取引先を含めたサプライチェーンのセキュリティ：委託先・取引先・ソフトウェアの備え

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

自社の守りを固めても、委託先や取引先、ソフトウェアを経由して被害を受けることがあります。この記事では、経済産業省のサイバーセキュリティ経営ガイドラインとIPA（情報処理推進機構）の資料にそって、取引先を含めたセキュリティの考え方と、続けるための手順をまとめます。外部のAIを取り入れる場合の見方にも触れます。

なぜ取引先まで含めて考えるのですか？

IPAの「情報セキュリティ10大脅威 2026」では、組織向けの2位に「サプライチェーンや委託先を狙った攻撃」が選ばれています。解説書によると、この脅威は2019年に初めて選ばれ、2026年版で8年連続の選出です。

解説書は、攻撃者が守りの固い組織を直接狙わず、取引関係の中で弱い部分を経由して段階的に侵入すると説明しています。ここでいうサプライチェーンには、企画・開発から販売までの取引先や委託先、外部のサービスに加え、ソフトウェアの部品・ツール・インフラといった「ソフトウェアの繋がり」も含まれます。

被害は双方に及び、踏み台にされた組織が、取引の停止や損害賠償を求められることもあるとされています。

経済産業省の「サイバーセキュリティ経営ガイドライン Ver 3.0」も、経営者が担当の幹部に指示すべき重要10項目の9つ目に「ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策」を挙げています。取引先の管理は、担当者の判断に任せる作業ではなく、経営として方針を決める事項と位置づけられています。

どんな手口があるのですか？

IPAの解説書は、主な手口を3つに整理しています。

取引先・委託先の管理は、どう進めればよいですか？

経済産業省のガイドラインとIPAの解説書が挙げる対策をもとに、続けやすい順に5つの手順にまとめます。

① 一覧にします。 業務を委託している会社、システムやデータに接続している取引先、使っているクラウドサービスやソフトウェアを書き出します。IPAの解説書は、委託先や取引先のIDやネットワークの接続を把握することを対策に挙げています。SaaSの一覧がない場合は、「SaaSの管理と棚卸しの進め方」から始めると整理しやすくなります。

② 重要さで分けます。 預けている情報や、止まったときの業務への影響で分けます。ガイドラインは、扱う情報の機密性や重要性に応じて求める対策の水準を分ける考え方を示しています。すべての取引先に同じ水準を求めると、双方の負担が大きくなります。

③ 選ぶときに確かめます。 IPAの解説書は契約のときに取引先の規則を確かめることを、ガイドラインはSECURITY ACTIONの実施やISMSなどの認証の取得を確かめることを挙げています。ISMAPなどの評価も参考にし、可能なら複数の候補を比べます。認証は判断の材料の一つで、認証があることだけで十分とは限りません。

④ 契約で決めます。 ガイドラインは、取引先との契約でセキュリティ上の役割と責任の範囲を明確にすることを求めています。IPAの解説書も、責任の範囲、賠償の条項、委託先のセキュリティや情報管理の状況を定期的に確かめられる条項を挙げています。事故が起きたときの連絡の期限と窓口も決めておきます。

⑤ 定期的に確かめます。 監査や自己点検で、合意した対策が実際に行われているかを確かめます。あわせて、委託先と連絡を取る手順を事前に決めておきます。

SCS評価制度とは何ですか？

経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」を進めています。取引先の対策の状況を共通の基準で評価して見える形にし、委託元と委託先の双方の負担を抑えながら、サプライチェーン全体の水準を高めることを目指す制度です。対策の水準を競わせる格付けの制度ではないとされています。

経済産業省のページによると、★3は制度の基礎となる要求事項と評価基準、★4は★3より広い範囲の対策を含む要求事項と評価基準で、★3・★4は2026年度末ごろの制度開始（申請の受付の開始）を目指すとされています。★5は2026年度以降に要求事項などの具体化を検討するとされています。いずれも変わる可能性があるため、最新の情報は経済産業省のページでご確認ください。評価基準の達成に、特定のセキュリティ製品の導入は必須とされていません。

評価を求められる立場の会社は、公表されている要求事項を早めに読み、自社の対策と比べておくと準備しやすくなります。

AIのサービスやモデルを取り入れるときは、何を確かめますか？

外部のAIサービス、公開されているモデル、AIを組み込むためのライブラリも、サプライチェーンの一部です。総務省の「AIのセキュリティ確保のための技術的対策に係るガイドライン」（2026年3月公表）も、細工をしたモデルを組み込ませる攻撃や、学習するデータに細工をする攻撃（データポイズニング攻撃）を「その他の脅威」として挙げています。

確かめる点の例です。

• 提供元：どの会社・団体が提供しているか、入手元が公式のものか
• データの扱い：入力した情報や預けたデータが、どこに保存され、学習に使われるか
• 更新と終了：モデルやサービスがいつ更新・終了されるか、その連絡の方法
• 再委託：提供元がさらに別の会社のサービスを使っているか
• 構成の記録：自社のシステムにどの部品やモデルを組み込んでいるか

IPAの解説書は、納品物の検証として、組み込まれたソフトウェアの把握や、SBOM（ソフトウェアの部品の一覧）の導入の検討を挙げています。AIの部品も同じ一覧に含めておくと、問題が見つかったときに影響の範囲を調べやすくなります。委託先やサービスを確かめる観点は、ひな形「AIの委託先・サービスの確認リスト」にもまとめています。

続けるために、何を決めておけばよいですか？

一度の確認で終わらせないために、次の3つを決めておきます。

• 担当と頻度：一覧の更新、契約の確認、定期の点検を誰がいつ行うか
• 変化があったときの見直し：新しい委託先が増えた、委託の範囲が変わった、委託先で事故が起きた、といったときの手順
• 事故のときの連絡：委託先で事故が起きたときに、誰から誰へ、どの順番で連絡するか

自社が委託を受ける立場でもある場合は、自社の対策の状況を記録しておくと、取引先からの質問票に早く答えられます（土台づくりは「中小企業のセキュリティ対策の始め方」参照）。

チェックリスト

• 委託先・接続している取引先・使っているクラウドサービスとソフトウェアの一覧がある
• 預けている情報や業務への影響で、取引先を重要さごとに分けている
• 取引先を選ぶときに、規則や認証の取得状況を確かめている
• 契約で、セキュリティの役割と責任の範囲、事故のときの連絡を決めている
• 委託先の状況を定期的に確かめられる条項を入れている
• 監査や自己点検で、合意した対策が行われているかを確かめている
• 外部のAIサービスやモデルについて、提供元・データの扱い・更新の連絡を確かめている
• 自社のシステムに組み込んだソフトウェアやAIの部品を記録している
• 委託先で事故が起きたときの連絡の順番を決めている
• SCS評価制度など、取引先の対策を確かめる制度の最新の情報を追っている