サプライチェーンセキュリティのガイドラインは？読む順番と使い方を解説

サプライチェーンセキュリティのガイドラインは1冊にまとまっておらず、発注側と受注側で読む順番が変わります。受注側はIPAの中小企業向けガイドライン、発注側は経産省の経営向けガイドラインから読みます。

今日やることは、売上の大きい取引先と、発注額の大きい委託先を3社ずつ書き出すことです。受注側と発注側のどちらの顔が大きいかが分かり、読む資料が決まります。多くの製造業は、両方の立場を持っています。

どの資料が誰のためのもの？

公的資料の役割は次のとおりです。全部を読む必要はありません。

取引先を狙う攻撃が特別な話ではないことは、IPAの情報セキュリティ10大脅威2026でも分かります。組織向けの2位⁠が「サプライチェーンや委託先を狙った攻撃」⁠で⁠、8年連続の選出です。

受注側はどの順番で読む？

取引先から調査票や要請が届く会社は、次の順で読みます。

1. 中小企業の情報セキュリティ対策ガイドライン第1部。 経営者が認識すべき3原則と、実行すべき重要7項目⁠の取組が書かれています
2. 同じガイドラインの第2部で、自社の位置を決める。STEP1は情報セキュリティ6か条、STEP2は5分⁠でできる自社診断と基本方針の作成から入ります
3. SCS評価制度のアセスメントシートで、取引先に求められそうな段階との差を見る
4. 業界のガイドラインがあれば、取引先に指定されたものを確かめる

全部で70ページのガイドライン本編を、最初から順に読み切る必要はありません。経営者は第1部、担当者は自社に合うSTEPから読みます。

第2部のSTEP3には「取引先/外部情報サービスの管理⁠」⁠の項目があります。受注側でも、自社の委託先やクラウドの状況を把握することが対策に入っています。

作業に使う付録は次の4つです。

• 付録3：5分⁠でできる情報セキュリティ自社診断
• 付録5：情報セキュリティ関連規程（サンプル）⁠。★3・★4の要求事項との対応が56〜57ページ⁠にあります
• 付録6：資産管理台帳（サンプル）
• 付録8：セキュリティインシデント対応の手引き

対策の中身で外の手を借りるときは、ガイドラインもSTEP3以降で必要に応じて外部専門家を交えるとしています。依頼先を探す段階なら、セキュリティコンサル・CSIRT支援の比較で支援の範囲を見比べます。

発注側はどの順番で読む？

委託先や仕入先に対策を求める立場の会社は、次の順で読みます。

1. サイバーセキュリティ経営ガイドラインVer3.0⁠。経営者が認識すべき3原則と、担当幹部に指示する重要10項目⁠を確かめます
2. 重要10項目のうち指示9「ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策⁠」⁠を社内の担当に割り当てる
3. SCS評価制度の要求事項⁠のうち、取引先管理の項目を読む。概要説明資料によると、サプライチェーンリスクマネジメントの要求事項は★3で3件⁠、★4で5件です
4. パートナーシップの文書を、調達の担当者と一緒に読む

なお、経営ガイドラインは小規模事業者を除く企業を対象としています。また、最新版の公開は2023年3月24日で、SCS評価制度より前の資料です。新しい制度の手続きは、IPAのSCS評価制度のページで確かめます。

取引先に対策を求めるときの注意点は？

要請の前に読む資料があります。経産省と公取委の文書は、取引先に対策を要請すること自体が直ちに独占禁止法上の問題になるわけではないとしています。そのうえで、優越的な地位にある事業者について、次のような行為を挙げています。

2025年12月26日には、この文書を補足する想定事例と解説が追加されました。SCS評価制度に基づく要請を想定し、独占禁止法や取適法上「問題とならない」進め方を示しています。

受注側の会社にとっても、この資料は味方になります。要請を受けたら、対策にかかる費用を見積もって説明し、価格の協議を文書で申し入れる根拠になるからです。

資料の日付はどう見分ける？

公的資料でも、公開の時期で書かれている予定が違います。読むときは、表紙や公開ページの日付を確かめます。

たとえば、中小企業向けガイドライン本編⁠のコラムには、SCS評価制度について「2026年度下期の制度開始を目指して⁠」⁠と書かれています。一方、IPAのよくある質問の新しい記載では、★3・★4の登録申請の受付開始は2027年3月⁠の予定です。制度の日程は、ガイドラインではなくIPAの制度のページで確かめます。

要求事項も更新されます。要求事項・評価基準のページには、2026年10月28日付のVer.1.1と、3月27日公開版からの変更箇所が載っています。春に自己評価のためExcelを保存した会社は、変更箇所を見てから作業を続けます。取引先に調査票の基準として示すときも、どの版かを書き添えると、話が食い違いにくくなります。

製造業では、資料をどう組み合わせる？

たとえば、自動車部品を一次部品メーカーに納め、めっきや熱処理を外注している金属加工の会社の場合です。この会社は、受注側と発注側の両方の顔を持ちます。

• 受注側として：取引先に指定されていれば、自工会/部工会のガイドラインV2.3⁠のチェックシートで自己評価します。会社全体のOA環境を対象とした資料です
• 工場について：工場領域版v1.0⁠が2026年4月⁠に策定されました。業界を問わない資料としては、経産省の工場システムのガイドラインもあります
• SCS評価制度との関係：制度の対象はIT基盤で、工場の制御システムは一般に含みません。工場の対策は別の資料で補います
• 発注側として：外注先に図面を渡すなら、ガイドライン本編⁠の取引先管理の項目に沿って、機密性の高い情報の取扱いと、インシデント時の連絡先を決めます

自社で取引先の情報を集めるなら、回答と確認の手間も見積もります。チェックシート回答・委託先管理ツールの比較で、表計算のままでよいかを判断できます。外部から見た公開情報の確認には、セキュリティ評価サービスの比較があります。どちらも、経産省の資料が特定の製品を指定しているわけではありません。

読んだあと、何を決める？

読み終えたら、資料を次の3つ⁠の決めごとに変えます。

• 誰が読むか：経営者、担当者、調達担当者に、読む資料を割り当てる
• 何を基準にするか：取引先に合わせ、業界のガイドラインかSCS評価制度かを決める
• いつ見直すか：制度の予定に合わせて確認の時期を決める

SCS評価制度は2027年3月⁠に★3・★4の受付開始を予定しています。評価機関の公表の予定と確かめ方は、SCS評価制度の評価機関の確かめ方⁠に分けて書きました。認証や取引先管理の全体は、サプライチェーンと認証のカテゴリ⁠で見られます。