top of page

Latest Articles

Tag

政府の注意喚起から考える、サプライチェーンセキュリティの重要性

18 時間前
読了時間: 5分
サプライチェーンの重要性

サイバーセキュリティは、もはや自社のシステムを守るだけでは十分ではありません。


取引先や委託先、再委託先を含むサプライチェーン全体の弱点が、情報漏えいや事業停止につながる可能性があるためです。


2026年10月9日、内閣官房 国家サイバー統括室（NCO）は、相次ぐ不正アクセスによる情報漏えい事案を受け、企業・組織に対してセキュリティ対策の徹底を求める注意喚起を公表しました。


今回の発表を踏まえ、企業が直面するサプライチェーンリスクと、継続的なセキュリティ管理の重要性について解説します。



■政府の注意喚起が示すセキュリティ対策の課題


今回の注意喚起では、不正アクセスによる情報漏えいを防ぐため、ウェブシステムの適切な管理、サプライチェーンを通じた侵害への対策、データの適切な管理などが重要なポイントとして示されています。


企業のウェブシステムは、インターネットを通じて外部と接続されているため、常にサイバー攻撃の対象となる可能性があります。


こうしたリスクに備えるためには、以下のような対策が重要です。


  • OSやソフトウェアの脆弱性を修正し、最新の状態に保つ

  • 多要素認証（MFA）を導入し、不要なアカウントを削除する

  • 不審なアクセスを早期に検知できる体制を整える

  • 委託先に提供する情報を必要最小限に抑える

  • 重要なデータへのアクセス権限を適切に管理する


これらは単なる技術的な対策ではありません。

情報漏えいによる信用低下や業務停止を防ぎ、企業活動を継続するための重要な取り組みです。


委託先が侵入口でも、説明責任を問われるのは自社である可能性があります。企業に求められるのは、発生後の説明だけでなく、発生前から合理的な管理をしていたと示せる体制です。


■なぜ自社だけの対策では不十分なのか


企業のシステムが十分に保護されていても、取引先や委託先のセキュリティ対策に弱点があれば、そこが攻撃の侵入口になる可能性があります。


例えば、以下のような経路が考えられます。


  • 委託先に付与したVPNや管理者アカウント

  • 外部ユーザーが利用できる共有ストレージ

  • 保守業者向けのリモートアクセス環境

  • 取引先とのAPIやファイル連携

  • 再委託先が保有する顧客情報や機密情報


攻撃者は、必ずしも標的企業を直接攻撃するとは限りません。セキュリティ対策が不十分な関連企業を経由して、重要な情報やシステムへのアクセスを試みる場合があります。


そのため、自社の対策だけでなく、取引先を含むサプライチェーン全体のリスクを把握することが重要です。



■サプライチェーンリスクを可視化する5つのステップ


リスク分析は、外部リスクの把握において具体的な状況を理解するための重要なステップです。

以下の手順で進めることをおすすめします。


1. リスクの特定

取引先や委託先との接続状況、外部公開資産、既知の脆弱性など、リスクにつながる要因を洗い出します。


2. リスクの影響度の把握

情報漏えいやシステム停止が発生した場合、事業継続、顧客対応、企業の信用などにどの程度影響するかを整理します。


3. リスクの発生可能性を評価

脆弱性の状況やアクセス権限、過去のインシデントなどを踏まえ、リスクが顕在化する可能性を検討します。


4. リスク対応の優先順位付け

影響度と発生可能性をもとに、優先的に対処すべきリスクを判断します。


5. 継続的な監視と記録

リスクの評価結果や対応状況を記録し、定期的に更新します。新たな脆弱性や取引関係の変化にも対応できる体制を整えます。


特に重要なのが、外部から確認できるセキュリティリスクの継続的な可視化です。


外部公開資産の状況や脆弱性、情報漏えいの兆候などを把握することで、潜在的なリスクの早期発見や対応の優先順位付けにつなげることができます。


ただし、外部から得られる情報だけで企業のセキュリティ状況を完全に評価できるわけではありません。委託先への確認や内部管理状況の評価と組み合わせることが重要です。



■経営課題として取り組む継続的なリスク管理


サイバーセキュリティは、情報システム部門だけで完結する課題ではありません。


インシデントが発生すれば、業務停止や顧客対応、取引先との関係、企業の信用など、経営全体に影響が及ぶ可能性があります。


経営層には、次のような状況を把握することが求められます。


  • 重要な取引先や委託先のリスクを把握できているか

  • 外部企業に付与したアクセス権限を管理できているか

  • インシデント発生時の連絡・対応体制が整っているか

  • 外部公開資産や脆弱性を継続的に確認しているか

  • リスクの評価結果を経営判断に活用できているか


また、日本では経済産業省が「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の整備を進めています。


この制度は、企業のセキュリティ対策状況を共通の基準で評価し、取引先間で確認しやすくすることを目的としています。


今回の政府の注意喚起とSCS評価制度は別の取り組みですが、いずれもサプライチェーン全体のセキュリティ水準を高めるという共通の課題に関係しています。


■まとめ｜企業が今から取り組むべきこと


今回の国家サイバー統括室による注意喚起は、企業が自社だけでなく、サプライチェーン全体のセキュリティ対策を見直す重要な機会となります。


まずは、重要な委託先の把握、外部アカウントの棚卸し、脆弱性の確認、インシデント対応体制の整備など、身近な取り組みから始めることが大切です。


そして、一度対策を実施して終わりにするのではなく、リスクの変化を継続的に把握し、改善につなげていく必要があります。


サプライチェーン全体のリスクを可視化し、継続的に管理することが、企業の事業継続と信頼を守るための重要な基盤となります。



参考資料


Latest Articles

bottom of page