Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第8部 8-5

サプライチェーンリスクとは｜取引先経由で被害が広がる仕組みと中小企業の対策

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 取引先や委託先で起きた事故の影響が自社に及びそうなとき
  • 発注元から「SCS評価制度」や「サプライチェーン対策」への対応を求められたとき
  • どの取引先が止まると自社の事業が止まるかを、前もって整理したいとき

読み終えたあと、社内でこう言えます

「取引の地図を作り、止まると困る相手から確認を始めました」

結論：サプライチェーンリスクとは、取引先・委託先・使っているクラウドを通じて、自社の事業や情報に被害が及ぶおそれのことです。型は「止まる」「漏れる」「入り込まれる」の3つに分けられます。情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」（2026年1月）でも、組織編の2位でした。中小企業は被害を受ける側であり、発注元への入口として狙われる側でもあります。まず取引の地図を作り、止まると困る相手から確認と取り決めを進めます。

サプライチェーンリスクは、取引先経由で事業が止まる・情報が漏れる・システムに入り込まれるの3つ

サプライチェーンリスクとは？「止まる・漏れる・入り込まれる」

サプライチェーンとは、材料の仕入れから製造、配送、販売までの、会社どうしのつながりのことです。今は部品や商品だけでなく、システムの保守、クラウド、事務の外注もこのつながりに入ります。どこか1社が攻撃を受けると、つながった会社にも影響が広がります。

経済産業省と内閣官房国家サイバー統括室が2026年3月に公表した「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」は、想定するリスクを3つに分けています。

型中身方針が挙げる事例の種類
止まる（事業・サービスの提供途絶）取引先への攻撃で、部品の供給やクラウドサービスが止まる自動車部品メーカー、半導体事業者、クラウド事業者
漏れる（機密情報の漏えい・改ざん）委託先やITベンダー、クラウドへの攻撃で、預けた情報が漏れたり書き換えられたりするBPO事業者（業務の外注先）、ITベンダー、クラウド事業者
入り込まれる（踏み台による不正侵入）取引先や保守業者の環境を足がかりに、発注元のシステムに侵入される医療機関、ITベンダー

同じ方針は、これを情報の機密性・完全性・可用性への影響に加え、製品やサービスの提供が途絶えるリスクまで含めて扱うとしています。情報の漏えいだけでなく、「納品できない」「請求できない」という商売の停止が大きな論点です。

被害はどこから広がるのか？

同じ方針は、つながりを2つに分けています。物や業務をやり取りする「ビジネスサプライチェーン」と、クラウドなどのITサービスを調達する「ITサービスサプライチェーン」です。これにソフトウェアの部品のつながりを加えると、中小企業での入口は次のように整理できます。

入口中小企業での例
取引先・仕入先主要な仕入先がランサムウェア（ファイルを暗号化して身代金を求める攻撃）で止まり、材料が届かない。
委託先・再委託先発送代行や給与計算の外注先から、預けた顧客名簿や社員の情報が漏れる。
保守業者・ITベンダー保守用のリモート接続の仕組みが破られ、自社のネットワークに侵入される。
クラウドサービス使っている会計や受発注のサービスが攻撃で止まり、請求書が出せない。
ソフトウェアの部品自社のサイトやシステムが使う部品（ライブラリ）に弱点が見つかり、気づかないまま狙われる。

ソフトウェアの部品のつながりを把握する方法として、SBOM（エスボム。ソフトウェア部品表）があります。ソフトに含まれる部品と版の一覧のことで、経済産業省が導入の手引を公表しています。システムを外注して作る場合は、納品物に部品の一覧を付けてもらうよう頼む方法があります。開発の外注で気をつける点はセキュアな設計・開発の節で扱います。

中小企業はなぜ「入口」として狙われるのか？

攻撃者が大企業を直接狙うと、守りが固く手間がかかります。そこで、つながりのある取引先のうち、守りの弱い所から入ろうとします。中小企業は、自社に盗む価値がなくても、発注元への入口として価値があるのです。

経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月）も、経営者が担当幹部に指示すべき10項目の9番目に、サプライチェーンの対策を挙げています。中身は次の2点です。

これは大企業向けの指針ですが、発注元がこの考え方で動くと、チェックシートや契約の条項として中小企業に届きます。取引先からの質問が増えているのは、この流れの一部です。

たとえば社員20人の金属加工の会社で（架空の例）

自動車部品の二次下請けをしている、社員20人の金属加工の会社を考えます。情報システムは社長の息子が兼務しています。この会社には、両方向のリスクがあります。

  1. 受ける側として：材料の仕入先がランサムウェアで止まり、受注システムも使えなくなった。電話とファクスで発注を受け直す必要が出た。
  2. 入口になる側として：発注元の購買担当とのメールのやり取りを、乗っ取られた自社のアカウントから盗み見られた。続けて、自社を装った偽の請求書が発注元に送られた。

どちらも、自社だけを見ていると気づきにくい被害です。自社の対策は、自社のためだけでなく、取引を続けるための条件になってきています。メールが乗っ取られたときの動き方は、手引きのメールアカウントが乗っ取られたときにまとめています。

自社でできるサプライチェーン対策の手順

大がかりな仕組みは不要です。次の順番で、1枚の表から始めます。

  1. 取引の地図を作る：主な仕入先・委託先・保守業者・クラウドを一覧にする。それぞれに渡している情報と、相手から入れる経路（リモート接続など）を書く。
  2. 止まると困る順に並べる：相手が1週間止まったら何が起きるかで、高・中・低をつける。代わりの相手がいるかも書く。
  3. 確認する：重要度が高い相手から、対策の状況を質問票や公開資料で確かめる。クラウドはクラウドサービス選定の確認項目を使う。
  4. 取り決める：秘密保持、事故の連絡の期限、再委託の扱い、終了時の返却と消去を契約に入れる。終わり方は委託の終了の節を参照。
  5. 連絡網を作る：相手で事故が起きたとき、誰から誰に連絡が来るかを決め、こちらの窓口も伝える。
  6. 代わりの手段を用意する：重要な相手が止まったときの代替（別の仕入先、紙の手順、手元のバックアップ）を決める。事業継続計画との関係はBCPとBIAの節で扱います。
  7. 年に1回見直す：取引先の追加や変更を地図に反映し、重要度をつけ直す。

入り込まれる型への備えとして、取引先用のアカウントとリモート接続は、使う人と時間を絞ることが効きます。取引が終わった相手の入口は、その日のうちに止めます。リスクの種類全体の中での位置づけはリスクの種類の節で確認できます。

SCS評価制度とは？発注元から★を求められたら

サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）とは、委託元が委託先に求める対策の段階を、★の数で示す国の制度です。経済産業省と国家サイバー統括室の方針に基づき、IPAが運営します。方針は、格付けのための制度ではないとしています。

段階中身（方針の要約）
★3すべての取引先が最低限行う基礎的な対策。自己評価を専門家が確認する。
★4標準的に目指す包括的な対策。評価機関による第三者評価。
★5より高度な対策。中身は引き続き検討。

IPAの「SCS評価制度の詳細情報」（2026年5月29日更新）では、2026年度下期に評価用のガイドなどを公表し、その後に運用を始める想定とされています。予定は変わることがあるので、時々確かめてください。★3の中身と準備は、手引きのSCS評価制度の★3とはで詳しく説明しています。

対策にかかる費用についても、方針は触れています。経済産業省と公正取引委員会は、セキュリティ対策の要請と価格交渉を円満に進める想定事例を作成しています。対策の費用は価格交渉の材料になりうることを覚えておくとよいでしょう。個別の交渉や契約の判断は、専門家に相談してください。

チェックシートではこう聞かれる

よくある設問答え方の例
重要な取引先・委託先を把握し、一覧で管理していますか。はい。主な仕入先・委託先・クラウドを一覧にし、渡す情報と重要度を記録して年1回見直しています。
委託先で情報セキュリティ事故が起きたとき、報告を受ける取り決めがありますか。はい。主な委託先との契約に、事故を知ったら速やかに報告する義務と連絡先を定めています。
取引先が利用する、貴社システムへのリモート接続を管理していますか。はい。保守業者の接続は作業時のみ有効にし、アカウントと接続の記録を残しています。
SCS評価制度の★3（または★4）を取得していますか。いいえ（準備中）。制度の開始に合わせて★3の取得を予定しており、〇月までに自己評価を終える計画です。

試験ではここが問われる

SG・支援士・Security+ 5・CISSP 1・CISM 2

  • サプライチェーン攻撃：守りの固い標的を直接狙わず、取引先・委託先・ソフトの提供元など、つながりの弱い所から侵入する攻撃です。
  • 3つの型：事業・サービスの提供途絶、機密情報の漏えい・改ざん、踏み台による不正侵入。可用性の問題（止まる）が含まれる点に注意します。
  • 経営者の責任：サイバーセキュリティ経営ガイドラインVer3.0の重要10項目の指示9が、サプライチェーン全体の状況把握と対策です。
  • SBOM：ソフトウェアに含まれる部品の一覧。部品に弱点が見つかったとき、影響のある製品をすぐ探せます。
  • C-SCRM：サイバーのサプライチェーンリスク管理。NIST SP 800-161 Rev.1（2022年5月、2024年11月更新）が実践の指針です。

確認問題

問1 サプライチェーンリスクの説明として、最も適切なものはどれですか。

  1. ア 自社の社員が、社内のデータを持ち出すリスクだけを指す
  2. イ 取引先・委託先・クラウドなどを通じて、自社の事業や情報に被害が及ぶリスクを指す
  3. ウ 物流の遅れによる在庫不足だけを指し、情報セキュリティとは関係がない
  4. エ 大企業だけが考えればよいリスクである
答えと解説
正解：イ　取引のつながりを通じて、止まる・漏れる・入り込まれる被害が及ぶリスクです。アは内部不正の話です。ウは情報の面を見落としており、エも誤りで、中小企業は入口として狙われます。

問2 社員15人の部品メーカー（架空）で、保守業者用のリモート接続が常に有効なままになっていました。最も直接に高まっているリスクはどれですか。

  1. ア 取引先を踏み台にした不正侵入のリスク
  2. イ 為替の変動による損失のリスク
  3. ウ 社員の採用が進まないリスク
  4. エ 自然災害で工場が止まるリスク
答えと解説
正解：ア　保守業者の環境が破られると、その接続を通って自社に入り込まれます。作業時だけ有効にし、使う人を絞るのが対策です。イ・ウ・エはこの状況から直接高まるリスクではありません。

問3 中小企業がサプライチェーン対策を始めるとき、最初に行うこととして最も適切なものはどれですか。

  1. ア すべての取引先に、同じ厳しさの監査を一度に行う
  2. イ 主な取引先・委託先・クラウドを一覧にし、渡す情報と止まったときの影響を整理する
  3. ウ 取引先の対策は相手の問題なので、何もしない
  4. エ 新しい取引をすべてやめる
答えと解説
正解：イ　まず取引の地図を作り、重要度の高い相手から確認と取り決めを進めます。アは手間がかかりすぎて続きません。ウは委託元としての責任を果たせず、エは商売が成り立ちません。

よくある質問

取引先で起きた事故で自社が損害を受けたら、誰が責任を負いますか？
契約の内容と事故の事情によって変わるため、一概には言えません。まず契約書の損害賠償・責任制限・事故報告の条項を確かめてください。具体的な請求や交渉は、弁護士に相談することをおすすめします。
小さな会社でも、取引先の対策を確認する必要がありますか？
はい。ただし全社を同じように調べる必要はありません。止まると困る相手や、顧客の情報を預けている相手から順に、質問票や公開資料で確かめれば十分です。
SCS評価制度の★は、取らないと取引できなくなりますか？
制度の上では、取得は義務ではありません。ただ、発注元が取引の条件として★を求める場面は増えると考えられます。主な発注元の動きを営業担当から聞き、求められそうな段階に合わせて準備を始めてください。

この記事のまとめ

委託先に送るチェックシート（経済産業省SCS評価制度★3・個人情報保護委員会のガイドラインに沿ったPDF）を、無料配布キットで配っています。社内説明用のスライドつきです。

取引先管理の設問は任せて、確認と提出だけに

Moshiruは、打合せなしでテキストだけでお受けします。発注元から届いたセキュリティチェックシートの、取引先管理やサプライチェーンの設問に、御社の実態に合わせた回答を作ってお返しします。まだ整っていない項目は、いまの対応と予定の書き方も添えます。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. 経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月）
  2. IPA「SCS評価制度の詳細情報」（2026年5月29日更新）
  3. IPA「情報セキュリティ10大脅威 2026」（2026年1月）
  4. 経済産業省「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月）
  5. IPA「サイバーセキュリティ経営ガイドライン プラクティスナビ」指示9
  6. 経済産業省「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引 ver2.0」
  7. NIST「SP 800-161 Rev. 1 Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations」（2022年5月、2024年11月更新）