---
title: "サプライチェーンのセキュリティ。取引先を経由する攻撃への備え｜アメリア・テクノロジー株式会社"
url: https://www.ameliatechnology.co.jp/blog/supply-chain-security/
description: "サプライチェーンのセキュリティとは、取引先・委託先・使っているソフトウェアを経由する攻撃に備えることです。攻撃の3つの経路、委託先の管理の進め方、経済産業省のSCS評価制度の動きを、一次情報にもとづいて整理します。"
updated: 2026-11-12
publisher: "アメリア・テクノロジー株式会社"
---
# サプライチェーンのセキュリティ。取引先を経由する攻撃への備え

サプライチェーンのセキュリティとは、取引先・委託先・使っているソフトウェアを経由する攻撃に備えることです。攻撃の3つの経路、委託先の管理の進め方、経済産業省のSCS評価制度の動きを、一次情報にもとづいて整理します。

2026.11.12 [経営とDX](https://www.ameliatechnology.co.jp/blog/category/management/)

執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO）

経営とDX（MANAGEMENT）のコラム

## この記事の要点

- IPAの「情報セキュリティ10大脅威 2026」の組織編では、「サプライチェーンや委託先を狙った攻撃」が2位に選ばれています。
- 経路は、取引先のネットワーク、業務を任せた委託先、使っているソフトウェアや部品の3つに分けて考えると整理しやすくなります。
- 経済産業省は、取引先の対策の状況を共通の基準で示す「SCS評価制度」の開始を、2026年度末ごろに目指しています（2026年11月時点）。

サプライチェーンのセキュリティとは、自社だけでなく、取引先、業務を任せている委託先、使っているソフトウェアを経由する攻撃に備えることです。自社の守りが固くても、つながっている先の守りが弱ければ、そこが入り口になることがあります。備えの基本は、つながっている先を一覧にし、重要さに応じて確かめる範囲を決め、契約と日々の運用で守りの水準をそろえることです。

## 取引先を経由する攻撃は、どのくらい問題になっているか

取引先や委託先を経由する攻撃は、国内の組織にとって大きな脅威の一つと位置づけられています。IPAの「情報セキュリティ10大脅威 2026」の組織編では、「サプライチェーンや委託先を狙った攻撃」が2位に選ばれ、2019年の初選出から8年連続で選ばれています。1位は「ランサム攻撃による被害」でした。

出典：[情報セキュリティ10大脅威 2026（IPA、2026年1月29日）](https://www.ipa.go.jp/security/10threats/10threats2026.html)

[サプライチェーン攻撃](https://www.ameliatechnology.co.jp/glossary/supply-chain-attack/)とは、守りの固い会社を直接狙うのではなく、つながりのある取引先や委託先、使われているソフトウェアを先に攻め、そこを足がかりに本来の狙いに近づく攻撃です。被害を受けた会社が、取引先に対する加害の経路になってしまうこともあるため、自社の被害だけでなく、取引先への影響も考える必要があります。

## 攻撃の経路は、3つに分けて考える

サプライチェーンを経由する攻撃の経路は、取引先のネットワーク、委託先、ソフトウェアの3つに分けて考えると、対策を割り振りやすくなります。

取引先のネットワークを経由する経路は、つながっている取引先が侵入され、そのつながりを通って自社に入られるものです。委託先を経由する経路は、自社の情報やシステムに触れる権限を持つ委託先が侵入されたり、委託先で設定の誤りがあったりして、自社の情報が漏れるものです。ソフトウェアを経由する経路は、使っているソフトウェアや部品、更新の仕組みが改ざんされ、それを使う多くの会社が一度に影響を受けるものです。

取引先を経由する攻撃の3つの経路

- **取引先のネットワーク**：つながっている取引先が侵入され、そのつながりを通って**自社に入られる**
- **委託先**：自社の情報やシステムに触れる権限を持つ委託先が侵入されたり、設定の誤りがあったりして、自社の情報が漏れる
- **ソフトウェア**：ソフトウェアや部品、更新の仕組みが改ざんされ、使う**多くの会社が一度に**影響を受ける

### 取引先のネットワークを経由する

取引先とネットワークやシステムでつながっている場合、取引先が侵入されると、そのつながりを通って自社に入られることがあります。受発注のシステム、共有のファイル置き場、拠点の間をつなぐ[VPN](https://www.ameliatechnology.co.jp/glossary/vpn/)などが経路になります。取引先から届くメールが乗っ取られ、本物のやり取りに見せかけた攻撃に使われることもあります。

### 委託先を経由する

システムの開発・運用、データの保管、問い合わせの対応などを任せている委託先は、自社の情報やシステムに触れる権限を持っています。委託先が侵入されたり、委託先で設定の誤りがあったりすると、自社の情報が漏れることがあります。委託先がさらに別の会社に仕事を任せている場合は、その先まで目が届きにくくなります。

### ソフトウェアや部品を経由する

業務で使うソフトウェア、Webシステムに組み込んだ[オープンソース](https://www.ameliatechnology.co.jp/glossary/oss/)の部品、更新の仕組みが改ざんされると、それを使う多くの会社が一度に影響を受けます。Webアプリケーションの危険をまとめた OWASP Top 10 の2025年版でも、「Software Supply Chain Failures（ソフトウェアのサプライチェーンの失敗）」が3番目に挙げられています。

出典：[OWASP Top 10:2025（OWASP Foundation）](https://owasp.org/Top10/2025/)

## 委託先の管理は、どう進めればよいか

委託先の管理は、委託先を一覧にし、扱わせる情報と権限の重さで分け、重いものから契約と確認を厚くする、という順番で進めます。すべての委託先に同じ手間をかけるのは現実的ではないため、重みづけが大切です。

1. **委託先を一覧にする**：委託先の名前、任せている業務、扱わせている情報、与えている権限（管理者の権限、ネットワークへの接続など）、契約の期限を書き出します
2. **重みをつける**：個人情報や取引先の機密を扱う、システムの管理者の権限を持つ、業務を止められないシステムを担う、といった委託先を重いものとします
3. **選ぶときに確かめる**：重い委託先には、対策の状況を質問票で確かめ、[ISMS](https://www.ameliatechnology.co.jp/glossary/isms/)などの認証や第三者の報告書があれば、その範囲を確かめます
4. **契約に書く**：事故が起きたときの報告の期限、再委託の承諾、契約が終わるときの情報の返却と消去などを書きます
5. **使っている間に確かめる**：年に一度など時期を決めて状況を確かめ、与えた権限が必要な範囲に収まっているかを見直します

個人データの取扱いを委託する場合は、個人情報保護法第25条により、委託先に対する必要かつ適切な監督が求められます。選び方、契約、使っている間の確かめ方は、[委託先・クラウドサービスの管理をどう確かめるか](https://www.ameliatechnology.co.jp/blog/vendor-cloud-oversight/)で詳しく説明しています。契約に書いておく項目は、[委託先とのセキュリティの取り決め](https://www.ameliatechnology.co.jp/blog/outsourcing-security-clauses/)でも整理しています。

出典：[個人情報の保護に関する法律（e-Gov法令検索）](https://laws.e-gov.go.jp/law/415AC0000000057)

## 取引先の対策を示す、国の新しい仕組み

取引先に対策の状況を確かめる場面が増える一方で、会社ごとに違う質問票に答える負担も大きくなっています。経済産業省は、取引先のセキュリティ対策の状況を共通の基準で示す「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の準備を進めています。

経済産業省の案内では、この制度は、委託元と委託先の双方の負担を減らし、サプライチェーン全体の水準を底上げすることを目的とし、企業の格付けを目的とするものではないとされています。段階は★3・★4・★5に分かれ、★3と★4は2026年度末ごろの制度開始（申請の受付の開始）を目指し、★5は2026年度以降に検討するとされています（2026年11月時点。制度の運営の準備の状況によって変わる場合があります）。★3・★4の要求事項と評価の基準は、2026年10月28日に Ver1.1 が公表されています。

出典：[サプライチェーン強化に向けたセキュリティ対策評価制度（経済産業省）](https://www.meti.go.jp/policy/netsecurity/scs.html)、[SCS評価制度の構築方針（案）の公表（経済産業省、2025年12月26日）](https://www.meti.go.jp/press/2025/12/20251226001/20251226001.html)

制度が始まる前でも、要求事項と評価の基準は、自社の対策の点検表として使えます。取引先から届く質問票への答え方は、[取引先から届くセキュリティチェックシートへの答え方](https://www.ameliatechnology.co.jp/blog/security-check-sheet-answers/)で説明しています。

## 自社が「委託される側」でもあることを忘れない

多くの会社は、委託する側であると同時に、取引先から仕事を任される側でもあります。自社が侵入されると、取引先への経路になるおそれがあるため、委託される側としての守りも欠かせません。

- 取引先から預かった情報を、扱う人と場所を決めて管理する
- 取引先のシステムにつなぐための ID とパスワードを、個人で使い回さず、[多要素認証](https://www.ameliatechnology.co.jp/glossary/mfa/)を設定する
- 事故が起きたときに、取引先へ誰がいつ知らせるかを決めておく
- 使っているソフトウェアと部品を一覧にし、修正版を当てる担当を決める

ソフトウェアの部品を一覧にする方法は、[SBOM（ソフトウェアの部品表）とは](https://www.ameliatechnology.co.jp/blog/sbom-software-inventory/)で扱っています。

## 経営として決めておくこと

サプライチェーンのセキュリティは、担当の部署だけでは決めきれないことが多いため、経営として方針を示すことが大切です。経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」は、経営者が担当の幹部に指示すべき重要10項目の一つに、「ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策」を挙げています。

- どの委託先を重いものとするか、その基準
- 委託先の対策が足りないときに、改善を求めるか、委託先を替えるかの判断
- 自社が委託される側として、取引先にどこまで説明できる状態にしておくか

出典：[サイバーセキュリティ経営ガイドライン Ver 3.0（経済産業省・IPA、2023年3月）](https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf)

契約や法令に関わる個別の判断は、弁護士などの専門家にご確認ください。

## 当社のご支援

アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、外部に公開しているシステムの診断、見つかった問題を直すこと、委託先の管理の決まりを含む社内の規程づくりをご支援しています。取引先から届いた質問票に沿って現状を確かめ、答えられることと、直してから答えることを分ける作業もお手伝いします。自社の状況をおおまかに確かめたい場合は、無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)をお使いください。

- サプライチェーン
- 委託先管理
- セキュリティ
- 経営

## この記事に出てくる用語

- [情報セキュリティ](https://www.ameliatechnology.co.jp/glossary/information-security/)
- [サプライチェーン攻撃](https://www.ameliatechnology.co.jp/glossary/supply-chain-attack/)
- [VPN](https://www.ameliatechnology.co.jp/glossary/vpn/)
- [オープンソースソフトウェア（OSS）](https://www.ameliatechnology.co.jp/glossary/oss/)
- [Webアプリケーション](https://www.ameliatechnology.co.jp/glossary/web-application/)
- [OWASP Top 10](https://www.ameliatechnology.co.jp/glossary/owasp-top-10/)
- [ISMS（ISO/IEC 27001）](https://www.ameliatechnology.co.jp/glossary/isms/)
- [再委託](https://www.ameliatechnology.co.jp/glossary/subcontracting-consent/)

## 関連する法令・指針（参考情報）

- 法令
   個人情報保護法第25条（委託先の監督）
   個人データの取扱いの全部または一部を委託する場合は、委託を受けた者において個人データの安全管理が図られるよう、委託先に対して必要かつ適切な監督を行わなければなりません。
   個人情報の保護に関する法律・平成15年法律第57号 [e-Gov 法令検索で開く](https://laws.e-gov.go.jp/law/415AC0000000057)
- 指針
   経済産業省・独立行政法人情報処理推進機構（IPA）「サイバーセキュリティ経営ガイドライン」（Ver 3.0（2023年3月））
   大企業と中小企業（小規模事業者を除く）の経営者を対象に、経営者が認識する必要がある3原則と、担当の幹部（CISO など）に指示すべき重要10項目をまとめたガイドラインです。
   [発行元の公式ページで開く](https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf)
- 指針
   独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」（第4.0版（2026年3月））
   中小企業の経営者と実務の担当者が、情報セキュリティ対策を進めるための手順と考え方をまとめたガイドラインです。付録に、自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」などがあります。
   [発行元の公式ページで開く](https://www.ipa.go.jp/security/guide/sme/about.html)

法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。

この記事を書いた人

[石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO

インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。

このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。

## あわせて読みたい

- [移行期間のサービス契約（TSA）とは。決めておくこと](https://www.ameliatechnology.co.jp/blog/tsa-transition-service-agreement/)
- [システムの総費用（TCO）はどう見積もるか](https://www.ameliatechnology.co.jp/blog/system-tco-estimate/)
- [買収した会社のセキュリティの水準を、どうそろえるか](https://www.ameliatechnology.co.jp/blog/pmi-security-baseline/)

[経営とDXのコラムを見る](https://www.ameliatechnology.co.jp/blog/category/management/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/)

## 次の一歩

### 取り組む順番を決める

AI活用の診断では、現場のお話をうかがい、2〜4週間で優先順位と計画をまとめます。

[AI活用の診断を見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

### M&Aの前後のシステムを整える

フロレンティナと一体で、譲渡の前の磨き上げと、譲受の後のシステム統合を進めます。

[M&Aの前後の支援を見る](https://www.ameliatechnology.co.jp/group/#packages)

## ご関心に合わせて、お選びください。

[情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis)

---

出典：アメリア・テクノロジー株式会社「サプライチェーンのセキュリティ。取引先を経由する攻撃への備え｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/supply-chain-security/