サプライチェーン攻撃の対策は？自社と取引先に分けて進める手順を解説

サプライチェーン攻撃の対策は、自社の入口の点検と委託先の管理に分け、自社の入口から順に進めます。

今日やることは2つです。インターネットから届く機器を1枚⁠の表に書き出すこと。社外へ図面や個人情報を渡している委託先を、重要な順に5社まで挙げること。この2枚⁠があれば、限られた人数でも次の順番が決まります。

サプライチェーン攻撃とは？

IPAの情報セキュリティ10大脅威2026の解説書は、企画から調達、製造、物流、販売までの流れと、そこに関わる組織や外部サービスをサプライチェーンと呼んでいます。攻撃者は対策の固い組織を直接狙わず、関係する組織やソフトウェアの弱い所を経由します。

中小企業には、2つ⁠の立場があります。

• 受注側として、取引先への足掛かりにされる立場。解説書は、取引停止や損害賠償を求められることもあると書いています
• 発注側として、委託先の被害で自社の情報が漏れる立場

10大脅威2026⁠の組織向けでは、この脅威は2位で、2019年から8年連続の選出です。1位⁠はランサム攻撃です。2つ⁠は別の話に見えますが、委託先のランサムウェア被害で委託元の情報が漏れる例が解説書に載っており、現場ではつながっています。

なぜ自社の入口から先に見るのか？

委託先に対策を求める前に、自社が同じ質問に答えられる状態にするためです。

中小企業の被害は、数字にも出ています。警察庁の令和7年上半期の資料では、ランサムウェアの被害報告116件⁠のうち、中小企業が77件⁠で約3分⁠の2でした。被害組織へのアンケートでは、VPNやリモートデスクトップ用の機器からの侵入が感染経路の8割以上でした。令和8年上半期は123件で、半期では過去最多です。

入口の点検は、この順に進めます。

1. インターネットから届く機器とサービスを書き出す。VPN、リモートデスクトップ、公開サーバー、ウェブサイト、クラウドの管理画面です。海外拠点や子会社の分も入れます
2. それぞれの更新の状況と、保守の担当者を書く
3. 不要なアカウントと、試しに作ったアカウントを消す
4. VPNと重要なシステムに、多要素認証などの強い認証を入れる
5. バックアップを取り、戻せるかを試す

警察庁の資料には、海外支社の機器を管理できていなかった例や、試験用アカウントから入られた例が書かれています。一覧に載っていない機器は、更新も確認もされません。そのため1番の書き出しが、残りの作業の土台になります。

書き出した表に抜けがないか不安なら、外からの見え方を調べる方法があります。ASM（攻撃対象領域の管理）⁠の製品比較は、そのための製品を種類と価格で並べています。入れる前に、手で作った一覧と突き合わせる担当を決めておきます。

中小企業の情報セキュリティ対策ガイドライン第4.0⁠版は、IPAが中小企業向けに出している手引きです。バックアップを加えた「情報セキュリティ6か条」⁠と「5分⁠でできる！情報セキュリティ自社診断⁠」⁠があり、点検の抜けを確かめるのに使えます。

委託先には何を確かめるのか？

全社を同じ深さで調べる必要はありません。少人数なら、渡している情報の重さと、止まったときの影響で順番を付けます。ガイドライン第4.0版の「取引先/外部情報サービスの管理」は、次のことを挙げています。

たとえば、金型の図面を外注の加工会社へメールで渡している部品メーカーの場合です。最初に見るのは相手の製品名ではありません。どの図面を、誰に、どの方法で渡し、取引が終わったらどう戻すかです。相手が再委託をしているなら、その先に図面が渡るのかも聞きます。ここが決まっていないと、相手が事故に遭ったときに、何が漏れたのかを自社で説明できません。

10大脅威の解説書は、契約について2点⁠を挙げています。責任範囲を明確にして合意し、賠償の条項を入れること。委託元が委託先の対策と情報の管理の実態を定期的に確認できる契約にすること。次の契約更新のときに、この2点⁠を入れられるかを法務や顧問と確かめます。

確かめ方は、社数によって選びます。

• 数社なら、ガイドラインの自社診断を相手に頼み、結果を話し合う
• 調査票が増えて回らないなら、セキュリティチェックシート回答・委託先管理ツールの比較で手間と価格を見る
• 多くの取引先を同じ物差しで見たいなら、セキュリティ評価サービス（取引先チェック）⁠の比較を見る

評価サービスは外から集めた情報で評価するので、社内の運用までは分かりません。IPAの解説書でも、委託先の状況を把握する手段の1つとして、契約や定期的な確認と並べて挙げられています。

取引先に対策を頼むときの注意は？

受注側の負担を考えずに要請すると、法律の問題になることがあります。経済産業省と公正取引委員会の2022年10月の文書は、要請自体は直ちに独占禁止法上の問題にならないとしたうえで、方法や内容によっては優越的地位の濫用になり得るとしています。対策で増えた費用を考えずに対価を一方的に低く決める行為は、その例です。価格の交渉の場を設け、対策の内容と費用の負担を協議することが望ましいとされています。

受注側の実感も、IPAの調査に表れています。2024年度の中小企業等実態調査（4,191社）⁠で⁠は⁠、発注元から要請を受けた経験がある企業は1割強でした。要請された対策の課題で最も多いのは費用の用意と負担の検討（51.3%）⁠で⁠、次が契約内容の明確化（47.0%）⁠で⁠す⁠。

上の文書は、見守り・駆付け・保険をまとめた「サイバーセキュリティお助け隊サービス」も、中小企業向けの支援策として紹介しています。

SCS評価制度はいつ、どう備えるのか？

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）⁠は⁠、★3と★4の登録申請を2027年3月⁠に受け付け始める予定です。2026年3月⁠に経済産業省と国家サイバー統括室が方針を公表し、IPAが運営します⁠。

登録料は、IPAのFAQに書かれている額です。専門家や評価機関にかかる費用は別に見ておきます。

慌てて製品を買う必要はありません。経済産業省と国家サイバー統括室の2026年4月⁠の注意喚起は、取らないと取引が規制される、入札から除外されるといった勧誘が報告されていると伝えています。制度は任意で、特定の製品の導入を必須としていません。★を取引の要件にするかは、当事者の契約で決まります。

備えとしては、主な発注元に、今後どの段階を求める予定があるかを聞いておきます。それまでに、この記事の入口の点検と委託先の表を作っておけば、★の要求事項と照らし合わせる材料になります。

認証で対策を示すなら、ISMSの監査と審査の準備を、個人情報の認証を続けるか迷っているなら、Pマークの更新をやめるかの判断⁠を見てください。取引先や委託先の管理の全体は、サプライチェーンと認証のカテゴリ⁠にまとめています。