

Tóm lại, đây là chế độ tự nguyện về mặt pháp lý nhưng bắt buộc trên thực tế trong kinh doanh. Khoảng cách giữa các công ty chuẩn bị trước khi khách hàng yêu cầu và các công ty chạy theo sau đó sẽ còn nới rộng hơn nữa khi bắt đầu nhận đơn và các tổ chức đánh giá cùng chuyên gia kín lịch.

Năm quyết định dành cho lãnh đạo doanh nghiệp

Nhân viên có thể triển khai phần lớn các yêu cầu, nhưng năm điểm sau đây sẽ không dịch chuyển cho đến khi ban lãnh đạo quyết định.

1. Nhắm tới sao nào. Điều này phụ thuộc vào yêu cầu của các khách hàng chính. Theo kinh nghiệm hiện tại, ★4 nếu bạn giao dịch trực tiếp với doanh nghiệp lớn, ★3 nếu bạn là nhà cung cấp cấp 2 trở xuống. Bạn cũng có thể nộp đơn trực tiếp cho ★4 mà không cần ★3
2. Chứng nhận đơn vị nào. Trong bảng đánh giá, bạn chọn toàn bộ pháp nhân, một phần như một bộ phận kinh doanh, hoặc tập đoàn doanh nghiệp. Phạm vi càng rộng, chi phí cho các biện pháp càng cao; phạm vi càng hẹp, bạn càng phải thường xuyên giải thích với khách hàng rằng "bộ phận này nằm ngoài phạm vi"
3. Ai chịu trách nhiệm. Yêu cầu 1-2-1 của ★3 đòi hỏi bổ nhiệm lãnh đạo phụ trách bảo mật (chẳng hạn CISO) và bộ phận chịu trách nhiệm, đồng thời phân định trách nhiệm và thẩm quyền. ★4 còn yêu cầu thêm một cơ quan có thể đưa ra quyết định quản trị, chẳng hạn ủy ban an toàn thông tin có ban lãnh đạo tham gia (1-2-1-4)
4. Ai đưa ra tuyên bố tự tuân thủ. Với cả ★3 và ★4, cuối cùng chính ban lãnh đạo tuyên bố rằng "chúng tôi tuân thủ các yêu cầu". Chuyên gia hoặc tổ chức đánh giá kiểm tra, nhưng trách nhiệm đối với tuyên bố thuộc về ban lãnh đạo
5. Đến khi nào. Việc nhận đơn bắt đầu vào tháng 3 năm 2027. Kinh nghiệm trong ngành là 2 đến 3 tháng để triển khai các biện pháp và 1 đến 2 tháng để chuẩn bị bằng chứng. Hãy tính ngược từ ngày gia hạn hợp đồng của khách hàng để xác định ngày bắt đầu

Chi phí và thời gian thực tế

Phí đăng ký trả cho IPA trông có vẻ rẻ, ¥10,000 mỗi năm cho ★3, nhưng đó chỉ là một phần của chi phí.

Về thời gian, bảng đánh giá (mẫu tự đánh giá) đã được công bố, nên bạn có thể bắt đầu đánh giá hiện trạng ngay từ bây giờ.

Đối với doanh nghiệp vừa và nhỏ, IPA đang chuẩn bị "Cyber Security Otasuketai Service (loại mới)", một dịch vụ hỗ trợ nhằm giúp doanh nghiệp đạt ★3 và ★4 (vẫn ở giai đoạn thí điểm tính đến tháng 10 năm 2026).

Việc cần làm ngay trong tháng này

Không cần chờ đến khi bắt đầu nhận đơn. Bạn có thể bắt tay vào bốn việc sau ngay trong tháng này.

1. Hỏi các khách hàng chính về kế hoạch của họ. Thông qua đội ngũ kinh doanh, hãy hỏi "quý công ty dự định yêu cầu nhà cung cấp đạt cấp độ nào của chế độ xếp hạng SCS?" Bộ phận mua sắm của họ cũng đang chuẩn bị, và hỏi càng sớm thì bạn càng có nhiều dư địa để đàm phán điều kiện
2. Bổ nhiệm người chịu trách nhiệm. Thiết lập tổ chức theo yêu cầu 1-2-1 và bàn giao bảng đánh giá
3. Tự đánh giá hiện trạng. Chỉ cần đánh dấu 26 mục là đạt hay chưa đạt cũng đủ thấy tiền sẽ phải chi vào đâu. Những mục mà hầu hết các công ty vấp phải là hệ điều hành và phần mềm hết hỗ trợ, thiếu xác thực đa yếu tố, cập nhật chậm và không có quy trình khôi phục
4. Kiểm tra công ty của bạn trông như thế nào từ bên ngoài. Website hoặc máy chủ của bạn có đang công bố một phiên bản cũ hay không có thể được kiểm tra, không cần đăng ký, chỉ bằng cách nhập URL vào công cụ kiểm tra thông tin máy chủ của Site Scouter. "Góc nhìn từ bên ngoài" này cũng là điều đầu tiên mà bộ phận mua sắm của khách hàng xem xét

Dành cho lãnh đạo sẽ yêu cầu nhà cung cấp đạt sao

Nếu công ty bạn là nhà thầu chính và sẽ yêu cầu nhà cung cấp đạt ★, bạn cần quyết định những điều sau:

• Yêu cầu cấp độ nào với nhà cung cấp nào. Chế độ giả định rằng các biện pháp cần thiết được "đưa ra tùy theo vị trí của nhà cung cấp trong chuỗi cung ứng". Bạn không cần yêu cầu cùng một cấp độ đối với nhà cung cấp nắm giữ thông tin mật của bạn và nhà cung cấp linh kiện thông dụng
• Câu chữ hợp đồng và thời gian ân hạn. Việc nhận đơn bắt đầu vào tháng 3 năm 2027, nên trước thời điểm đó bạn không thể đặt điều kiện "đã được chứng nhận". Một điều kiện có thời hạn, chẳng hạn "đạt ★3 trong năm tài chính 2027", là thực tế
• Mối liên hệ với ★4 của chính bạn. Yêu cầu 2-1-3 của ★4 đòi hỏi bạn nắm được tình trạng bảo mật của nhà cung cấp. Việc yêu cầu nhà cung cấp đạt ★ cũng trở thành bằng chứng cho ★4 của chính bạn
• Xử lý các bảng kiểm (checklist) riêng của bạn thế nào. Một mục tiêu của chế độ là chấm dứt gánh nặng cho nhà cung cấp khi mỗi bên thuê ngoài lại có một bảng kiểm khác nhau. Thay thế những phần trong bảng kiểm của bạn mà ★ có thể bao quát sẽ giúp dễ nhận được sự hợp tác của nhà cung cấp hơn

Cảnh giác với các lời chào hàng ép buộc

Vào tháng 4 năm 2026, Bộ Kinh tế, Thương mại và Công nghiệp và Ban Thư ký Nội các đã cảnh báo về các hình thức chào hàng không phù hợp, cho rằng "không có xếp hạng thì sẽ không thể kinh doanh" hoặc "chúng tôi là tổ chức hỗ trợ được công nhận". Trong chế độ không có vai trò nào gọi là "tổ chức hỗ trợ được công nhận". Các vai trò chính thức là bốn vai trò do IPA chỉ định hoặc đăng ký: tổ chức đánh giá, nhà cung cấp dịch vụ kiểm chứng kỹ thuật, đơn vị đào tạo và chuyên gia bảo mật SCS, và danh sách sẽ được công bố trên website của IPA từ tháng 12 năm 2026. Các yêu cầu cũng không đòi hỏi bạn phải cài đặt bất kỳ sản phẩm bảo mật cụ thể nào. Một lời đề xuất kiểu "cài sản phẩm này là có ★" không khớp với chế độ.

Khác biệt giữa điều mà phần 3 của bài viết này gọi là "bắt buộc trên thực tế trong kinh doanh" và những lời chào hàng như vậy nằm ở thời điểm và chủ thể. Chừng nào khách hàng chưa ghi nó vào tiêu chuẩn mua sắm, không ai có thể ép buộc, và ngay lúc này, trước khi bắt đầu nhận đơn, không có cơ sở nào để nói "ký ngay hôm nay kẻo trễ".

Ghi chú phương pháp và giới hạn

Bài viết này dựa trên website chế độ, FAQ, yêu cầu và tiêu chí đánh giá (SCS-400 Ver.1.1), sổ tay (SCS-620), thông báo biểu phí và thông cáo báo chí ngày 28 tháng 10 năm 2026 của IPA, theo nội dung được công bố tại ngày 30 tháng 10 năm 2026. Mã và nội dung các yêu cầu được lấy từ SCS-400 Ver.1.1. Nhận định ở phần 3 rằng chế độ trở thành "bắt buộc trên thực tế trong kinh doanh" là quan điểm của tác giả, rút ra từ cấu trúc của các yêu cầu và thông lệ mua sắm của doanh nghiệp lớn; xin hãy đọc nó tách biệt với lập trường chính thức của IPA (việc đạt xếp hạng là tự nguyện). Hướng dẫn nộp đơn đăng ký chưa được công bố, nên chi tiết thủ tục có thể thay đổi. Tác giả làm việc trong lĩnh vực tên miền, hosting và bảo mật, và không phải là tổ chức đánh giá hay chuyên gia theo chế độ này.

Câu hỏi thường gặp

Nhà cung cấp cấp 3 có thực sự cần ★ không?

Chế độ vận hành bằng cách bên thuê ngoài đưa ra cấp độ cho nhà cung cấp của mình, không giới hạn bao nhiêu cấp phía dưới. Vì yêu cầu 2-1-3 của ★4 đòi hỏi nắm được tình trạng bảo mật của nhà cung cấp, càng nhiều công ty ở phía trên đạt ★4, động lực yêu cầu các công ty phía dưới đạt ★ càng mạnh.

Không đạt thì chúng tôi có mất khách hàng không?

IPA cho biết "việc đạt xếp hạng là tự nguyện" và "hoạt động kinh doanh không bị dừng ngay lập tức". Mặt khác, một khi khách hàng đưa ★ vào tiêu chuẩn mua sắm, khách hàng đó không thể ký hợp đồng với các công ty không đáp ứng. Chúng tôi khuyến nghị chuẩn bị trên cơ sở rằng đây là chế độ tự nguyện về mặt pháp lý nhưng bắt buộc trên thực tế trong kinh doanh.

Ai đưa ra tuyên bố tự tuân thủ?

Ban lãnh đạo. Sau khi có xác nhận của chuyên gia đối với ★3, hoặc báo cáo của tổ chức đánh giá đối với ★4, ban lãnh đạo tuyên bố tuân thủ các yêu cầu và nộp đơn đăng ký.

Nếu đã có ISMS, chúng tôi có còn cần nó không?

Có. FAQ của IPA mô tả ISMS và chế độ này là bổ trợ cho nhau. Xếp hạng cũng không bảo đảm việc tuân thủ các khuôn khổ pháp lý hay tiêu chuẩn ngành khác.

Tổng chi phí là bao nhiêu?

Ngoài phí đăng ký của IPA (¥10,000 mỗi năm cho ★3, ¥60,000 cho 3 năm đối với ★4), không có khoản nào nằm trong biểu phí của chế độ: chuyên gia và tổ chức đánh giá tính giá theo thị trường, và chi phí cho các biện pháp phụ thuộc vào hiện trạng của bạn. Đánh dấu bảng tự đánh giá là đạt hay chưa đạt sẽ giúp bạn có ước lượng sơ bộ về chi phí cho các biện pháp.

Tài liệu tham khảo

Kiểm tra lần cuối: 2026-10-30. Thông số kỹ thuật và chính sách có thể thay đổi; hãy kiểm tra nguồn thông tin gốc trước khi hành động.

• IPA: Security Rating Scheme for Strengthening Supply Chains (SCS rating scheme)
• IPA: Overview of the level-based assessment
• IPA: Requirements and evaluation criteria (SCS-400 Ver.1.1), assessment guides and handbook
• IPA: Frequently asked questions
• IPA: Fee notice (2026-09-18, PDF)
• IPA: Press release on the assessment guides (2026-10-28)
• METI: SCS rating scheme special site (scheme design policy)