自社のセキュリティ対策はしっかりやっていても、取引先や委託先が攻撃の入口になれば、被害は自社にも及びます。これが、サプライチェーン攻撃の怖いところです。
近年、この取引先や委託先を経由した攻撃が近年増えています。独立行政法人IPAがまとめた「情報セキュリティ10大脅威2026」でも、組織向けの脅威として、ランサム攻撃に次ぐ2位に「サプライチェーンや委託先を狙った攻撃」がランクインしました。
この記事では、サプライチェーン攻撃とは何か、なぜ中小企業が狙われるのか、そして「委託する側」「委託される側」の両方の立場で何をすべきかを、わかりやすく解説します。専門知識がなくても実践できる内容を中心にまとめました。
▼ セキュリティ対策に不安がある方へ。
結論：委託先の「選定・契約・権限・点検」と自社対策をセットで
結論からお伝えすると、取引先経由の情報漏洩を防ぐ基本は、委託先に任せきりにしないことです。
具体的には、下記のように委託先の管理を行うといいでしょう。
- 委託先を選ぶときにセキュリティ体制を確認する
- 契約でルールと責任を取り決める
- 渡す情報とアクセス権限を必要最小限にする
- 定期的に状況を点検する
そのうえで、自社自身が「踏み台」にされないよう、基本的な防御も固めておく。この「委託先の管理」と「自社の対策」を両輪で進めることが、取引先経由の漏洩を防ぐ土台になります。
なお、自社が他社から業務を委託される立場になる場合も、同じ考え方で対策を整えておくことが、取引先からの信頼につながります。
サプライチェーン攻撃とは
まずは、言葉の意味を押さえておきましょう。
サプライチェーンとは、商品やサービスが顧客に届くまでの、仕入れ・製造・販売といった一連のつながりを指します。ここには、部品や材料の取引先だけでなく、システムの開発を任せる委託先や、経理や事務を頼む外注先、利用しているソフトウェアやクラウドサービスなども含まれます。
現代の企業活動は、実に多くの外部とのつながりの上に成り立っているのです。
サプライチェーン攻撃とは、こうしたつながりの中の、比較的弱い部分を突いて標的に迫る攻撃のことです。標的の企業を直接狙うのではなく、その企業とつながる取引先や、使っているソフトウェアなどを経由して侵入する。この「回り道」で守りをすり抜けるのが、大きな特徴です。
守りを固めた本命ではなく、その周囲の弱いところから攻める、という発想です。よく「チェーンのいちばん弱い輪から狙う」と表現されるように、つながりの中で最も対策の甘いところが突かれます。
なぜ今、中小企業が狙われるのか
サプライチェーン攻撃で、とくに中小企業が標的になりやすいのには、はっきりした理由があります。
大企業の多くは、セキュリティに人もお金もかけており、正面から攻めるのは簡単ではありません。そこで攻撃者は、その大企業と取引のある、対策が手薄になりがちな中小企業に目をつけます。中小企業のネットワークやアカウントを乗っ取り、そこを足がかりに本命の大企業へと侵入していくのです。
ここで見落としてはならないのが、中小企業は被害者になるだけではない、という点です。自社が踏み台にされれば、取引先にまで被害を広げてしまう加害者の側にもなり得ます。そうなれば、金銭的な損失だけでなく、長年築いてきた取引先からの信頼を失うことにもつながりかねません。
「うちは小さいから狙われない」という考えは、もはや通用しないのです。むしろ、取引先とつながっていること自体が、狙われる理由になり得ます。
サプライチェーン攻撃の主なパターン
サプライチェーン攻撃は、大きく三つのパターンに分けられます。自社に関わりのあるものがないか、確認してみましょう。
一つ目は、ソフトウェアを狙うパターンです。多くの企業が使うソフトウェアやその部品に、開発や配布の段階で不正なプログラムを仕込む手口です。正規のソフトウェアの更新に紛れ込むこともあり、利用者が気づかないうちに感染が広がります。
二つ目は、ITサービスや委託先を狙うパターンです。システムの運用や保守を任せている委託先が攻撃を受け、そこを経由して依頼元の企業に被害が及びます。委託先が持つアクセス権限が悪用されるケースもあります。
三つ目は、取引先やグループ会社を狙うパターンです。取引のある企業やグループ内の一社が侵入され、そのつながりを利用して他社へと攻撃が広がっていきます。
いずれも、自社の外にある弱点が起点になる点で共通しています。だからこそ、自社の中だけを見ていては、防ぎきれないのです。
サプライチェーン攻撃で起こり得る被害
つながりを通じた攻撃では、どのような被害が生じるのでしょうか。代表的なものを知っておきましょう。
一つは、委託先を経由した情報の流出です。委託先が不正アクセスを受けたり、内部で情報が持ち出されたりすることで、預けていた自社や顧客の情報が外部に漏れてしまうケースです。
もう一つは、納品物にマルウェアが紛れ込む被害です。委託先が作成したデータやシステムに、知らないうちに不正なプログラムが混入し、それを受け取った側で被害が広がることがあります。
さらに、調達したソフトウェアの弱点を突かれる被害もあります。使っているソフトに残っていた欠陥が悪用され、そこから侵入を許してしまうものです。
いずれも、自社が直接ミスをしていなくても被害を受け得る点が、この攻撃のやっかいなところです。
委託する側として気をつけること
ここからは、具体的な備えを見ていきます。まずは、自社が業務やシステムを外部に委託する側の立場での注意点です。
委託先を選ぶときに確認する
新しく業務を委託する際は、価格や品質だけでなく、相手のセキュリティ体制も確認しましょう。どのような対策をしているか、情報の管理体制はどうなっているかを、契約前に把握しておくことが大切です。専門的な確認が難しい場合は、簡単なチェックリストを用意して、いくつかの項目を尋ねるだけでも、相手の姿勢が見えてきます。
契約で取り決めておく
委託契約の中に、セキュリティに関する取り決めを盛り込んでおきましょう。守るべきルール、事故が起きたときの連絡や対応の手順、責任の範囲などを、あらかじめ文書で明確にしておくと、いざというときに慌てずに済みます。
渡す情報とアクセス権限を絞る
委託先に渡す情報は、業務に本当に必要なものだけにとどめます。システムへのアクセス権限も、必要な範囲に限定しましょう。渡す情報や権限が少ないほど、万一のときの被害も小さく抑えられます。退職者や契約が終わった委託先のアクセス権が残っていないかも、あわせて確認しておきましょう。
定期的に状況を確認する
委託して終わりではなく、対策が続けられているか、契約どおりに情報が扱われているかを、定期的に確認する仕組みを持っておくと安心です。年に一度など、タイミングを決めて見直すだけでも効果があります。
委託先に確認しておきたいポイント
委託先のセキュリティを確認するといっても、何を聞けばよいか迷うかもしれません。専門的に踏み込まなくても、次のような点を尋ねるだけで、相手の取り組み姿勢はかなり見えてきます。
- 情報の保管や管理の方法：預けたデータをどこに、どのように保管し、どう守っているか。
- アクセス権限の管理：社内の誰がその情報にアクセスできるのか、管理のルールがあるか。
- 従業員へのセキュリティ教育：担当者だけでなく、組織として意識を共有できているか。
- 事故が起きたときの連絡・対応の体制：万一の際に、いつ、誰に、どう連絡が来るのか。
- 再委託の有無とその管理：業務の一部を、さらに別の会社に任せていないか（次の項目で詳述）。
これらを一枚のチェックシートにまとめておけば、複数の委託先を同じ基準で確認でき、比較もしやすくなります。
見落としやすい「再委託」のリスク
委託先の管理で、とくに見落とされがちなのが再委託の問題です。
再委託とは、自社が業務を任せた委託先が、その業務の一部をさらに別の会社に任せることをいいます。この場合、自社の情報は、直接契約していない会社にまで渡っている可能性があります。どれだけ委託先を慎重に選んでも、その先の再委託先の対策が甘ければ、そこが弱点になりかねません。
対策として、契約の段階で、再委託を認めるかどうか、認める場合はどのような条件を守らせるかを、あらかじめ取り決めておくことが大切です。再委託が行われる場合は、その先まで情報が適切に管理されるよう、委託先を通じて求めておきましょう。見えているつながりだけでなく、その先まで意識することが、抜け漏れを防ぎます。
委託される側として気をつけること
一方で、中小企業は他社から業務を委託される側でもあります。この立場での備えも、これからますます重要になります。
自社のセキュリティが、取引先を守ることに直結すると意識しましょう。自社が対策を怠れば、取引先に被害を広げ、取引そのものを失いかねません。逆に、しっかりした対策は、取引先に選ばれ、関係を続けるための強みになります。セキュリティは、コストではなく、信頼を得るための投資だと捉えるとよいでしょう。
公的な制度や支援を活用する
「何から始めればよいか分からない」という場合は、国が用意している中小企業向けの仕組みを活用するのがおすすめです。たとえばIPAは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する「SECURITY ACTION」という制度を運営しています。取り組みを対外的に示すことで、取引先への安心材料にもなります。
また、中小企業が手ごろな費用でセキュリティサービスを利用できる「サイバーセキュリティお助け隊サービス」や、IPAが公開する「中小企業向け情報セキュリティ対策ガイドライン」なども、対策を進めるうえで役立ちます。まずはこうした身近な仕組みから始めてみるとよいでしょう。
取引の条件になっていく流れ
こうした対策の必要性は、制度としても後押しされています。経済産業省は、2026年3月に「サプライチェーン強化に向けたセキュリティ対策評価制度」の制度構築方針を公表し、2026年度末ごろの制度開始を目指しています。
この制度はIPAが運営し、対策の水準を段階的に評価する仕組みとされています。自社の対策に加えて、取引先を含めたセキュリティの状況を把握・管理することが求められる方向であり、今後は、セキュリティ対策の水準が、取引を続けられるかどうかの条件になっていくと考えられます。
まず取り組むべき土台の対策
取引先の管理と並んで欠かせないのが、自社そのもののセキュリティの土台を固めることです。踏み台にされないためには、基本的な守りがしっかりしていることが前提になります。
具体的には、ソフトウェアを最新の状態に保つ、推測されにくいパスワードと多要素認証を使う、不審なメールに注意する、大切なデータのバックアップを取る、といった基本の徹底です。
とくにランサムウェアは、サプライチェーン攻撃と組み合わされることも多いため、その対策は欠かせません。踏み台にされたうえに、自社もランサムウェアの被害に遭う、という事態を防ぐためにも、基本の守りを固めておきましょう。
ランサムウェアへの具体的な備え方は、「うちは狙われない』は危険！中小企業がいま備えるランサムウェア対策」で詳しく解説しています。あわせてご覧ください。
まとめ
サプライチェーン攻撃は、自社だけを守っていても防ぎきれない、つながりを通じた脅威です。IPAの脅威ランキングで2位に入るほど身近な問題であり、対策が手薄な中小企業ほど狙われやすくなっています。
大切なのは、自社の土台となる対策を固めることと、取引先や委託先を含めた全体でリスクを管理することを、両輪で進めることです。委託する側としては相手の確認と契約・権限の管理を、委託される側としては自社の対策を取引の信頼につなげる意識を持ちましょう。
まずは、自社が取引先とどのように情報やシステムをやりとりしているかを、あらためて見直すところから始めてみてください。どことどんな情報をやりとりしているかを把握することが、対策の第一歩になります。
▼ セキュリティ対策の進め方に不安がある場合は。