取引先や委託先、あるいは日常的に使うソフトウェアの更新プログラムを経由して社内システムに侵入する「サプライチェーン攻撃」が、企業規模を問わず現実的な脅威になっています。独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」では、組織向けの脅威の第2位に「サプライチェーンや委託先を狙った攻撃」が挙げられました。
自社の守りを固めても、つながる相手が弱ければそこから侵入される。この構図が、サプライチェーン攻撃の難しさです。
2026年には、経済産業省と内閣官房国家サイバー統括室の方針にもとづき、IPAが「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の整備を進めています。取引の場面で一定のセキュリティ水準を求められる動きが本格化しつつあり、自社だけでなく取引先・委託先を含めた対策が問われる段階に入りました。
本記事では、サプライチェーンセキュリティとは何か、攻撃の主な種類と実際に起きた被害事例、企業と取引先がとるべき対策、そして経済産業省のSCS評価制度の概要までを整理します。自社が次に何から着手すべきかを判断する材料としてご活用ください。
目次
一括ダウンロードする
サプライチェーンセキュリティとは？普通のサイバー攻撃との違い
サプライチェーンセキュリティとは、原材料の調達から製造・物流・販売・保守に至る一連の供給網（サプライチェーン）と、そこで関わる取引先・委託先・利用ソフトウェアまでを視野に入れて、サイバー攻撃への対策を講じる取り組みを指します。狙われる経路が自社の内部だけにとどまらない点が、通常のサイバー攻撃対策との大きな違いです。
その供給網の弱い部分を突くのが「サプライチェーン攻撃」です。攻撃者は、防御の固い標的企業を正面から狙う代わりに、セキュリティ対策が手薄になりがちな取引先・委託先や、広く使われるソフトウェアを踏み台にして侵入します。
標的企業からすれば、つながる相手やソフトウェアの安全性が、そのまま自社のリスクに直結します。だからこそ、自社の内部対策だけでなく、供給網全体を視野に入れた備えが欠かせません。
IPA「情報セキュリティ10大脅威」でのサプライチェーン攻撃の位置づけ
この脅威が現実味を増していることは、公的機関の評価にも表れています。IPAが毎年公表する「情報セキュリティ10大脅威 2026」の組織向けランキングでは、「サプライチェーンや委託先を狙った攻撃」が第2位に位置づけられました。2019年に初めて選出されて以来、8年連続での選出です。首位の「ランサム攻撃による被害」と並び、組織が優先して備えるべき脅威として扱われています。
出典・参考資料（1件）
- 出典：情報セキュリティ10大脅威 2026［組織］｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/10threats2026.html）
サプライチェーン攻撃の主な種類と手口
ここからは、サプライチェーン攻撃の代表的な型を整理します。自社がどの経路で狙われうるかを把握すると、後述する対策の優先順位がつけやすくなります。大きくは、取引先・委託先を踏み台にする型と、ソフトウェアの製造・配布過程を悪用する型の2つに分けられます。
取引先・委託先経由型（アクセス権やデータ連携を悪用した侵入）
標的企業と取引・システム連携のある企業を最初に侵害し、そこを足がかりに標的へ侵入する型です。業務委託先が持つ標的企業へのアクセス権や、両社をつなぐデータ連携・ファイル授受の仕組みが悪用されます。委託先の担当者になりすました標的型メールや、委託先が運用を任されているサーバへの不正アクセスなどが典型です。標的企業が運用を外部に委ねているほど、侵入口は増えます。
ソフトウェア・アップデート改ざん型（正規の更新プログラム・OSSを悪用）
広く使われるソフトウェアや、その更新プログラム、開発時に組み込むオープンソースソフトウェア（OSS）などに、不正なコードを仕込む型です。改ざんされたプログラムは、提供元の正規の配布経路を通じて多数の利用者へ届くため、利用者は「信頼できる更新」として実行してしまいます。1つの製品を汚染するだけで広範囲に被害が広がる点が特徴で、次章の被害事例の多くがこの型にあたります。
このほか、システムの運用・監視を請け負うマネージドサービス事業者（MSP）が侵害され、そこが管理する複数の顧客企業へ被害が連鎖する型もあります。いずれの型にも共通するのは、直接ではなく「信頼している相手」を経由して入られるという構図です。
攻撃の手口をより細かく分類し、増加している背景まで詳しく知りたい場合は、以下の記事で解説しています。
実際に起きたサプライチェーン攻撃の被害事例
サプライチェーン攻撃が「他人事ではない」ことは、国内外の実例が示しています。以下は、広く報じられた代表的な被害事例を、攻撃の型とあわせて整理したものです。
| サプライチェーン攻撃の主な被害事例 | SolarWinds（Orion） | ASUS（ASUS Live Update） | CCleaner（Piriform/Avast） | MOVEit Transfer（Progress社製品） | ぴあ（B.LEAGUEチケットサイト運営受託） | アサヒグループホールディングス |
|---|---|---|---|---|---|---|
| 時期 | 2020年（12月公表） | 2018〜2019年（2019年3月公表） | 2017年8〜9月 | 2023年（5月悪用開始・6月公表） | 2017年3月（4月公表） | 2025年9月 |
| 手口（攻撃の型） | 正規のOrion更新プログラムにバックドア「SUNBURST」を混入（ソフトウェア・アップデート改ざん型） | プリインストールの正規アップデートツールに不正コードを注入（ソフトウェア・アップデート改ざん型） | 正規署名済みの配布版に多段マルウェアを混入（ソフトウェア・アップデート改ざん型） | 多くの企業が使うファイル転送製品の脆弱性CVE-2023-34362を悪用しデータ窃取（取引先・委託先経由型／Cl0p） | 運営受託先のWebサーバの脆弱性を突いた不正アクセス（取引先・委託先経由型・国内） | ランサムウェア攻撃によるシステム障害。出荷・受注網の停止が取引先へ波及（国内・最新） |
| 被害規模 | 改ざん版の更新が広範に配布。最大約18,000組織がダウンロードした可能性（SolarWinds社開示） | 100万人超に不正な更新が配布された可能性。うち特定の約600台を標的化 | 約227万人が感染版をダウンロード。うち大手IT・通信企業を標的に第2段を配信 | 同製品を使う世界中の多数の組織へ連鎖的に波及 | 個人情報 最大154,599件・クレジットカード情報 32,187件が流出のおそれ | 受注・出荷業務等が停止。取引先・従業員等の個人情報 115,513件の漏えいを確認 |
※各社・当局の公表情報にもとづく。被害規模は公表時点の数値であり、続報で更新される場合があります。
ソフトウェア・アップデート改ざん型（SolarWinds・ASUS・CCleaner）は、1つの製品汚染が多数の利用者へ一斉に広がる点が共通します。取引先・委託先経由型（MOVEit・ぴあ）は、多くの企業が使う製品や委託先が侵入口となり被害が連鎖します。国内でも、2025年に大手企業がランサムウェア被害を受け、出荷網の停止が多くの取引先へ波及しました。規模を問わず備えが求められています。
出典・参考資料（6件）
- 出典：Alert AA20-352a（SolarWinds Orion）｜CISA（https://www.cisa.gov/news-events/cybersecurity-advisories/aa20-352a）
- 出典：Operation ShadowHammer（ASUS）｜Kaspersky Securelist（https://securelist.com/operation-shadowhammer/89992/）
- 出典：CCleanup: A Vast Number of Machines at Risk｜Cisco Talos（https://blog.talosintelligence.com/avast-distributes-malware/）
- 出典：Alert AA23-158A（CL0P / MOVEit CVE-2023-34362）｜CISA・FBI（https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-158a）
- 出典：不正アクセスによる個人情報流出の可能性に関するお知らせ｜ぴあ株式会社（https://corporate.pia.jp/news/files/security_incident20170425.pdf）
- 出典：サイバー攻撃によるシステム障害発生について｜アサヒグループホールディングス（https://www.asahigroup-holdings.com/newsroom/detail/20251003-0104.html）
サプライチェーンセキュリティで企業・取引先がとるべき対策
ここからは、自社と取引先・委託先を守るために何をすべきかを、組織・ルール面と技術面に分けて整理します。限られた人員・予算で進めるなら、次の順序で着手すると無理がありません。
- 重要な情報・業務を預けている委託先を洗い出し、リスクを可視化する
- 業務委託契約にセキュリティ要件を明記し、監査・報告の仕組みを整える
- 自社と委託先の技術的な防御（アクセス権の最小化・多要素認証・脆弱性管理・セキュアなファイル共有）を進める
- 定期点検で継続的に見直し、水準を維持する
もっとも、自社やグループの内部から一歩踏み込んで、取引先・委託先まで含めて評価する取り組みは、日本ではまだ広がりの途上にあります。海外を含めてサイバーリスク評価を手がける事業者は、国内の現状を次のように見ています。
国内ではまだファーストパーティ(自社)やグループ会社のセキュリティガバナンス、いわゆるセキュリティポスチャーを可視化する目的でのご利用が多いです。そこからサプライチェーン上のサードパーティを評価するというのは、他の国に比べると日本はまだ少し遅れている部分があるかなと思っています。
組織・ルール面の対策（委託先の可視化・契約でのセキュリティ要件明記・監査）
経済産業省とIPAの「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者が取り組むべき事項の一つとして、ビジネスパートナーや委託先を含めた対策を挙げています。実践の第一歩として示されているのは、次の2点です。
指示9. ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策
・サイバーセキュリティリスクのある委託先の特定
出典：サイバーセキュリティ経営ガイドライン Ver3.0 実践のためのプラクティス集｜経済産業省・IPA
・サイバーセキュリティリスクのある委託先に対するサイバーセキュリティ対策状況の把握
この考え方にそって、まずは重要な情報や業務を預けている委託先を洗い出し、それぞれのセキュリティ対策状況を把握します。次に、業務委託契約にセキュリティ要件（順守事項・報告義務・監査受け入れなど）を明記し、定期的にチェックシートで状況を確認する運用へつなげます。委託先が多いほど手作業では回らなくなるため、後述する委託先管理（TPRM）ツールの活用が現実的な選択肢になります。
出典・参考資料（1件）
- 出典：サイバーセキュリティ経営ガイドライン Ver3.0 実践のためのプラクティス集｜経済産業省・IPA（https://www.ipa.go.jp/security/economics/csm-practice.html）
技術面の対策（ID・アクセス管理／脆弱性管理／監視／セキュアなファイル共有）
技術面では、委託先や外部サービスに与えるアクセス権を必要最小限に絞り、利用状況を継続的に監視することが基本です。加えて、利用ソフトウェアやOSSの脆弱性を管理して速やかに更新すること、取引先とのファイル授受を暗号化・アクセス制御・操作ログ付きの仕組みに統一することが、サプライチェーン攻撃の主要な侵入口をふさぎます。
対策の全体像を体系的に押さえたい場合は、国際的なフレームワークが参考になります。NIST（米国立標準技術研究所）の「サイバーセキュリティフレームワーク（CSF）2.0」は、2024年の改訂で従来の5機能（識別・防御・検知・対応・復旧）に「統治（GOVERN）」を加えた6機能へ拡張し、サプライチェーンのリスク管理を統治機能の中に位置づけました。
また、委託先が扱う重要情報を守るための要求事項をまとめた「NIST SP800-171」も参照基準の一つです。ただし本来は米国連邦政府の調達に関わる基準であり、日本企業への直接の義務ではない点には留意が必要です。
出典・参考資料（2件）
- 出典：NIST Cybersecurity Framework (CSF) 2.0（NIST CSWP 29）｜NIST（https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf）
- 出典：NIST SP 800-171 Revision 3｜NIST（https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-171r3.pdf）
取引先に渡すセキュリティチェックシート・契約書ひな型の準備
委託先の状況把握を始めるとき、質問票（セキュリティチェックシート）や契約書のひな型をゼロから作る必要はありません。公的機関（IPA・経済産業省）や業界団体、セキュリティ事業者が、無料または資料請求で入手できるひな型・チェックシートを公開しています。SCS評価制度の★3・★4要求事項も、確認項目の土台として活用できます。
まずはこうした既存のひな型を土台に自社向けへ調整し、運用に乗せてから、必要に応じて委託先管理ツールへ移行するのが着手しやすい進め方です。自社の業界に対応したガイドライン準拠のテンプレートがあれば、それを優先して確認するとよいでしょう。
経済産業省のSCS評価制度（★3〜5）とは
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」は、2026年3月に経済産業省と内閣官房国家サイバー統括室が公表した制度構築方針にもとづき、IPAが運営する制度です。取引の場面で「★いくつ相当の対策ができているか」を共通のものさしで示せるようにする仕組みです。
委託先が取引ごとに異なるチェックを受ける負担と、委託元から委託先の対策状況が見えにくい課題の双方を解消し、サプライチェーン全体のセキュリティ水準を底上げすることを目的としています。
評価は★3〜★5の段階で設計されています。★1・★2は既存のIPA「SECURITY ACTION」に相当し、本制度で実質的な評価が始まるのは★3からです。それぞれの求められる水準と評価方法、運用開始時期の見込みは次のとおりです。
| SCS評価制度の段階（★3〜★5） | ★3 | ★4 | ★5 |
|---|---|---|---|
| 求められる水準 | 一般的なサイバー脅威に対処しうる、最低限実装すべき水準 | 被害拡大の防止や、サプライチェーンでの自社の役割に応じた強靭化まで踏み込んだ水準 | より高度な攻撃に備え、現時点のベストプラクティスにもとづく対策を実行する水準 |
| 評価方法 | セキュリティ専門家の確認を経た自己評価（専門家確認付き自己評価） | 評価機関による第三者評価＋技術検証事業者による技術検証 | 検討中 |
| 運用開始（見込み） | 2027年3月頃 | 2027年3月頃 | 検討中 |
※IPA公表情報にもとづく（2026年9月時点）。★1・★2はIPA「SECURITY ACTION」が相当。
要求事項は、次の7つの大分類で構成されています。「①ガバナンスの整備／②取引先管理／③リスクの特定／④攻撃等の防御／⑤攻撃等の検知／⑥インシデントへの対応／⑦インシデントからの復旧」です。①・③〜⑦はNIST CSFの6機能（統治・識別・防御・検知・対応・復旧）に対応し、②取引先管理を独立した分類として加えている点が、サプライチェーンを対象とする本制度の特徴です。
たとえば最低限の水準である★3では、各分類に沿って、セキュリティ担当や対応方針の明確化、情報資産・ネットワークの把握、ID・パスワード管理やマルウェア対策、インシデント対応手順の整備といった基本的な対策が求められます。個別の項目はIPAが公開する要求事項・評価基準で確認できます。
こうした制度整備の動きの背景には、サプライチェーンのリスク管理への関心が企業の現場で高まっている実態があります。セキュリティ評価サービスを提供する事業者からは、次のような声が聞かれました。
一言で言うと、サプライチェーンリスク管理をしたいというニーズが増えています。（中略）背景としては、各省庁が警鐘を鳴らしていることもありますし、IPAが発表している情報セキュリティ10大脅威の中でも、サプライチェーンの弱点を悪用した攻撃が長年にわたって上位にランクインしています。直近では、経済産業省が主導しているサプライチェーン対策の評価制度（SCS評価制度）への関心も高まっていて、それにキャッチアップするためにサプライチェーンをどう評価すればいいのか、という観点でお問い合わせをいただくことも増えてきています。
なお、本制度は現在も整備が進んでいる最中です。基本規程は2026年8月、制度基準・制度手順は2026年9月に相次いで追加公開されており、★の水準・評価方法・開始時期・要求事項は今後更新される可能性があります。実際に対応を検討する際は、必ず経済産業省・IPAの最新の公開情報を確認してください。
出典・参考資料（3件）
- 出典：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）の詳細情報｜IPA（https://www.ipa.go.jp/security/scs/details.html）
- 出典：SCS評価制度 よくある質問｜IPA（https://www.ipa.go.jp/security/scs/faq.html）
- 出典：SCS評価制度 要求事項・評価基準｜IPA（https://www.ipa.go.jp/security/scs/requirements-criteria.html）
★3・★4の要求事項や申請の流れなど、SCS評価制度そのものをさらに詳しく知りたい場合は、以下の記事で解説しています。
SCS評価制度とは｜★1〜★5の要求事項と自社が今からできる対応ステップを解説
取引先の大手企業から「経済産業省が新しいセキュリティ評価制度を作ったらしい、御社の対応方針を教えてほしい」と連絡が来た、あるいは業界ニュースで「SCS評価制度」の文字を見て「これは自社に関係するのか」と気になった——そんな状況で本記事にたど…
一括ダウンロードする
最初に着手すべき対策とサービスの選び方
ここまでの内容を踏まえ、次の一歩として検討したい対策サービスを紹介します。以下の比較表で、それぞれの主な用途と特徴を整理します。
課題起点で見ると選びやすくなります。委託先が多い発注側はまず委託先管理（TPRM）、取引先からSCS評価制度への対応を求められた側は制度対応・セキュリティ評価、取引先とのファイル授受を安全にしたい場合はセキュアなファイル共有、という当たりのつけ方です。
| サプライチェーンセキュリティ対策サービスの比較 | VendorTrustLink | SecureNavi（StarQuest） | Conoris BP | Assured | Secure SketCH | DirectCloud |
|---|---|---|---|---|---|---|
| サプライチェーンセキュリティでの主な用途 | 委託先管理・可視化（TPRM） | SCS評価制度への対応（★取得・継続運用支援） | 委託先・再委託先の管理（VRM） | 利用SaaS・取引先の第三者セキュリティ評価 | セキュリティ評価・可視化（自社〜委託先） | 取引先とのセキュアなファイル共有 |
| 特徴 | チェックシートの送付〜回収〜自動採点〜経年比較を自動化 ISO 31000に沿った設計。委託先は専用アカウントで直接回答 | ISMS／Pマーク運用ツールの資産を活かした制度対応 要求事項・評価基準の改訂に自動追従、AIアシスト搭載 | 委託先から再委託先までツリー階層で管理 AIレビューアシストが回答を自動分析し審査を支援 | 専門チームが約120項目で事前評価しデータベース化 自社で評価を実施せずレポートを参照できる | 得点・偏差値で定量化し約30業種でベンチマーク比較 アンケート＋外部スキャンのハイブリッド評価、SCS★3／★4テンプレート搭載 | DRM暗号化・承認ワークフロー・250種類以上の操作ログで統制 国内データセンター運用、ISO/IEC 27001・27017取得 |
| 料金 | 要お問い合わせ （アカウント数×委託先数の個別見積り） | 要お問い合わせ | 要お問い合わせ （管理企業数により変動） | 要お問い合わせ （従量課金／定額課金） | 要お問い合わせ （全プラン非公開） | 初期費用0円／月額44,000円〜 （税抜・Standardプラン、ユーザー数無制限） |
| 詳細情報 | 公式資料を見る | オンライン相談を予約 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
1. VendorTrustLink（株式会社アトミテック）
委託先・取引先へのセキュリティチェックシートの送付から回収・自動採点・履歴管理までをクラウド上で一元化する、委託先リスク管理（TPRM）に特化したサービスです。国際的なリスクマネジメント指針であるISO 31000に沿った設計を掲げています。
Excelやメールでばらばらに回していたチェック業務を、送付・リマインド・採点・経年比較まで自動化します。委託先は専用アカウントでプラットフォーム上から直接回答するため、メールの往復が不要になります。
委託業務の重要度や個人情報の取扱区分で委託先を分類・絞り込みでき、評価結果はレーダーチャートや一覧で可視化されます。東証プライム上場企業を含む、幅広い規模の企業で利用されています。
料金は利用アカウント数と委託先数に応じた個別見積りで、金額は要問い合わせです（2026年8月時点、公式サイトに掲載なし）。
2. SecureNavi（SecureNavi株式会社）
ISMS認証やプライバシーマークの取得・運用支援を本業とするSecureNaviは、SCS評価制度への対応に特化した専用プラットフォーム「スタークエスト（StarQuest）」を提供しています。★の取得・継続運用に必要な対策の実施、書類作成、審査対応までを、AIアシスト機能で支援するサービスです。制度の要求事項や評価基準の改訂に自動で追従し、新旧の比較ができる点も特徴です。
ISMS・Pマーク運用ツールで培った規程管理や証跡整備の仕組みを活かせるため、すでに認証を取得している企業は、その資産を土台に効率的な制度対応が見込めます。リコージャパンと共同提供する中小企業向けの「StarQuest for RICOH」も用意されています。自社の状況に合わせて、オンラインでの相談から始められます。
3. Conoris BP（株式会社Conoris Technologies）
委託先だけでなく、その先の再委託先までをツリー状の階層構造で管理できるベンダーリスク管理（VRM）ツールです。Webフォーム形式の調査票を委託先に送付し、回収した回答をAIレビューアシスト機能が自動で分析します。社内規程やISO 27001などのフレームワークと自動で照合し、リスクのある項目を抽出して、審査担当者の妥当性判断を助ける構成です（最終判断は人が行います）。
法人APIによる国内企業データベース連携で委託先の基本情報を自動取得でき、年次の定期点検を一括で依頼・回収して年度間の回答差分も追えます。多層のサプライチェーンを継続的に追いたい企業に向いています。料金は管理する企業数に応じた個別見積りで、要問い合わせです（2026年8月時点）。
4. Assured（株式会社アシュアード）
自社で利用するSaaS・クラウドサービスのセキュリティを、専門チームが代わりに評価してデータベース化する「第三者評価型」のプラットフォームです。約120項目の独自質問票にもとづく評価結果をレポートとして参照できるため、利用企業が個別にアンケートを送付・回収・審査する手間を省けます。ドメイン情報からの公開設定の自動収集や、認証情報のAI要約もレポートに含まれます。
評価基準にはNIST SP800-53やISO/IEC 27001・27017、総務省のガイドラインなどが参照されており、2025年からは取引先企業そのものを評価する「Assured企業評価」も提供されています。経済産業省の「情報セキュリティサービス基準」への適合登録もあります。
導入しているSaaSやクラウドが多く、その安全性を効率よく確認したい企業に適しています。料金は閲覧に応じた従量課金または定額課金で、要問い合わせです（2026年8月時点）。
5. Secure SketCH（NRIセキュアテクノロジーズ株式会社）
Web上で設問に回答すると、自社のセキュリティ対策状況を「得点」と「偏差値」で定量化し、同業種・同規模の企業とベンチマーク比較できるセキュリティ評価・可視化SaaSです。約30業種のベンチマークに対応し、アンケート評価に加えて、SecurityScorecard連携による外部からの自動診断を組み合わせられる点が特徴です。
NISTやISO/IEC 27001、サイバーセキュリティ経営ガイドラインなど複数のフレームワークに対応し、経済産業省のSCS評価制度（★3/★4）に対応したテンプレートも搭載しています。個社評価向け、グループ・サプライチェーン評価向け、委託先管理向けとプランが分かれており、自社評価から委託先評価まで段階的に広げられます。
自社の現状を客観的な指標で把握し、委託先評価まで一つの基盤で進めたい企業に向いています。料金は要問い合わせです（2026年8月時点）。
6. DirectCloud（株式会社ダイレクトクラウド）
取引先とのファイルの授受を、暗号化（DRM）・承認ワークフロー・細かなアクセス権設定・操作ログのもとで一元管理できる国産の法人向けクラウドストレージです。追跡できないメール添付や個人のクラウド利用を、統制の効いた共有基盤へ置き換えることで、取引先とのデータ連携を狙う攻撃の侵入口を減らせます。国内データセンターで運用され、ISO/IEC 27001・27017認証を取得しています。
ファイルに強力な暗号化を施すDRM機能「DirectCloud-SHIELD」や、持ち出し時の上長承認ワークフロー、250種類以上の操作ログ記録などを備えます。容量課金プランはユーザー数無制限で、初期費用は0円、月額はStandardプランで44,000円（税抜）からです（2026年8月時点の公式料金ページ）。取引先とのファイル共有を安全な仕組みに統一したい企業に適しています。
ここで挙げた委託先管理やセキュリティ評価は、企業のガバナンス・リスク・コンプライアンスを支えるGRCツールの一領域です。委託先管理を含め、GRCツール全体を機能や対応範囲で見比べて選びたい方は、以下の記事で選び方まで詳しく解説しています。
まとめ
サプライチェーンセキュリティは、自社の内部だけでなく、取引先・委託先や利用ソフトウェアまでを含めて守るという発想が出発点です。攻撃は取引先・委託先を経由する型と、ソフトウェアの更新を悪用する型に大別され、国内外で規模を問わず被害が起きています。まずは委託先のリスクを把握・可視化し、契約や監査でルールを整え、技術的な防御へと段階的に広げていくのが着実な進め方です。
2027年3月ごろの運用開始が見込まれるSCS評価制度（★3・★4）も、取引の前提として意識しておきたい動きです。自社が求められる水準の見当をつけ、委託先管理・セキュリティ評価・セキュアなファイル共有といった課題ごとに、適したサービスの資料を集めるところから始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. サプライチェーンセキュリティとは何ですか？
A. サプライチェーンセキュリティとは、供給網全体を視野に入れて講じるサイバー攻撃対策です。原材料の調達から製造・販売・保守までのつながりと、そこに関わる取引先・委託先・利用ソフトウェアまでを対象とし、自社の内部だけを守る通常の対策と異なり、つながる相手やソフトウェアの安全性まで含めて守る点が特徴です。
取引先・委託先や、広く使われるソフトの更新プログラムを踏み台に侵入する「サプライチェーン攻撃」への備えが中心になります。
Q. サプライチェーンセキュリティ対策は中小企業にも必要ですか？
A. サプライチェーンセキュリティ対策は、企業規模を問わず必要です。むしろ対策が手薄になりがちな中小企業は、大企業への侵入口として踏み台にされやすく、狙われやすい立場にあります。加えて、取引先から「セキュリティ対策状況を示してほしい」と求められる場面も増えています。
まずは重要な情報や業務を預けている委託先の洗い出しと、既存のチェックシートを使った状況把握といった、費用をかけずに始められる範囲から着手するとよいでしょう。
Q. SCS評価制度への対応は義務ですか？対応しないとどうなりますか？
A. SCS評価制度は、現時点で法律上の義務ではありません。ただし取引の前提として一定の★水準を求められる動きが広がる見込みです。対応の有無で直ちに罰則が科されるわけではないものの、委託元が取引条件として水準を求めるようになれば、対応できない企業は商流から外れるおそれがあります。
まずは自社が取引先からどの水準を求められそうか見当をつけ、早めに準備を進めておくことが望まれます。なお制度は整備が進んでいる途中のため、最新の運用状況は経済産業省・IPAの公開情報で確認してください。
Q. SCS評価制度では★3と★4のどちらを目指すべきですか？
A. まずは★3を基準に、重要度が高ければ★4を目指すのが基本的な考え方です。★3は一般的なサイバー脅威に対処しうる最低限の水準、★4は被害拡大の防止やサプライチェーンでの自社の役割に応じた強靭化まで踏み込んだ水準とされています。
自組織と取引先の関係で情報管理や事業継続のリスクが高いと判断される場合は、より高い★4が求められる可能性があります。具体的にどの水準を求められるかは取引先との関係によるため、最終的にはIPAの最新基準と取引先の要請を照らして判断してください。
Q. SCS評価制度の★3対応は短期間で進められますか？
A. ★3で求められる対策は、社外とのファイル共有の統一やログ取得の自動化など、効果の高い項目から着手すれば効率的に準備を進められます。★3は専門家の確認を経た自己評価による水準のため、すでにISMSなどの認証や基本的な社内規程を整えている企業ほど、その資産を土台に短い準備期間でカバーできる項目が多くなります。
ただし制度の運用開始は2027年3月頃が見込まれており、要求事項も今後更新される可能性があるため、最新の基準を確認しながら進めてください。
Q. 取引先とのファイル共有でメール添付は禁止すべきですか？
A. 追跡できないメール添付や個人のクラウド利用は、操作の証跡が残らずリスクとして扱われます。そのため、統制の効いた共有基盤へ置き換えることが推奨されます。取引先とのデータ連携は攻撃の主要な侵入口の一つであり、暗号化・アクセス権設定・操作ログのそろったサービスに統一すると、誰がいつ何を送受信したかを追跡でき、情報漏えいのリスクを抑えられます。
一律に禁止するより、安全な代替手段を用意したうえで移行するのが実務的です。
サプライチェーンセキュリティ対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、委託先管理やセキュリティ評価、セキュアなファイル共有など、サプライチェーンセキュリティ対策に役立つサービスの最新資料を無料で一括請求できます。機能や対応領域を比べて、自社の課題に合うサービスを見つけられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
