サプライチェーンセキュリティとは？ 対策と経産省の評価制度を解説
サイバー攻撃の入口は自社の境界だけにとどまりません。調達先や受託先をまたぐ取引が増え、サプライチェーンが広がるほど、弱い接点を起点に被害が広がるリスクも増えるため、セキュリティ担当者はサプライチェーン全体のセキュリティ対策について不安を抱くこともあるのではないでしょうか。
本記事では、サプライチェーンセキュリティの意味や、サプライチェーン攻撃の主なリスク、対策のほか、経済産業省が2026年3月に公表した「サプライチェーン強化に向けたセキュリティ対策評価制度」の案について解説します。
サプライチェーンセキュリティとは、企業が連携する供給網全体の安全性を高める考え方
サプライチェーンセキュリティとは、製品の部品調達、外部委託、クラウドサービスの利用など、企業活動で連携する供給網（サプライチェーン）全体の情報・システムの安全性を高める考え方です。自社のサーバーや端末だけでなく、サプライチェーン内で情報が流れる経路ごとにリスクを把握することが必要です。
多くの企業がサプライチェーンでつながっている昨今では、攻撃者が直接自社を狙わず、セキュリティ水準のばらつきが出やすい接点から侵入を試みることがあります。こういった攻撃はサプライチェーン攻撃と呼ばれ、委託先の端末や利用しているソフトウェアの脆弱性、共有しているアカウントなどを踏み台に、被害を自社へ波及させます。自社単体のセキュリティを高める対策だけでは防ぎきれない場面も増えているため、サプライチェーン全体でのセキュリティレベルの向上が必要です。
サプライチェーンのセキュリティを高めるには、システム、サービス、委託業務のつながりから情報の流れを把握し、どこでどのような情報が扱われ、どのように守られているかを地続きで見ることが出発点になります。トレースしにくい再委託なども、把握できるようにしましょう。
また、ソフトウェアやクラウドのサプライチェーンでは、システム同士をつなぐAPI連携が増えるほど、つながり方が複雑になりやすいと言えます。「自社は適切な対策をしている」という感覚だけでセキュリティ対策を考えると、サプライチェーンの先にあるリスクが見えにくくなるため、注意しなければなりません。
- 併せて読みたい
サプライチェーン攻撃による主なリスク
サプライチェーン攻撃を受けると、企業には様々な被害が生じるリスクがあります。代表的なリスクとしては、下記3点が挙げられます。
| 項目 | 概要 |
|---|---|
| 侵入の踏み台になるリスク | 攻撃を受けたシステムが侵入の踏み台になり、そこから他社へ被害が波及する可能性がある |
| 情報漏洩のリスク | 取引先側への不正アクセスが、自社の機密情報や個人情報の流出につながる可能性がある |
| 業務停止のリスク | 攻撃によって企業の業務用のシステムが止まると、サプライチェーン内の他の企業の調達業務の停止につながり、製品の納期遅延やサービス停止といった問題につながる可能性がある |
- 併せて読みたい
侵入の踏み台になるリスク
サプライチェーン攻撃の代表的なリスクは、攻撃を受けたシステムが侵入の踏み台になり、そこから他社へ被害が波及する可能性があることです。
攻撃を受けた企業が、サプライチェーンの取引先から権限の広いアカウントを付与されていたり、恒久的な接続を許可されていたりした場合、攻撃者は正常な操作を装って取引先のシステムに侵入できることになります。直接、標的企業を狙うのではなく、まずサプライチェーンでつながっている取引先に攻撃する流れは、近年のセキュリティインシデントの報告でも指摘されているパターンです。そのため、サプライチェーンへ許可しているアクセス権限の棚卸と付与する権限の最小化、サプライチェーン全体での多要素認証の導入といった対策が必要になります。
取引先の端末がウイルスに感染したまま自社システムへ接続するシナリオを想定すると、あらゆる接続を信頼せず、接続のたびに利用者や端末を確認してから許可するゼロトラストの考え方が有効になる場面もあります。
- 併せて読みたい
情報漏洩のリスク
取引先側への不正アクセスが、自社の機密情報や個人情報の流出につながることも、サプライチェーン攻撃のリスクの1つです。経営判断に関する情報や技術情報、顧客情報、契約情報などが持ち出されると、その後の経営に重大な影響を及ぼす可能性があります。たとえ取引先への攻撃が端緒になった情報漏洩でも、自社の信用に影響しかねません。
また、もし自社が攻撃を受けて取引先の情報漏洩につながったら、場合によっては取引先やその顧客への説明責任が必要になります。設定の不備やセキュリティ対策の不十分さによって攻撃を招いた場合は、取引が停止されるような事態にもなりかねません。
- 併せて読みたい
業務停止のリスク
攻撃によって企業の業務用のシステムが止まると、サプライチェーン内の他の企業の調達業務の停止につながり、製品の納期遅延やサービス停止といった問題につながるリスクもあります。
例えば、サプライチェーンの中の1つの企業で、業務用のデータが暗号化されるランサムウェアの被害が発生して業務が停止した場合、その企業から部品を調達していた企業は製造計画を見直さなければなりません。サプライチェーンは全体が相互に関連し合って安定した製品やサービスの供給を実現しているため、サプライチェーンの一部が止まるだけで、工程全体のボトルネックになり得ます。
特に、単一のサプライヤーに依存している工程がある場合は、供給先の業務停止があれば、自社の業務も一時的に停止せざるを得ないでしょう。サプライチェーンの一部の企業でのセキュリティ被害が、サプライチェーン全体の業務継続の可否に発展しかねないことを認識しておく必要があります。
- 併せて読みたい
サプライチェーンセキュリティの基本的な対策
サプライチェーン全体のセキュリティを高めるためには、製品やサービスを顧客に届けるまでの工程全体での対策が必要です。そのためには、下記の2つの基本的な視点を意識して、対策を検討するようにしましょう。
| 項目 | 概要 |
|---|---|
| 取引先の把握 | どの取引先がどのような業務に関わり、どのような情報に触れているかを一覧化する |
| 契約条件の整備 | 取引先に求めるセキュリティ対策の条件を整理して、契約書や覚書に明文化しておく |
取引先の把握
サプライチェーンのセキュリティを高めるには、どの取引先がどのような業務に関わり、どのような情報に触れているかを一覧化することが第一歩です。重要度が高い取引では、再委託の有無や取引先でのデータの出入りの経路まで掘り下げて確認しましょう。
取引先の業務や情報への関わり方を整理しなければ、取引先との対策の検討を進めることはできません。取引先と取り交わす契約の内容や、アクセスを許可すべき情報の範囲の検討も難しくなります。
また、業務範囲や情報の経路の全体像が曖昧なままでは、サプライチェーン内のどこかの企業が攻撃された場合に、事態の把握や整理が遅れ、対応が後手に回りやすくなります。
契約条件の整備
サプライチェーンのセキュリティレベル向上のために、取引先との間でセキュリティ要件を定めた契約条件を整備することも重要です。取引先に求めるセキュリティ対策の条件を整理して、契約書や覚書に明文化しておきましょう。
また、契約書や覚書には、セキュリティインシデントが発生した場合の報告義務や連絡手順などを具体的に記載すると、不測の事態でも迅速な対応が可能になります。加えて、場合によっては、自社によるセキュリティ対策状況の監査の権限や再委託を認める場合の条件を盛り込むことも重要です。
口頭や簡単な資料による説明だけに頼ると、実際にセキュリティ対策を導入・運用してもらう際に解釈の相違が生じるかもしれません。要求したい対策やセキュリティ水準の目標を具体的に指定した上で、必ず契約書などの文書を取り交わしておくことが必要です。
経済産業省の新制度「サプライチェーン強化に向けたセキュリティ対策評価制度」とは
サプライチェーンのセキュリティレベル向上を図るために、経済産業省が検討を進めている制度が「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）です。これは2026年4時点で正式に決定された制度ではありませんが、2026年度末までの実施が予定されています。今後の議論によっては内容が変更される可能性もあるため、注意してください。本記事では、2026年3月に公表された内容をベースに解説します。
この制度案の趣旨は、2社間の取引で、発注側が求めたいセキュリティ対策の達成度を星の数で整理し、受注側の実施状況を確認しやすくすることにあります。取引の現場で「どこまでやれば十分か」を星の数で示すことで、共通認識を持てるようにするための制度と言えるでしょう。
発注側にとっては、自社が求める水準の星の数をクリアした企業であれば、安心して契約できるようになります。また、受注側にとっても、自社の対策水準を客観的に説明しやすくなるメリットがあります。
制度の最新情報は、経済産業省の公表資料で確認するのが確実です。詳細については、経済産業省「「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました」などをご確認ください。
SCS評価制度の評価対象
SCS評価制度では、制度がどのような領域を対象としているかを正しく理解しておくことが重要です。評価対象となる領域と対象外の領域は、それぞれ下記の通りです。
| 対象になる領域 | 対象外となる領域 |
|---|---|
|
|
対象になる領域
SCS評価制度では、企業のIT基盤となるパソコン、サーバー、クラウドサービスのほか、外部ネットワークとの境界となるファイアウォール、ルーター、VPN装置などが評価対象に含まれるものとして整理されています。言い換えれば、情報が出入りする領域と、外部との接点となる領域が対象です。
外部との接点での対策だけでなく、社内でのIT基盤のセキュリティ対策を充実させることも必要になるため、担当者は接点と社内のIT資産の両方のセキュリティ対策を把握しながら、SCS評価制度への対応を進めなければなりません。
社内のIT基盤でサイバー攻撃への耐性を高めた上で、外部との接点でのセキュリティも強化することで、サプライチェーン全体のセキュリティレベルを向上できるという考え方が前提とされています。
対象外となる領域
SCS評価制度では、工場などの制御システムや、自社が開発・提供する製品そのものは、評価対象に含まれません。事業に関連するシステムのすべてが評価対象となるわけではない点に、注意が必要です。
対象外だから安全という意味ではなく、現場で動く制御システムや提供する製品の安全性は別の枠組みで管理する必要があります。
SCS評価制度の内容
SCS評価制度では、星1から星5までの5段階でセキュリティ対策の状況を位置付ける考え方が示されています。星1・星2は、従前からあった自己宣言制度を中心としたセキュリティ対策の入口と位置付けられており、星3から星5までが、第三者が関与した確認や評価を必要とする新しい制度です。星が上がるほど、求められる対策のレベルも上がります。
星1から星5までの各制度の内容と、新制度に対応するために特に押さえておくべき星3・星4の違いは、それぞれ下記の通りです。
星1・星2の自己宣言
星1と星2は、すでに実施されている情報処理推進機構（IPA）の「SECURITY ACTION（セキュリティアクション）」の自己宣言に基づく制度です。自社で最低限の対策状況を整備することを宣言し、取り組みの可視化を始める段階と捉えるとわかりやすいでしょう。星1と星2の自己宣言の内容は、それぞれ下記の通りです。
- 星1と星2の自己宣言の内容
-
- 星1：「中小企業の情報セキュリティ対策ガイドライン」に記載されている「情報セキュリティ6か条」に取り組むことを宣言する
- 星2：「中小企業の情報セキュリティ対策ガイドライン」の付録3「5分でできる！情報セキュリティ自社診断」で自社の状況を把握した上で、付録2「情報セキュリティ基本方針（サンプル）」を定め、外部に公開する
第三者による厳格な評価ではなく、まずセキュリティ対策の土台となる基礎知識を確認するための制度となっています。星1・星2は、次の星3以上の段階につなげるための出発点として捉えるといいでしょう。
星3の専門家確認付き自己評価～星5の第三者評価
星3、星4、星5は新しいSCS評価制度で設けられた枠組みで、第三者による確認や評価が組み込まれる点が特徴です。星が増えるほど、独立した視点からのチェックが強まる制度となっています。
ただし星5については、2026年4月時点で公表されている制度案の段階では内容が検討中とされていて、今後の動向を注視しなければなりません。一方、星3と星4は制度の概要が固まりつつあり、要求される対策のレベルや確認・評価の仕組み、更新期間がそれぞれで異なることが示されています。
なお、第三者による確認・評価を受けるためには、必要書類の準備などに一定の手間もかかります。社内体制を整備して、確認・評価を受ける際の手順や書類の保管場所を決め、繰り返し行われる確認・評価に効率的に対応できるようにしましょう。
星3と星4の違い
星3と星4では、求められるセキュリティ対策のレベルが異なり、星4のほうがより高い水準を要求しています。評価の仕組みも、星3では専門家の確認を前提とした自己評価が想定されている一方で、星4では第三者機関による評価が必要になり、より強い第三者の関与が必要です。
また、星を獲得した後の有効期間も同一ではなく、星3では1年間ですが、星4では3年間とされています。ただし、星4でも毎年の自己評価の実施と、第三者機関への提出を要求する制度が想定されています。
| 項目 | 星3 | 星4 |
|---|---|---|
| 求められるセキュリティ水準 | 基礎的な組織的対策とシステム防御策が中心 | 組織ガバナンス・取引先管理、システム防御・検知、インシデント対応などの包括的な対策が必要 |
| 評価の仕組み | 専門家の確認を前提とした自己評価 | 第三者機関による評価 |
| 有効期間 | 1年間 | 3年間（ただし、毎年の自己評価の実施と、第三者機関への提出が必要） |
なお、星3・星4の制度への対応については、中小企業向け支援策として「サイバーセキュリティお助け隊サービス」（新類型）の創設が予定されているため、自社での対応が難しそうな場合は活用を検討しましょう。
SCS評価制度の動向を見ながら、対策を進めよう
サプライチェーンセキュリティを有効に機能させるためには、取引先を含めたサプライチェーン全体での対策が必要です。取引先の棚卸や、契約へのセキュリティ要件の落とし込みについて検討も進めていきましょう。
サプライチェーンセキュリティを向上させるための公的な取り組みとして、SCS評価制度の新設が議論され、2026年度末までの実施も予定されています。SCS評価制度では、多くの星の数を獲得できれば取引先に自社の対策を説明しやすくなる一方で、星の数が少ない評価しか獲得できない場合は、セキュリティ対策が不十分と判断されて取引停止となるかもしれません。議論の動向を注視しながら、制度に対応するための準備を進めていくことをお勧めします。
SCS評価制度の要求事項に効率良く対応したい場合は、インターコムが提供する情報漏洩対策ツール「MaLion」シリーズの活用も有効です。「MaLion」なら、IT資産管理台帳の自動更新（資産管理の省力化）、パソコン・モバイル端末の一元管理、ファイルの一括配布によるアップデート管理の効率化、不許可端末・可搬デバイスの利用制限、許可していないソフトウェアの利用制限といった機能によって、SCS評価制度での複数の要求事項への対応に役立ちます。自社の情報漏洩対策に課題を感じている場合は、ぜひお問い合わせください。
