サプライチェーンと取引先対応：求められる前に準備しておく5つのこと

サプライチェーン攻撃とは、取引先や委託先を経由して本来の標的に届く攻撃です。IPAの情報セキュリティ10大脅威 2026では「サプライチェーンや委託先を狙った攻撃⁠」⁠が組織編の2位⁠に挙げられており、8年連続の選出です。

何から手を付けるか

順番は、自社の基本を固める、説明できる形にする、委託先を見る、です。

1. 情報セキュリティ6か条を実施する
2. SECURITY ACTIONを宣言する
3. 取引先と自社をつなぐ接続やデータのやり取りを書き出す
4. SCS評価制度の要求事項で、自社の状態を点検する
5. 自社が仕事を任せている委託先の状況を確かめる

自社の事故は、自社だけで終わらない

IPAの2024年度の実態調査では、被害を受けた企業（975社）⁠の約7割が、取引先に影響があったと答えました。影響の内容には、サービスの停止や遅延が36.1%⁠、賠償や補償の負担が32.4%⁠、原因調査や復旧の人件費などの負担が23.2%⁠とあります。

不正アクセスを受けた企業（419社）⁠へ⁠の質問では、取引先やグループ会社などを経由した侵入が19.8%でした。受ける側にも、経由される側にもなりうるということです。

部品メーカーの例で考えます。発注元と受発注の仕組みでつながり、図面を受け取っている会社なら、影響は2方向あります。自社が止まれば納品が遅れ、自社のアカウントが悪用されれば発注元に迷惑がかかります。先に確かめるのは、この接続の管理です。

SCS評価制度の概要

SCS評価制度は、サプライチェーンを構成する企業の対策の水準を★で示す制度です。IPAの案内によると、経済産業省と内閣官房国家サイバー統括室の所管のもと、IPAが運営します。

★3の取得は★4の前提ではなく、★5は検討中です。予定としては、2026年12月⁠に評価機関などが公表され、2027年3月⁠に受付が始まり、2027年4月以降に取得企業が公表されます。IPAは2026年10月28日⁠に評価用のガイドと解説書を公開しました。

中小企業の情報セキュリティ対策ガイドライン 第4.0⁠版⁠はこの制度の基本的な考え方に沿っています。まずガイドラインで土台を作り、そのあと要求事項で詰めるとつながります。

調査票が届いたら

取引先の調査票は、答え方で印象が変わります。3つ⁠の決まりで答えます。

• 事実だけを書く。「予定」⁠と「実施済み」⁠を混ぜない
• 「いいえ」⁠の項目には、代わりにやっていることと改善の時期を添える
• 回答の控えを残し、次回の調査で同じ答えを使い回せるようにする

要請は悪いことばかりではありません。IPAの調査では、要請を受けた企業（511社）⁠の42.1%が、要請された対策が取引につながった大きな要因だと答えています。

調査票が増えてきたら、チェックシートの管理ツール⁠で回答を一元化する方法があります。自社の外から見える状況を点数で示すセキュリティレーティングという製品もあります。

要請に応えるときの悩み

同じ調査報告書によると、取引先から要請を受けた経験がある企業は1割強で、内容は「秘密保持のための措置」⁠が79.6%でした。対策を進めるうえでの課題には、費用の用意と負担の検討が51.3%⁠、発注元との契約内容の明確化が47.0%⁠、専門人材の確保が32.9%⁠と挙がっています。

無理な要請をそのまま受ける必要はありません。何をいつまでに求められているのかを確かめ、費用がかかるものは負担の分け方を相談します。自社が協力会社に仕事を出す立場でも同じです。求める内容を具体的に伝えると、相手も答えやすくなります。

ISMSやPマークは要るのか

ISMSは情報セキュリティの管理の仕組みに関する認証で、プライバシーマーク⁠は個人情報の扱いに関する制度です。取引先が認証を条件にしているなら、取得を考えます。IPAの調査報告書では、要請を受けた企業のうちISMS取得済みの企業の73.9%が、対策が取引につながったと答えました（未取得は30.3%）⁠。

ただ、取得には文書の整備や審査の手間がかかります。求められていない段階なら、6か条やSCSの要求事項による点検で足りることもあります。準備を手伝うISMS運用の道具も、要否を決めてから比べます。

弱点の確かめ方は脆弱性診断・セキュリティ診断⁠、事故が起きたときの連絡体制は監視・運用・社内体制⁠、全体の順番はセキュリティ対策の全体像⁠にまとめています。