1 あなたの会社も「踏み台」として狙われている
取引先を踏み台にしたサイバー攻撃や業務委託先での情報漏えいなど、サプライチェーンを狙った脅威が年々深刻化しています。
IPA(情報処理推進機構)の「情報セキュリティ10大脅威2026」では、「サプライチェーンや委託先を狙った攻撃」が第2位としてランクイン
しました(初選出の2019年以来、8年連続8回目)。
主に受託側となる中小企業にとっても、次のような悩みは尽きません。
- 自分たちがサイバー攻撃の踏み台にされて、取引先に迷惑をかけたらどうしよう
- 限られた予算と人手の中で、何からどう対策すればいいのか分からない
- 取引先から急にセキュリティチェックシートの提出を求められたが、何を書けば良いのか分からない
攻撃者は、セキュリティが強固な大手企業を直接狙うのではなく、セキュリティの体制が手薄になりがちな中小の業務委託先や関連会社を「踏み台」にして侵入する(サプライチェーン攻撃)手口を常套手段としています。
もし自社がサイバー攻撃の踏み台にされ、取引先の機密情報を流出させてしまった場合、取引停止や巨額の損害賠償請求に発展する恐れがあります。
この記事では、リソースの限られた中小企業が、取引先からの信頼を守り、サプライチェーンの「弱点」にならないための現実的なステップを解説します。
2 まずは自社の情報セキュリティ対策状況をチェック
IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」の付録5:情報セキュリティ関連規程(サンプル)の中に、参考情報として「委託先情報セキュリティ対策状況確認リスト」が紹介されています。
次の26個の確認項目について、実施状況を○、×で回答していくものです。これを使って、まずは自社の情報セキュリティ対策状況をチェックしてみましょう。
(図表)【委託先情報セキュリティ対策状況確認リスト】
| 区分 |
No |
確認項目 |
実施状況(○、×) |
| ガバナンスの整備 |
1 |
セキュリティ推進活動を担当する部署、役員及び従業員を決定し、責任及び権限を割り当てていますか? |
|
| ガバナンスの整備 |
2 |
守秘義務のルールを策定し、遵守させていますか? |
|
| ガバナンスの整備 |
3 |
自社のセキュリティ対応方針を策定し、周知していますか? |
|
| 取引先管理 |
4 |
取引先と自社とのビジネス又はシステム上の関係を把握していますか? |
|
| 取引先管理 |
5 |
自社の機密情報の取扱い方法を、共有先との間で明確にしていますか? |
|
| 取引先管理 |
6 |
セキュリティインシデント発生時の他社との役割及び責任を明確にしていますか? |
|
| リスクの特定 |
7 |
情報機器、OS及びソフトウェアに関する情報を把握していますか? |
|
| リスクの特定 |
8 |
ネットワークに関する情報を把握するための仕組みを整備していますか? |
|
| リスクの特定 |
9 |
自社の機密情報を扱う外部情報サービスを管理していますか? |
|
| リスクの特定 |
10 |
機密区分に応じた情報の管理ルールを定め、それに基づく管理を行っていますか? |
|
| 攻撃等の防御 |
11 |
ユーザーIDの発行・変更・削除の手続を定めていますか? |
|
| 攻撃等の防御 |
12 |
管理者IDの発行・変更・削除の手続を定めていますか? |
|
| 攻撃等の防御 |
13 |
システム及び情報の重要度に応じて認証の強度及び実装方法を決定していますか? |
|
| 攻撃等の防御 |
14 |
パソコン及びスマートデバイスにはロック制御を行っていますか? |
|
| 攻撃等の防御 |
15 |
パスワード設定に関するルールを定め、周知していますか? |
|
| 攻撃等の防御 |
16 |
パスワードの管理に関するルールを定め、周知していますか? |
|
| 攻撃等の防御 |
17 |
アクセス権の管理ルールを定めていますか? |
|
| 攻撃等の防御 |
18 |
セキュリティインシデント発生時の対応に関する教育・訓練を行っていますか? |
|
| 攻撃等の防御 |
19 |
適切なバックアップを行っていますか? |
|
| 攻撃等の防御 |
20 |
情報機器、OS及びソフトウェアの安全な構成を確立し、維持していますか? |
|
| 攻撃等の防御 |
21 |
情報機器、OS及びソフトウェアへのセキュリティパッチ及びアップデートの適用に係る手続を定めていますか? |
|
| 攻撃等の防御 |
22 |
システムをマルウェア感染から保護していますか? |
|
| 攻撃等の防御 |
23 |
ネットワークを適切に分離し、境界部分を防護していますか? |
|
| 攻撃等の検知 |
24 |
ネットワーク上の適切な場所でネットワーク接続及びデータ転送を監視していますか? |
|
| インシデントへの対応 |
25 |
セキュリティインシデントへの対応手順、対応体制等を定めていますか? |
|
| インシデントからの復旧 |
26 |
事業上重要なシステムについて、事業継続の要件に沿う復旧に必要な準備を行っていますか? |
|
| (出所:IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」付録5) |
3 重要なのは「実態の把握」と「継続的な改善」
IPAの「委託先情報セキュリティ対策状況確認リスト」や、取引先から送られてくる「セキュリティチェックシート」などの確認項目に対して、「うちには専門家がいないから全部『×』や『いいえ』になってしまう」と悩むかもしれません。
とはいえ、委託元(発注側)が恐れているのは、「セキュリティの不備があること自体」もさることながら、「リスクを放置し、事故が起きた時に連絡すら取れないこと」です。
確認項目で「×」や「いいえ」が多い場合でも、「現在、どのような対策を段階的に進めているか」や「万が一のときの連絡体制や初動はどうなっているか」を誠実に示し、最低限の「基本(当たり前)」を押さえていることを説明できれば、取引先との信頼関係を損なわずにすみます。
情報セキュリティに完璧はありません。できるところから段階的に対応を進めて、継続的な改善をしていくというアプローチが重要です。
4 2026年度末に運用開始予定の「SCS評価制度」への備え
経済産業省および内閣官房国家サイバー統括室は「サプライチェーン強化に向けたセキュリティ対策評価制度」(以下「SCS評価制度」)の導入に向けた検討を進めています。「SCS評価制度」は、企業のサイバーセキュリティ対策状況を星(★)の数で可視化・評価する仕組みで、
- 国が主導して、満たすべきセキュリティ対策の水準 (★レベル) を標準化する
- 発注企業・受注企業の2社間の取引契約で、★レベルを満たすことが条件となる
- 結果として、サプライチェーン全体でセキュリティが強化される
というものです。IPAを事務局として、2026年度末(2027年1月~3月ごろ)の本格運用開始に向けて準備が進められています。
先ほど紹介した「委託先情報セキュリティ対策状況確認リスト」は、この「SCS評価制度」で、全ての企業が最低限実装すべきセキュリティ対策として位置付けられる「三つ星(★3)」で求められるレベルと同じです(実際には、さらに細かい評価項目があります)。
大企業は、SCS評価制度を活用して取引先中小企業のセキュリティ体制を点検し、自社の安全を確保しようとするはずです。こうした動きに備える意味でも、早めに自社の情報セキュリティ対策状況をチェックし、できるところから対応を進めていきましょう。
以上(2026年7月更新)
pj60121
画像:日本情報マート