サプライチェーンのセキュリティ。取引先を経由する攻撃への備え

サプライチェーンのセキュリティとは、自社だけでなく、取引先、業務を任せている委託先、使っているソフトウェアを経由する攻撃に備えることです。自社の守りが固くても、つながっている先の守りが弱ければ、そこが入り口になることがあります。備えの基本は、つながっている先を一覧にし、重要さに応じて確かめる範囲を決め、契約と日々の運用で守りの水準をそろえることです。

取引先を経由する攻撃は、どのくらい問題になっているか

取引先や委託先を経由する攻撃は、国内の組織にとって大きな脅威の一つと位置づけられています。IPAの「情報セキュリティ10大脅威 2026」の組織編では、「サプライチェーンや委託先を狙った攻撃」が2位に選ばれ、2019年の初選出から8年連続で選ばれています。1位は「ランサム攻撃による被害」でした。

出典：情報セキュリティ10大脅威 2026（IPA、2026年1月29日）

サプライチェーン攻撃とは、守りの固い会社を直接狙うのではなく、つながりのある取引先や委託先、使われているソフトウェアを先に攻め、そこを足がかりに本来の狙いに近づく攻撃です。被害を受けた会社が、取引先に対する加害の経路になってしまうこともあるため、自社の被害だけでなく、取引先への影響も考える必要があります。

攻撃の経路は、3つに分けて考える

サプライチェーンを経由する攻撃の経路は、取引先のネットワーク、委託先、ソフトウェアの3つに分けて考えると、対策を割り振りやすくなります。

取引先のネットワークを経由する経路は、つながっている取引先が侵入され、そのつながりを通って自社に入られるものです。委託先を経由する経路は、自社の情報やシステムに触れる権限を持つ委託先が侵入されたり、委託先で設定の誤りがあったりして、自社の情報が漏れるものです。ソフトウェアを経由する経路は、使っているソフトウェアや部品、更新の仕組みが改ざんされ、それを使う多くの会社が一度に影響を受けるものです。

取引先のネットワークを経由する

取引先とネットワークやシステムでつながっている場合、取引先が侵入されると、そのつながりを通って自社に入られることがあります。受発注のシステム、共有のファイル置き場、拠点の間をつなぐVPNなどが経路になります。取引先から届くメールが乗っ取られ、本物のやり取りに見せかけた攻撃に使われることもあります。

委託先を経由する

システムの開発・運用、データの保管、問い合わせの対応などを任せている委託先は、自社の情報やシステムに触れる権限を持っています。委託先が侵入されたり、委託先で設定の誤りがあったりすると、自社の情報が漏れることがあります。委託先がさらに別の会社に仕事を任せている場合は、その先まで目が届きにくくなります。

ソフトウェアや部品を経由する

業務で使うソフトウェア、Webシステムに組み込んだオープンソースの部品、更新の仕組みが改ざんされると、それを使う多くの会社が一度に影響を受けます。Webアプリケーションの危険をまとめた OWASP Top 10 の2025年版でも、「Software Supply Chain Failures（ソフトウェアのサプライチェーンの失敗）」が3番目に挙げられています。

出典：OWASP Top 10:2025（OWASP Foundation）

委託先の管理は、どう進めればよいか

委託先の管理は、委託先を一覧にし、扱わせる情報と権限の重さで分け、重いものから契約と確認を厚くする、という順番で進めます。すべての委託先に同じ手間をかけるのは現実的ではないため、重みづけが大切です。

1. 委託先を一覧にする：委託先の名前、任せている業務、扱わせている情報、与えている権限（管理者の権限、ネットワークへの接続など）、契約の期限を書き出します
2. 重みをつける：個人情報や取引先の機密を扱う、システムの管理者の権限を持つ、業務を止められないシステムを担う、といった委託先を重いものとします
3. 選ぶときに確かめる：重い委託先には、対策の状況を質問票で確かめ、ISMSなどの認証や第三者の報告書があれば、その範囲を確かめます
4. 契約に書く：事故が起きたときの報告の期限、再委託の承諾、契約が終わるときの情報の返却と消去などを書きます
5. 使っている間に確かめる：年に一度など時期を決めて状況を確かめ、与えた権限が必要な範囲に収まっているかを見直します

個人データの取扱いを委託する場合は、個人情報保護法 第25条により、委託先に対する必要かつ適切な監督が求められます。選び方、契約、使っている間の確かめ方は、委託先・クラウドサービスの管理をどう確かめるかで詳しく説明しています。契約に書いておく項目は、委託先とのセキュリティの取り決めでも整理しています。

出典：個人情報の保護に関する法律（e-Gov法令検索）

取引先の対策を示す、国の新しい仕組み

取引先に対策の状況を確かめる場面が増える一方で、会社ごとに違う質問票に答える負担も大きくなっています。経済産業省は、取引先のセキュリティ対策の状況を共通の基準で示す「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の準備を進めています。

経済産業省の案内では、この制度は、委託元と委託先の双方の負担を減らし、サプライチェーン全体の水準を底上げすることを目的とし、企業の格付けを目的とするものではないとされています。段階は★3・★4・★5に分かれ、★3と★4は2026年度末ごろの制度開始（申請の受付の開始）を目指し、★5は2026年度以降に検討するとされています（2026年11月時点。制度の運営の準備の状況によって変わる場合があります）。★3・★4の要求事項と評価の基準は、2026年10月28日に Ver1.1 が公表されています。

出典：サプライチェーン強化に向けたセキュリティ対策評価制度（経済産業省）、SCS評価制度の構築方針（案）の公表（経済産業省、2025年12月26日）

制度が始まる前でも、要求事項と評価の基準は、自社の対策の点検表として使えます。取引先から届く質問票への答え方は、取引先から届くセキュリティチェックシートへの答え方で説明しています。

自社が「委託される側」でもあることを忘れない

多くの会社は、委託する側であると同時に、取引先から仕事を任される側でもあります。自社が侵入されると、取引先への経路になるおそれがあるため、委託される側としての守りも欠かせません。

• 取引先から預かった情報を、扱う人と場所を決めて管理する
• 取引先のシステムにつなぐための ID とパスワードを、個人で使い回さず、多要素認証を設定する
• 事故が起きたときに、取引先へ誰がいつ知らせるかを決めておく
• 使っているソフトウェアと部品を一覧にし、修正版を当てる担当を決める

ソフトウェアの部品を一覧にする方法は、SBOM（ソフトウェアの部品表）とはで扱っています。

経営として決めておくこと

サプライチェーンのセキュリティは、担当の部署だけでは決めきれないことが多いため、経営として方針を示すことが大切です。経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」は、経営者が担当の幹部に指示すべき重要10項目の一つに、「ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策」を挙げています。

• どの委託先を重いものとするか、その基準
• 委託先の対策が足りないときに、改善を求めるか、委託先を替えるかの判断
• 自社が委託される側として、取引先にどこまで説明できる状態にしておくか

出典：サイバーセキュリティ経営ガイドライン Ver 3.0（経済産業省・IPA、2023年3月）

契約や法令に関わる個別の判断は、弁護士などの専門家にご確認ください。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、外部に公開しているシステムの診断、見つかった問題を直すこと、委託先の管理の決まりを含む社内の規程づくりをご支援しています。取引先から届いた質問票に沿って現状を確かめ、答えられることと、直してから答えることを分ける作業もお手伝いします。自社の状況をおおまかに確かめたい場合は、無料のセキュリティの自己診断をお使いください。