取引先の一社が攻撃を受けたことで、自社の生産や情報まで止まってしまう。そんなニュースを見て、あるいは取引先から「セキュリティ体制についてのアンケートに答えてほしい」と依頼が届き、「サプライチェーン攻撃」という言葉をあらためて確かめたくなった方は多いのではないでしょうか。
サプライチェーン攻撃は、自社を正面から狙うのではなく、セキュリティが手薄な取引先や委託先、利用しているソフトウェアやサービスを経由して本来の標的に侵入する攻撃です。自社の対策だけでは防ぎきれないため、近年は大企業から中小企業まで、取引関係でつながる企業全体で対策が求められています。
本記事では、サプライチェーン攻撃とは何かを通常のサイバー攻撃との違いから整理し、攻撃の3つの手口、増加している背景、企業名や被害規模まで確認できる国内外の事例、そして自社と取引先の双方で取るべき対策を解説します。あわせて、委託先・取引先のリスクを継続的に管理するための方法とサービスも紹介します。
目次
一括ダウンロードする
サプライチェーン攻撃とは？通常のサイバー攻撃との違い
サプライチェーン攻撃とは、標的の企業を直接狙うのではなく、その企業とつながる取引先・委託先・子会社や、標的が利用しているソフトウェア・サービスを経由して侵入するサイバー攻撃です。通常のサイバー攻撃が標的そのものに正面から仕掛けるのに対し、サプライチェーン攻撃は「守りの堅い標的の代わりに、つながりの中で手薄なところを踏み台にする」点が最大の違いになります。
独立行政法人 情報処理推進機構（IPA）も、取引関係やソフトウェアのつながりを悪用する攻撃として、その手口を次のように説明しています。
標的組織よりもセキュリティが脆弱な取引先や委託先、国内外の子会社等を攻撃し、その組織が保有する標的組織の機密情報等を窃取する。
出典：情報セキュリティ10大脅威 2025［組織編］解説書｜独立行政法人 情報処理推進機構（IPA）
このように、直接侵入が難しい相手でも、その相手とつながる別の企業やソフトウェアに弱点があれば、そこを入口にして目的の情報や環境に到達できてしまいます。自社が堅牢でも、取引先や利用製品の弱さが自社のリスクになる点が、サプライチェーン攻撃の本質です。
攻撃者が取引先・委託先を経由する狙い
攻撃者がわざわざ回り道をするのは、標的の大企業ほどセキュリティ対策が進んでおり、正面からの侵入が難しくなっているためです。一方で、その企業と取引する中小の協力会社や、業務を請け負う委託先は、対策に割ける人員や予算が限られていることが少なくありません。
攻撃者は、こうした比較的侵入しやすい企業をまず攻略し、そこを足がかりに本来の標的へと近づきます。取引先が保有する標的企業の機密情報を盗む、委託先のネットワークから標的の社内システムへ横移動する、正規のソフトウェア更新に不正なコードを紛れ込ませて一斉に配布する、といった形で「信頼されたつながり」が悪用されます。
サプライチェーン攻撃の主な種類（3つの手口）
サプライチェーン攻撃は、何を経由して標的に近づくかによって、一般に次の3つの手口で整理されます。まずは種類ごとの違いを、経由するものと代表的な手口で横並びに確認しましょう。
| 種類 | ソフトウェアサプライチェーン攻撃 | サービスサプライチェーン攻撃 | ビジネスサプライチェーン攻撃 |
|---|---|---|---|
| 経由するもの | 標的が利用するソフトウェアや、その更新プログラム・OSS（オープンソース） | ITの運用・保守を担う事業者（MSP＝マネージドサービスプロバイダやクラウド事業者など） | 取引先・委託先・子会社などの関連企業 |
| 代表的な手口・例 | 正規のソフトウェア更新に不正コードを混入させ、導入企業へ一斉に感染を広げる（例：SolarWinds事件） | 保守・管理に使うツールの脆弱性を突き、その事業者が管理する多数の顧客へ被害を広げる（例：Kaseya VSA事件） | セキュリティが手薄な関連企業を踏み台にして標的へ侵入し、情報窃取や業務停止を引き起こす（例：取引先経由の工場停止） |
IPAも、取引先や委託先が保有する機密情報を狙う手口や、ソフトウェア開発元・MSP（マネージドサービスプロバイダ）を経由する手口を、組織が警戒すべき脅威として挙げています。以下では、それぞれの手口をもう少し詳しく見ていきます。
ソフトウェアサプライチェーン攻撃
標的が利用しているソフトウェアや、その配布・更新の仕組みを悪用する手口です。開発元のシステムに侵入して正規の更新プログラムに不正なコードを埋め込むと、そのソフトを使う多数の企業へ一度に感染が広がります。近年はオープンソースのライブラリに悪意あるコードを混入させ、それを取り込んだソフトウェアを介して被害を広げる例も見られます。
利用者からは正規の更新にしか見えないため気づきにくく、影響範囲が一気に拡大しやすいのが特徴です。
サービスサプライチェーン攻撃
自社のIT運用や保守を任せている事業者を経由する手口です。多くの企業のシステムをまとめて管理するMSPやクラウド事業者は、攻撃者にとって「一度侵入すれば多数の顧客に届く」効率の良い経路になります。運用・保守に使う管理ツールの脆弱性を突かれると、その事業者が面倒を見る顧客企業へ被害が連鎖します。
自社で直接契約していないIT事業者であっても、委託先がその事業者を使っていれば、間接的に影響を受ける可能性があります。
ビジネスサプライチェーン攻撃
取引先・委託先・子会社といった関連企業を踏み台にする手口です。セキュリティ対策が比較的手薄な関連企業にまず侵入し、そこから標的企業の機密情報を盗み出したり、ネットワークのつながりをたどって標的の社内システムへ侵入したりします。子会社や協力会社の一社が攻撃を受けたことで、グループ全体や取引先の業務が停止する例もあります。
取引先どうしが業務データや専用回線でつながっているほど、被害が連鎖しやすくなります。
分類の呼び方のブレを整理する
サプライチェーン攻撃の分類は、解説する媒体によって呼び方や数に幅があります。ここまでの3類型は業界で広く使われている整理ですが、同じ内容を別の言葉で呼ぶこともあるため、混乱しないよう対応づけを確認しておきましょう。
- サービスサプライチェーン攻撃は、「デジタルサプライチェーン攻撃」と呼ばれることがあります。
- ビジネスサプライチェーン攻撃は、「アイランドホッピング攻撃」「グループサプライチェーン攻撃」と表現されることがあります。
- 取引先になりすまして偽の請求や送金を促す「ビジネスメール詐欺（BEC）」を、広い意味でサプライチェーン攻撃に含めて説明する媒体もあります。
「3類型」という分類名や数はセキュリティ各社による実務的な整理であり、公的機関が正式に定めた区分ではありません。ただし、ソフトウェア経由・サービス（MSP）経由・取引先経由という個々の経路は、IPAも組織が警戒すべき脅威として実際に挙げているものです。呼び方の違いに惑わされず、「何を経由して狙われるのか」で捉えると理解しやすくなります。
なぜサプライチェーン攻撃は増えているのか
サプライチェーン攻撃は、いま企業が警戒すべき代表的な脅威になっています。IPAが公表する「情報セキュリティ10大脅威 2025」では、組織向けの脅威として「サプライチェーンや委託先を狙った攻撃」が第2位に選ばれ、2019年の初選出以来7年連続で上位に入り続けています。
出典・参考資料（1件）
増加の背景には、いくつかの構造的な変化があります。攻撃が増えている理由を押さえておくと、自社が対策を進めるうえでの優先順位も見えてきます。
- 大企業の直接攻撃が難しくなった：標的となりやすい大企業ほどセキュリティ対策が進み、正面からの侵入が難しくなりました。その結果、対策が手薄になりがちな取引先・委託先が狙われるようになっています。
- 業務のデジタル化とクラウド利用の広がり：多くの企業が外部のクラウドサービスやSaaSを業務に組み込むようになり、自社と外部サービスの接点が増えました。連携する相手が増えるほど、攻撃の入口も増えます。
- ソフトウェア開発における外部依存の拡大：オープンソースや外部ライブラリを組み合わせて開発するのが一般的になり、取り込んだ部品のどこかに弱点があれば、それが製品全体のリスクになります。
- 業務委託・外部連携の一般化：ITの運用・保守や事務処理を外部に委託する企業が増え、委託先が自社の情報やシステムに触れる機会も広がりました。委託先の管理体制が、そのまま自社のリスクに直結します。
いずれも、企業活動が単独では完結せず、多くの取引先・サービス・ソフトウェアと結びついて成り立っていることの裏返しです。つながりが増えるほど守るべき範囲が広がるため、自社だけでなくサプライチェーン全体を視野に入れた対策が欠かせません。
国内外のサプライチェーン攻撃の被害事例
サプライチェーン攻撃は、実際に大きな被害を生んでいます。ここでは、企業名・時期・侵入経路・確認できる被害規模がそろっている代表的な事例を紹介します。まずは全体像を一覧で確認しましょう。
| 事例 | SolarWinds（米国） | Kaseya VSA（米国） | トヨタ自動車／小島プレス工業（日本） | 大阪急性期・総合医療センター（日本） |
|---|---|---|---|---|
| 時期 | 2020年 | 2021年 | 2022年 | 2022年 |
| 侵入経路（種類） | ソフトウェア更新経由（ソフトウェア型） | MSPが使うIT管理ツールの脆弱性（サービス型） | 部品取引先へのランサムウェア攻撃（ビジネス型） | 給食委託先のネットワーク経由（ビジネス型。委託先の保守事業者も関与） |
| 確認できる被害規模 | 改ざんされた更新を導入した可能性のある顧客は18,000社未満（同社がSECに開示） | 直接侵害はKaseya顧客35,000社超のうち約50社、その先の中小企業は約800〜1,500社（同社公式声明） | 国内全14工場28ラインの稼働を停止（トヨタ公式発表） | 電子カルテを含むサーバーの大部分がランサムウェアで暗号化（公式調査報告書） |
SolarWinds事件（2020年・ソフトウェア経由）は、米国のIT管理ソフト「Orion」の正規の更新プログラムに不正なコードが混入され、導入企業へ広がった事例です。同社は影響を受けた可能性のある顧客数について、次のように開示しています。
SolarWinds currently believes the actual number of customers that may have had an installation of the Orion products that contained this vulnerability to be fewer than 18,000.（この脆弱性を含むOrion製品を導入していた可能性のある顧客の実数を、18,000社未満と現時点で見積もっている）
出典：Form 8-K（2020年12月14日）｜SolarWinds Corporation（米国証券取引委員会）
あくまで「18,000社未満」という上限であり、全社が実害を受けたわけではありませんが、正規の更新を入口に広範囲へ影響が及びうることを示した事例です。
Kaseya VSA事件（2021年・サービス経由）は、多数の企業のIT運用を担うMSPが使う管理ツール「VSA」の脆弱性を突かれ、その先の中小企業まで被害が連鎖した事例です。ランサムウェア「REvil」が使われました。同社は被害範囲を次のように説明しています。
The attack had limited impact, with only approximately 50 of the more than 35,000 Kaseya customers being breached.（攻撃の影響は限定的で、35,000社を超えるKaseyaの顧客のうち直接侵害されたのは約50社）
Of the approximately 800,000 to 1,000,000 local and small businesses that are managed by Kaseya’s customers, only about 800 to 1,500 have been compromised.（Kaseyaの顧客が管理する約80万〜100万の中小事業者のうち、被害を受けたのは約800〜1,500社にとどまる）
出典：Kaseya Responds Swiftly to Sophisticated Cyberattack（2021年7月）｜Kaseya
直接侵害されたのはKaseyaの顧客（MSPなど）35,000社超のうち約50社ですが、その顧客が管理する下流の中小企業まで被害が及んだ点に、サービス経由の攻撃の広がりやすさが表れています。
トヨタ自動車／小島プレス工業の事例（2022年・取引先経由）は、部品を供給する取引先がサイバー攻撃を受け、その影響で完成車メーカーの国内全工場が停止した国内の代表例です。トヨタ本体が直接攻撃を受けたのではなく、取引先を経由して影響が波及しました。トヨタは工場停止を次のように発表しています。
国内仕入先（小島プレス工業株式会社）におけるシステム障害の影響を受け、3/1（火）に国内全14工場28ラインの稼働を停止することを決定いたしました。
出典：2022年3月 国内工場の稼働について（2/28時点）｜トヨタ自動車
このシステム障害の原因について、小島プレス工業は調査報告書で、子会社が導入していたリモート接続機器の脆弱性を突かれ、社内ネットワークへ侵入されたと公表しています。その結果、サーバーやパソコン端末の一部のデータがランサムウェアで暗号化されました。取引先（さらにその子会社）が受けた攻撃が、取引関係を通じて完成車メーカーの生産停止にまで波及したことを示す事例です。
大阪急性期・総合医療センターの事例（2022年・委託先経由）は、患者給食を委託していた事業者のネットワークを経由してランサムウェアに感染し、電子カルテを含むサーバーの大部分が暗号化された事例です。公式の調査報告書は侵入経路を次のように記しています。
本事案は、病院が患者給食提供委託契約を締結していた E 社の給食センターのシステム構築事業者である C 社、および給食システムアプリケーションを提供している D 社がリモート保守に用いていたファイアウォール Z の脆弱性、または漏洩され公開されていた ID・パスワードを悪用して X が給食センターの情報基盤に侵入した。
出典：情報セキュリティインシデント調査委員会 調査報告書（2023年3月）｜大阪急性期・総合医療センター
報告書では関係する事業者名が記号で匿名化されていますが、委託先のネットワークを踏み台に医療機関の基幹システムへ侵入された経路が示されています。自社のシステムが直接狙われていなくても、業務を委託する相手の弱点が重大な被害につながることを示す事例です。
一括ダウンロードする
サプライチェーン攻撃への対策
サプライチェーン攻撃への対策は、「自社が踏み台にされないための対策」と「取引先・委託先を含めた対策」の2つの立場を軸に考えると整理しやすくなります。自社はどちらの立場にもなりうるため、両面を押さえたうえで、狙われやすい中小企業・取引先の注意点と、対策の拠り所となるガイドラインもあわせて整理します。
自社が踏み台にされないための対策
取引先の入口として悪用されないために、まずは自社のセキュリティを基本から固めることが出発点です。特別なことよりも、基本的な対策を確実に積み重ねることが被害の連鎖を断つうえで効きます。
- OS・ソフトウェアを最新に保つ：脆弱性は攻撃の主要な入口です。更新プログラムを速やかに適用し、サポートの切れた製品を使い続けないことが基本になります。
- マルウェア対策・EDRの導入：ウイルス対策ソフトに加え、侵入後の不審な挙動を検知・対応するEDR（Endpoint Detection and Response）を備えると、侵入の早期発見につながります。
- 認証の強化とアクセス管理：推測されにくいパスワードの徹底や多要素認証の導入で、盗まれた認証情報の悪用を防ぎます。委託先やリモート保守に付与するアカウントの権限も、必要最小限に絞ります。
- 従業員教育の実施：不審なメールや添付ファイルへの対応など、現場で最初の入口をふさぐための教育を継続します。
取引先・委託先を含めた対策
サプライチェーン攻撃は自社の対策だけでは防ぎきれないため、取引先や委託先を含めた対策が欠かせません。経済産業省とIPAが公表する「サイバーセキュリティ経営ガイドライン Ver3.0」も、経営者が指示すべき事項として、サプライチェーン全体での対策を次のように示しています。
出典：サイバーセキュリティ経営ガイドライン Ver3.0 指示9｜経済産業省・独立行政法人 情報処理推進機構（IPA）
- サプライチェーン全体にわたって適切なサイバーセキュリティ対策が講じられるよう、国内外の拠点、ビジネスパートナーやシステム管理の運用委託先等を含めた対策状況の把握を行わせる。
- ビジネスパートナー等との契約において、サイバーセキュリティリスクへの対応に関して担うべき役割と責任範囲を明確化するとともに、対策の導入支援や共同実施等、サプライチェーン全体での方策の実効性を高めるための適切な方策を検討させる。
ここから読み取れる取引先を含めた対策の柱は、次の3点に整理できます。
- 委託先・取引先の対策状況を把握する：どの委託先に、どの情報やシステムへのアクセスを預けているかを洗い出し、それぞれのセキュリティ対策の状況を確認します。
- 契約で役割と責任範囲を明確にする：セキュリティ対策の責任主体や、事故が起きた際の対応・報告のルールを契約書で定めておきます。
- 継続的にモニタリングする：一度確認して終わりにせず、定期的な点検やアンケートで対策状況を継続的に把握し、変化に気づける状態を保ちます。
中小企業・取引先も狙われる理由と次の一歩
「自社は小規模だから狙われない」という考えは、サプライチェーン攻撃では通用しません。むしろ、大企業と取引する中小企業は、対策が手薄な入口として狙われやすい立場にあります。取引先に情報を預ける委託元の側にも、管理責任が問われます。IPAの「中小企業の情報セキュリティ対策ガイドライン」も、経営者が押さえるべき原則として次の点を挙げています。
業務の一部を外部に委託するにあたって重要な情報を委託先に提供する場合、委託先がどのような情報セキュリティ対策を行っているか考慮する必要があります。委託先に提供した情報が漏えいしたり、改ざんされたりしたとき、それが委託先の不備だったとしても、事故の影響を受ける者から委託元としての管理責任を問われることになります。
出典：中小企業の情報セキュリティ対策ガイドライン 第4.0版 原則2｜独立行政法人 情報処理推進機構（IPA）
取引先からセキュリティに関するアンケートや点検依頼が届いたときは、自社の対策を見直す機会でもあります。まずは、自社が扱う重要な情報と、外部に委託している業務・アクセス権を洗い出すところから始めると、取るべき対策の優先順位が見えてきます。
対策の拠り所となるガイドライン・フレームワーク
対策を体系的に進めたいときは、公的機関や標準化団体が示すガイドライン・フレームワークが拠り所になります。前述の2つに加え、国際的な枠組みも押さえておくと、自社の取り組みの抜け漏れを確認しやすくなります。
- サイバーセキュリティ経営ガイドライン Ver3.0（経済産業省・IPA）：前述の指示9で、サプライチェーン全体の対策状況の把握と、契約での責任範囲の明確化を求めています。
- 中小企業の情報セキュリティ対策ガイドライン 第4.0版（IPA）：前述のとおり、委託先の対策まで考慮することを含む基本的な取り組みを、中小企業向けにまとめています。
- NIST サイバーセキュリティフレームワーク（CSF）2.0：米国国立標準技術研究所が公表する枠組みで、2.0では新設された「統治（Govern）」機能の下に、サプライチェーンリスク管理が独立したカテゴリとして位置づけられています。
この中でも新しい動きとして、NIST CSF 2.0はサプライチェーンのリスク管理を組織の統治の一部として明確に定義しています。
Cybersecurity Supply Chain Risk Management (GV.SC): Cyber supply chain risk management processes are identified, established, managed, monitored, and improved by organizational stakeholders.（サイバーサプライチェーンリスク管理のプロセスを、組織の関係者が特定・確立・管理・監視し、改善する）
出典：The NIST Cybersecurity Framework (CSF) 2.0（2024年2月）｜NIST
旧版（CSF 1.1）ではサプライチェーンは「特定（Identify）」の一部でしたが、2.0で統治機能の直下に格上げされ、経営レベルで取り組むべき課題として位置づけが明確になりました。これらのガイドラインは、自社の対策が国内外で求められる水準を満たしているかを確認する物差しとして活用できます。
委託先・取引先のリスクを継続的に管理する方法とツール
取引先・委託先を含めた対策で難しいのは、相手が多数にのぼり、対策状況の確認を一度で終わらせられない点です。委託先の洗い出し、チェックシートの配布・回収・採点、年次の再点検といった作業をExcelやメールで手作業で回すと、担当者に負荷が集中し、抜け漏れも起きやすくなります。
この負荷は、管理すべき取引先が数百社・数千社に及ぶほど深刻になります。企業のセキュリティ評価を手がけるSecurityScorecardの藤本大氏は、従来の管理手法が抱える限界を次のように話します。
従来、大手の製造業の企業様がグループ会社や取引先のサイバーセキュリティ状況を把握しようとすると、セキュリティのガイドラインを作って周知し、守れているかどうかは年に1回、設問数の多いアンケートを取る、というアンケート依存の管理手法しかありませんでした。グループ会社まではそれでやれていても、そこから先の取引先数百社・数千社をどう見ればいいのか、というところで手詰まりになっている企業様が非常に多い状況でした。
こうした委託先・取引先のリスク管理（TPRM：サードパーティリスク管理）を効率化するツールが提供されています。チェックシートの配布・回収・採点・履歴管理をクラウド上で一元化するものや、外部からの評価データを組み合わせて客観的にリスクを可視化するものなど、方式はさまざまです。
ここでは、委託先・取引先を自社で評価・管理するための主なサービスを紹介します（前掲のような外部評価データは、これらのツールが取り込む情報源の一つという位置づけです）。まずは特徴を横並びで確認しましょう。
| サービス名 | VendorTrustLink | Conoris BP | Supplier Risk MT（SRMT） | AuditnQ | Secure SketCH | マモリス |
|---|---|---|---|---|---|---|
| 委託先評価の進め方 | チェックシートを送付・回収し自動採点（アンケート型） | Webフォーム調査票を配布・回収し、AIが回答を分析 | 点検フォームに委託先が回答し、スコア・グラフで可視化 | 既存のExcel調査票に回答してもらい自動でデータ化 | Web設問への回答を得点・偏差値化（委託先へのアンケート配信対応） | チェックシートを配布・回収し進捗を一覧管理 |
| 外部評価データ連携 | ×（外部連携なし） | ×（外部連携なし） | ●SecurityScorecard連携 | ●Netskope CCI連携 | ●SecurityScorecard連携 | ×（外部連携なし） |
| 対応する委託先の広がり | 委託先・取引先を管理（再委託先評価も簡易登録） | 委託先・再委託先をツリー状の階層で管理 | 委託・再委託関係をツリー表示で管理 | 再委託先（Nth Party）・グループ会社まで管理 | 委託先・グループ会社を専用プランで管理 | 委託先・取引先・社内部門に配布（再委託先の階層管理の記載なし） |
| 料金の目安 | 要問い合わせ（アカウント数×委託先数で算定） | 要問い合わせ（管理企業数により変動） | 要問い合わせ（ユーザー数に応じた年間ライセンス制） | 要問い合わせ（初期費用＋月額） | 要問い合わせ（プラン別・非公開） | 無料プランあり／有料は月額5,500円〜 |
| 無料で試せるか | 無料トライアルあり（期間非公開） | 無料トライアルあり | 公表なし | 公表なし | 無料トライアルあり（SINGLE BASICで2週間） | 無料プランあり |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト |
※2026年8月時点の各社公式情報にもとづきます。料金を公開していないサービスは「要問い合わせ」と記載しています。「外部評価データ連携」の●は外部評価サービスとの連携機能があること、×は連携がなく委託先の自己申告（回答）をもとに評価することを表します。最新の内容は各社にご確認ください。
ここで取り上げた6サービスは、委託先リスク管理（TPRM）ツールの一部です。より多くの選択肢の中から比較したい方や、外部評価サービス（セキュリティ格付）との違い・選び方まで詳しく知りたい方は、以下の記事もあわせてご覧ください。
TPRM（サードパーティリスク管理）ツールおすすめ15選を徹底比較｜委託先リスク管理とセキュリティ格付・評価サービスの違い・選び方を解説
取引先や業務委託先を経由したサイバー攻撃・情報漏えいが相次ぎ、自社のセキュリティ対策だけでは事業を守りきれない時代になりました。委託先のリスクを継続的に把握・管理する取り組みは、サードパーティリスク管理（TPRM：Third-Party R…
ここからは、各サービスの特徴を個別に見ていきます。自社の管理したい委託先の規模や、既存のExcel運用からの移行のしやすさなど、近い条件のものから確認すると選びやすくなります。
1. VendorTrustLink（株式会社アトミテック）
VendorTrustLinkは、株式会社アトミテックが提供するクラウド型の委託先リスク管理（TPRM）サービスです。委託先・取引先へのチェックシートの送付・回収・採点・履歴管理を自動化し、これまでExcelやメールで属人的に行っていた委託先評価をひとつの画面に集約できます。
チェックシートは選択式・自由記述などをカスタマイズでき、複数の委託先へ一括送付したうえで、未回答者への自動リマインドも行えます。回収した回答は自動で採点され、レーダーチャートや経年比較で可視化されるため、委託先ごとのリスクの高低や改善の推移を把握しやすいのが特徴です。国際的なリスクマネジメント指針であるISO 31000に準拠した設計を掲げています。
チェックシートの送付から採点・可視化までを一つの画面で完結できるため、委託先評価をこれから仕組み化したい企業にとって有力な選択肢です。
出典・参考資料（1件）
2. Conoris BP（株式会社Conoris Technologies）
委託先・再委託先へのセキュリティ調査と年次の定期点検を、クラウド上に一元化するのがConoris BPです。株式会社Conoris Technologiesが提供し、委託先をプロジェクト別・会社別にツリー状の階層で管理できる点に特徴があります。
調査票はWebフォームとして自由に作成でき、委託先はブラウザ上で回答します。回収した回答は「AIレビューアシスト機能」が自動で分析し、リスクのある項目を抽出したうえで社内規程やISO 27001などと照合して、審査担当者の判断を支援します。法人データベースとのAPI連携で委託先の基本情報を自動取得できるほか、自動車産業サイバーセキュリティガイドラインに対応した調査票テンプレートも用意されています。
再委託先まで含めて調査対象を階層で整理したい企業や、回答内容の一次確認をAIで効率化したい企業に適しています。無料トライアルも用意されています。
出典・参考資料（1件）
3. Supplier Risk MT（SRMT）（株式会社GRCS）
株式会社GRCSが提供するSupplier Risk MT（SRMT）は、外部委託先のリスク管理を支援するクラウドアプリケーションです。Salesforceの基盤上で提供され、委託業務・契約・再委託先などの情報をWeb上で一元管理しながら、委託先ごとのリスクをスコアやグラフで可視化できます。
委託先の評価は、委託元が作成した点検フォームに委託先が回答する方式が基本です。これに加え、外部評価サービスのSecurityScorecardと連携し、客観的なセキュリティスコアを取り込んで自己申告データと組み合わせて分析できます。
委託・再委託の関係をツリーで表示したり、リスクを散布図（ヒートマップ）で見比べたりと、多角的にリスクを把握できる点が強みです。CSVでの一括登録に対応し、既存のExcel運用からの移行もしやすい設計になっています。
日本生命保険相互会社や株式会社静岡銀行など、規制対応が厳しい金融・保険業界での導入実績が公表されており、全社統一での委託先管理を進めたい企業に適しています。
出典・参考資料（1件）
4. AuditnQ（RenderingConsulting株式会社）
AuditnQは、委託先・再委託先の管理と定期監査業務をクラウド上で一元化するTPRMシステムです。RenderingConsulting株式会社が提供し、既存のExcelチェックシートをそのまま取り込める点に特徴があります。
委託先には使い慣れたExcelの調査票で回答してもらい、その回答をAuditnQが自動で抽出・データベース化します。Excel運用の資産を捨てずに「脱Excel」の負担を抑えられるのが利点です。
さらに、クラウドサービスの評価データを持つNetskope CCIと連携し、8万件を超える評価データを取り込んで、委託先の自己申告と外部評価を組み合わせて確認できます。再委託先（Nth Party）まで含めたサプライチェーン全体の管理や、グループ会社をまたいだ複数会社の管理にも対応します。
すでにExcelで委託先調査を回しており、その運用を活かしたまま監査業務をシステム化したい企業が検討できるサービスです。
出典・参考資料（1件）
5. Secure SketCH（NRIセキュアテクノロジーズ株式会社）
Secure SketCHは、NRIセキュアテクノロジーズ株式会社が提供する、セキュリティ対策状況を「得点」と「偏差値」で定量化できるクラウド型のプラットフォームです。Web上の設問に回答することで、同業種・同規模の企業とのベンチマーク比較ができます。
NIST、CIS Controls、ISO/IEC 27001、経済産業省のサプライチェーン強化に向けた評価制度など、複数のガイドラインに対応している点が特徴です。自己申告のアンケート評価と、SecurityScorecard連携による外部からの自動診断を組み合わせるハイブリッド方式で、客観的にリスクを可視化します。
委託先管理向けには専用の「3rd PARTY」プランが用意され、委託先へのアンケート配信・回収・評価や、委託先の企業・取引情報を整理する台帳管理機能も備えます。
自社の評価から委託先・グループ会社の管理までを、共通のフレームワークで進めたい企業に選ぶ価値があります。累計利用企業は8,000社を超えると公表されています。
出典・参考資料（1件）
6. マモリス（株式会社トリックスタジオ）
マモリスは、株式会社トリックスタジオが提供する、セキュリティチェックシートの配布・回収・進捗管理をクラウド上で効率化するツールです。委託先・取引先や社内部門へのチェックシートのやり取りを、Excel・メールからブラウザ上の入力・一覧管理に置き換えられます。
URLで送ったチェックシートに相手が直接回答でき、未回収・回収済み・確認済みといった進捗をダッシュボードで一覧管理できます。回収済みと内容確認済みを分けて管理できる点を、独自の特徴として掲げています。
IPAの中小企業向けガイドラインや経済産業省のサイバーセキュリティ経営ガイドラインを参考にした無料テンプレートも提供されており、チェックシートをゼロから作らずに運用を始められます。ただし、テンプレートの「経済産業省準拠」は同社が公的資料を参考に独自作成したもので、公式の認定ではない点は理解しておく必要があります。
無料プランから始められ、有料でも月額5,500円からと導入しやすい価格帯のため、まずは小さくチェックシート運用を仕組み化したい中小企業に向いています。
出典・参考資料（1件）
まとめ：つながり全体で守る視点を持つ
サプライチェーン攻撃は、自社を直接狙うのではなく、手薄な取引先・委託先や、利用するソフトウェア・サービスを経由して標的に侵入する攻撃です。ソフトウェア経由・サービス経由・取引先経由という3つの手口があり、実際にSolarWindsやKaseya、国内では取引先経由の工場停止や委託先経由の医療機関の被害など、大きな影響を伴う事例が起きています。
防ぐには、自社が踏み台にされないための基本的な対策に加え、取引先・委託先の対策状況の把握、契約での責任範囲の明確化、継続的なモニタリングが欠かせません。まずは自社が扱う重要な情報と、外部に委託している業務・アクセス権を洗い出すことから始めてください。委託先が増えて手作業での管理が難しくなってきたら、リスク管理を支援するツールの活用も選択肢に入れましょう。
一括ダウンロードする
よくある質問（FAQ）
Q. サプライチェーン攻撃とは何ですか？
A. サプライチェーン攻撃とは、標的の企業を直接狙うのではなく、セキュリティが手薄な取引先・委託先・子会社や、標的が利用するソフトウェア・サービスを経由して侵入するサイバー攻撃です。直接侵入が難しい相手でも、その相手とつながる別の企業やソフトウェアに弱点があれば、そこを入口にして目的の情報や環境に到達できてしまいます。自社が堅牢でも、取引先や利用製品の弱さが自社のリスクになる点が本質です。
Q. サプライチェーン攻撃は通常のサイバー攻撃と何が違うのですか？
A. サプライチェーン攻撃と通常のサイバー攻撃の違いは、標的そのものを正面から狙うか、つながりの中で手薄なところを踏み台にして間接的に狙うかにあります。通常のサイバー攻撃が標的の企業に直接仕掛けるのに対し、サプライチェーン攻撃は守りの堅い標的の代わりに、取引先・委託先や利用製品といった「信頼されたつながり」を悪用して回り道で近づきます。そのため、自社単独の対策だけでは防ぎきれないのが特徴です。
Q. サプライチェーン攻撃で中小企業も狙われるのですか？
A. サプライチェーン攻撃では、大企業と取引する中小企業こそ、対策が手薄な入口として狙われやすい立場にあります。「自社は小規模だから狙われない」という考えは通用せず、攻撃者は正面からの侵入が難しい大企業の代わりに、対策に割ける人員・予算が限られる協力会社や委託先を足がかりにします。委託元として重要な情報を預ける側にも管理責任が問われるため、規模を問わず対策が必要です。
Q. サプライチェーン攻撃は自社のセキュリティ対策だけで防げますか？
A. サプライチェーン攻撃は、自社のセキュリティ対策だけでは防ぎきれず、取引先・委託先を含めた対策が欠かせません。OS・ソフトウェアの更新やEDRの導入、多要素認証、従業員教育といった自社の基本対策に加え、委託先・取引先の対策状況の把握、契約での責任範囲の明確化、継続的なモニタリングが必要です。
経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver3.0」も、サプライチェーン全体での対策状況の把握を経営者が指示すべき事項として挙げています。
Q. 取引先からセキュリティに関するアンケートが届いたら、どう対応すればよいですか？
A. 取引先からのセキュリティアンケートには、自社の対策状況を正確に回答するとともに、自社のセキュリティを見直す機会として活用するのが望ましい対応です。アンケートや点検依頼は、取引先が自社を含めたサプライチェーン全体のリスクを把握するための取り組みです。回答にあたっては、まず自社が扱う重要な情報と、外部に委託している業務・アクセス権を洗い出しておくと、現状を正確に伝えやすくなります。
Q. サプライチェーン攻撃への対策として、自社はまず何から始めればよいですか？
A. サプライチェーン攻撃対策の第一歩は、自社が扱う重要な情報と、外部に委託している業務・アクセス権を洗い出すことです。何をどの委託先に預けているかを整理すると、取るべき対策の優先順位が見えてきます。
あわせて、OS・ソフトウェアを最新に保つ、多要素認証やEDRを導入する、従業員教育を続けるといった自社の基本対策を固めることが、取引先の入口として悪用されないための出発点になります。委託先が増えて手作業での管理が難しくなってきたら、委託先リスク管理（TPRM）を支援するツールの活用も選択肢になります。
Q. 委託先が攻撃を受けて自社の情報が漏れた場合、委託元の責任はどうなりますか？
A. 委託先の不備が原因であっても、委託元としての管理責任を問われる可能性があります。IPAの「中小企業の情報セキュリティ対策ガイドライン」は、重要な情報を委託先に提供する場合、委託先の情報セキュリティ対策を考慮する必要があるとし、委託先に提供した情報が漏えい・改ざんされたときは、それが委託先の不備であっても委託元としての管理責任を問われる、と明記しています。
このため、委託先の選定時にセキュリティ対策を確認し、契約で責任範囲を明確にしたうえで、対策状況を継続的に把握しておくことが、委託元自身のリスク管理として重要になります。
委託先リスク管理サービスの料金・資料を一括チェック
MCB FinTechカタログでは、委託先・取引先のリスク管理（TPRM）に対応した各サービスの資料を無料で一括請求できます。機能や料金、対応できる委託先の規模を比べながら、自社に合ったサービスの検討にお役立てください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
