サプライチェーンセキュリティとは、自社だけでなく、取引先や委託先、外部サービスまで含めて、情報と事業を守る取り組みです。IPAの情報セキュリティ10大脅威2026では、組織向けの2位に「サプライチェーンや委託先を狙った攻撃」が入っています。8年連続の選出です。
今日やることは、取引先から届いたセキュリティの要請を1か所に集めることです。契約書の秘密保持の条項、質問票、依頼のメールを並べ、「何を」「いつまでに」「どの証拠で」求められているかを書き出します。
取引先は何を心配しているの？
発注元が心配しているのは、受注側の被害が自社に及ぶことです。経済産業省と公正取引委員会の資料は、心配の中身を3つ挙げています。受注側の事業に支障が出ること、提供した重要な情報が流出すること、受注側を踏み台に自社が攻撃されることです。
中小企業の側から見た数字もあります。IPAの2024年度調査（4,191社）によると、サイバーインシデントで取引先に影響があった企業は約7割でした。不正アクセスを受けた企業のうち、他社経由で侵入された例も約2割あります。
求められる側の実態は、まだこれからという段階です。同じ調査の概要資料では、発注元から要請を受けた経験がある企業は1割強でした。要請の8割（79.6%）は「秘密保持のための措置」です。これは2024年の調査なので、今後は変わる可能性があります。
いま求められる対策の基準はどこにある？
共通の物差しになりそうなのが、SCS評価制度です。経済産業省と内閣官房国家サイバー統括室の監督のもと、IPAが運営します。★3と★4の登録申請は2027年3月に受付開始の予定です。
要求事項は7つの大分類に分かれ、★3は26件、★4は43件です。IPAの概要資料から、大分類ごとの件数をまとめました。
| 大分類 |
★3 |
★4 |
| ガバナンスの整備 |
3 |
6 |
| 取引先管理 |
3 |
5 |
| リスクの特定（資産管理など） |
4 |
6 |
| 攻撃等の防御 |
13 |
21 |
| 攻撃等の検知 |
1 |
3 |
| インシデントへの対応 |
1 |
1 |
| インシデントからの復旧 |
1 |
1 |
★3は一般的なサイバー脅威に対処できる水準です。★4は被害の拡大防止や、サプライチェーンでの自社の役割に合った対策まで含みます。評価のしかたも違います。★3は専門家の確認つきの自己評価、★4は評価機関による第三者評価と技術検証です。
どちらを目指すかは、想定する脅威でも整理されています。FAQによると、★3は広く認知された脆弱性を悪用する一般的な攻撃を想定します。★4は、供給停止でサプライチェーンに大きな影響が出る企業や、漏えいの影響が大きい機密情報への攻撃を想定します。自社が止まると発注元の生産も止まる立場か、預かる情報がどれだけ重いかを考えると、話し合いの材料になります。★3を取らずに★4を取ることもできます。
登録料は同じFAQによると、★3が20,000円（1年更新）、★4が60,000円（3年更新）です。★3は2028年3月31日まで10,000円に割り引かれます。これは登録料だけの金額なので、確認や評価を外部に頼む費用は別に見積もります。
「取らないと取引できない」という営業に注意
FAQによると★の取得は任意で、全項目を満たさないことを理由に直ちに取引停止を求めるものでもありません。経済産業省と国家サイバー統括室の注意喚起は、評価基準の達成に特定の製品の導入は必須でないとし、取引規制をほのめかす勧誘を制度の趣旨と異なるものとしています。
製造業では業界の基準が先に来ることもある？
あります。たとえば、自動車部品のメーカーなら、完成車メーカーや上位の部品メーカーから、自工会・部工会のサイバーセキュリティガイドラインでの自己評価を頼まれることがあります。2025年度の集計では有効回答が4,032社で、レベル1項目の平均は100点満点の83.13点でした。
こうした業界の基準を求められているなら、取引先が指定したものに答えるのが先です。質問票が複数の会社から届いて負担が重いなら、セキュリティチェックシート回答・委託先管理ツールの比較が参考になります。
限られた人数ならどの順番で手をつける？
情シスを兼任している担当者が1人でも進められる順番を、私たちなりに並べました。根拠は、要請の中身で最も多い秘密保持と、★3で件数の多い分類です。★3の26件のうち、「アイデンティティ管理、認証、アクセス制御」が7件、「資産管理」が4件を占めます。
- 預かった情報の置き場所を確かめる：図面、仕様書、顧客名簿がどのサーバーやクラウドにあるか、誰が開けるかを書き出す
- 秘密保持の条項と実態を照らす：契約で約束した保管や廃棄のしかたを、現場が守れているかを確かめる
- 機器とアカウントの一覧を作る：パソコン、サーバー、ネットワーク機器、外部サービスと、辞めた人のアカウントが残っていないかを確かめる
- 事故のときの連絡先を決める：社内の担当と、どの取引先へ誰が連絡するかを1枚にしておく
- 方針と担当を文書にする：★3の「ガバナンスの整備」に関わる部分を、社内で決めて書き残す
- 足りない部分だけ製品やサービスを入れる：1〜5で穴が見えてから選ぶ
専門家が社内にいない場合、外部の力を使う場面は主に2つです。自己評価を確かめてもらうならセキュリティコンサルティングの比較が入口になります。自社が社外からどう見えるかを知りたいなら、セキュリティレーティングの比較があります。
国の支援もあります。中小企業の情報セキュリティ対策ガイドライン第4.0版は2026年3月27日に公開されました。サイバーセキュリティお助け隊サービスは2026年3月末で累計約10,900社が導入しています。ただしIPAは、現行のサービスだけでは★3の要求事項の一部しか達成できないとしています。★取得を伴走する新類型は実証の段階で、2027年度末までの制度化を目指しています。
求められた対策の費用は誰が持つ？
費用の話は、対策の話と分けずに切り出してかまいません。IPAの調査でも、要請された対策の課題で最も多いのは「対策費用の用意、費用負担の検討」（51.3%）で、次が「契約内容の明確化」（47.0%）でした。
経済産業省と公正取引委員会の考え方では、発注側が対策を要請すること自体は、直ちに独占禁止法上の問題にはなりません。ただし、コストの上昇分を考えずに一方的に著しく低い対価を決めることや、必要性がないのに指定の高価なサービスの利用を強制することは問題になり得ます。
資料は令和4年のもので、当時の下請法は2026年1月から取適法に変わっています。個別の取引が当たるかどうかは事案によるので、判断は公正取引委員会の窓口で確かめます。
受注側としては、要請を受けた時点で「対応にかかる費用を見積もったので協議させてください」と伝えます。見積もりの根拠を文書で残すと、話が進めやすくなります。
「対策しています」はどう見せる？
対策の証拠として、すでに使えるものに第三者の認証があります。情報全般ならISMS、個人情報ならPマークが該当します。★3と★4の登録が始まれば、選択肢が1つ増えます。
相手の認証を確かめる側に回ることもあります。ISO27001の取得企業の調べ方と範囲の読み方とPマークの取得企業を公式の検索で確かめる方法にまとめました。取引先の確認の全体はサプライチェーンのセキュリティのカテゴリから読めます。
