--- title: "取引先を含めたサプライチェーンのセキュリティ：委託先・取引先・ソフトウェアの備え｜AI-Ready.jp" url: https://www.ai-ready.jp/guide/supply-chain-security/ description: "サプライチェーンのセキュリティは、取引先・委託先・使っているソフトウェアやAIの部品を一覧にし、契約で役割と責任を決め、定期的に状況を確かめる流れで進めます。経済産業省とIPAの資料にそって整理しました。" updated: 2026-11-12 publisher: "フロレンティナ株式会社" --- 定着させる[柱：基盤とセキュリティ](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) # 取引先を含めたサプライチェーンのセキュリティ：委託先・取引先・ソフトウェアの備え 執筆：[石田誠](https://www.ai-ready.jp/about/authors/#ishida)更新 2026-11-12最終確認 2026-11-12出典 6件[図解 2点](https://www.ai-ready.jp/zukai/) この記事の結論 サプライチェーンのセキュリティは、取引先・委託先・使っているソフトウェアやAIの部品を一覧にし、扱う情報の重要さで分け、契約で役割と責任を決め、定期的に状況を確かめる、という流れで進めると定着させやすくなります。 自社の「基盤とセキュリティ」の準備度は？[10問・約3分で確かめる（無料・登録不要）](https://www.ai-ready.jp/diagnosis/quick/) 自社の守りを固めても、委託先や取引先、ソフトウェアを経由して被害を受けることがあります。この記事では、経済産業省のサイバーセキュリティ経営ガイドラインとIPA（情報処理推進機構）の資料にそって、取引先を含めたセキュリティの考え方と、続けるための手順をまとめます。外部のAIを取り入れる場合の見方にも触れます。 この記事でわかること - サプライチェーンを狙った攻撃の主な手口と、委託元・委託先それぞれへの影響 - 取引先・委託先の管理を進める5つの手順 - 外部のAIサービスやモデルを組み込むときに確かめる点 ## なぜ取引先まで含めて考えるのですか？ IPAの「情報セキュリティ10大脅威 2026」では、組織向けの2位に「サプライチェーンや委託先を狙った攻撃」が選ばれています。解説書によると、この脅威は2019年に初めて選ばれ、2026年版で8年連続の選出です。 解説書は、攻撃者が守りの固い組織を直接狙わず、取引関係の中で弱い部分を経由して段階的に侵入すると説明しています。ここでいうサプライチェーンには、企画・開発から販売までの取引先や委託先、外部のサービスに加え、ソフトウェアの部品・ツール・インフラといった「ソフトウェアの繋がり」も含まれます。 被害は双方に及び、踏み台にされた組織が、取引の停止や損害賠償を求められることもあるとされています。 経済産業省の「サイバーセキュリティ経営ガイドライン Ver 3.0」も、経営者が担当の幹部に指示すべき重要10項目の9つ目に「ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策」を挙げています。**取引先の管理は、担当者の判断に任せる作業ではなく、経営として方針を決める事項**と位置づけられています。 ## どんな手口があるのですか？ IPAの解説書は、主な手口を3つに整理しています。 | 手口 | 内容 | 自社の側の主な備え | |---|---|---| | 関連会社・委託先への攻撃 | 守りの弱い関連会社や委託先に侵入し、そこが預かる情報を盗む | 委託先の選定と定期の確認、預ける情報の絞り込み | | ソフトウェアへの不正な混入 | 提供元のソフトウェアや配布の導線を改ざんし、導入や更新のときに感染させる | 入手元の確認、構成の把握、更新の管理 | | 運用の委託先（MSP）経由の攻撃 | 委託先が使う管理ツールを悪用し、その顧客の機器に一斉に入り込む | 委託先の接続や権限の把握、連絡の体制 | サプライチェーンを狙った攻撃の主な3つの手口 関連会社・委託先への攻撃 守りの弱い関連会社・委託先 侵入して盗む 委託元の情報委託先が預かる情報 ソフトウェアへの不正な混入 改ざんされたソフトウェア・配布の導線 導入・更新のときに感染 利用者の機器 運用の委託先（MSP）経由 委託先が使う管理ツール 悪用して一斉に入り込む その顧客の機器 攻撃者は守りの固い組織を直接狙わず、取引関係の中で**弱い部分を経由**して段階的に侵入するとされています（IPAの解説書による）。 ## 取引先・委託先の管理は、どう進めればよいですか？ 経済産業省のガイドラインとIPAの解説書が挙げる対策をもとに、続けやすい順に5つの手順にまとめます。 ① **一覧にします。** 業務を委託している会社、システムやデータに接続している取引先、使っているクラウドサービスやソフトウェアを書き出します。IPAの解説書は、委託先や取引先のIDやネットワークの接続を把握することを対策に挙げています。SaaSの一覧がない場合は、「[SaaSの管理と棚卸しの進め方](https://www.ai-ready.jp/guide/saas-management/)」から始めると整理しやすくなります。 ② **重要さで分けます。** 預けている情報や、止まったときの業務への影響で分けます。ガイドラインは、扱う情報の機密性や重要性に応じて求める対策の水準を分ける考え方を示しています。すべての取引先に同じ水準を求めると、双方の負担が大きくなります。 ③ **選ぶときに確かめます。** IPAの解説書は契約のときに取引先の規則を確かめることを、ガイドラインはSECURITY ACTIONの実施やISMSなどの認証の取得を確かめることを挙げています。ISMAPなどの評価も参考にし、可能なら複数の候補を比べます。認証は判断の材料の一つで、認証があることだけで十分とは限りません。 ④ **契約で決めます。** ガイドラインは、取引先との契約でセキュリティ上の役割と責任の範囲を明確にすることを求めています。IPAの解説書も、責任の範囲、賠償の条項、委託先のセキュリティや情報管理の状況を定期的に確かめられる条項を挙げています。事故が起きたときの連絡の期限と窓口も決めておきます。 ⑤ **定期的に確かめます。** 監査や自己点検で、合意した対策が実際に行われているかを確かめます。あわせて、委託先と連絡を取る手順を事前に決めておきます。 取引先・委託先の管理を続ける5つの手順 - **一覧にする**：委託先、接続している取引先、クラウドサービスやソフトウェアを書き出す - **重要さで分ける**：預けている情報や、止まったときの業務への影響で分け、求める水準を変える - **選ぶときに確かめる**：規則や認証の取得状況を確かめる。認証があることだけで十分とは限りません - **契約で決める**：セキュリティの**役割と責任の範囲**、定期の確認、事故のときの連絡を決める - **定期的に確かめる**：監査や自己点検で、合意した対策が行われているかを確かめる すべての取引先に同じ水準を求めると、双方の負担が大きくなります。 読みながら、自社の現在地を確かめませんか クイック診断は10問・約3分・登録不要です。7つの柱ごとの目安と、「基盤とセキュリティ」を含めて次に取り組むことがわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/)[結果の解説（30分・無料）](https://www.ai-ready.jp/consult/review/) ## SCS評価制度とは何ですか？ 経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」を進めています。取引先の対策の状況を共通の基準で評価して見える形にし、委託元と委託先の双方の負担を抑えながら、サプライチェーン全体の水準を高めることを目指す制度です。対策の水準を競わせる格付けの制度ではないとされています。 経済産業省のページによると、★3は制度の基礎となる要求事項と評価基準、★4は★3より広い範囲の対策を含む要求事項と評価基準で、★3・★4は2026年度末ごろの制度開始（申請の受付の開始）を目指すとされています。★5は2026年度以降に要求事項などの具体化を検討するとされています。いずれも変わる可能性があるため、最新の情報は経済産業省のページでご確認ください。評価基準の達成に、特定のセキュリティ製品の導入は必須とされていません。 評価を求められる立場の会社は、公表されている要求事項を早めに読み、自社の対策と比べておくと準備しやすくなります。 ## AIのサービスやモデルを取り入れるときは、何を確かめますか？ 外部のAIサービス、公開されているモデル、AIを組み込むためのライブラリも、サプライチェーンの一部です。総務省の「AIのセキュリティ確保のための技術的対策に係るガイドライン」（2026年3月公表）も、細工をしたモデルを組み込ませる攻撃や、学習するデータに細工をする攻撃（データポイズニング攻撃）を「その他の脅威」として挙げています。 確かめる点の例です。 - **提供元**：どの会社・団体が提供しているか、入手元が公式のものか - **データの扱い**：入力した情報や預けたデータが、どこに保存され、学習に使われるか - **更新と終了**：モデルやサービスがいつ更新・終了されるか、その連絡の方法 - **再委託**：提供元がさらに別の会社のサービスを使っているか - **構成の記録**：自社のシステムにどの部品やモデルを組み込んでいるか IPAの解説書は、納品物の検証として、組み込まれたソフトウェアの把握や、SBOM（ソフトウェアの部品の一覧）の導入の検討を挙げています。AIの部品も同じ一覧に含めておくと、問題が見つかったときに影響の範囲を調べやすくなります。委託先やサービスを確かめる観点は、ひな形「[AIの委託先・サービスの確認リスト](https://www.ai-ready.jp/templates/ai-vendor-checklist/)」にもまとめています。 ## 続けるために、何を決めておけばよいですか？ 一度の確認で終わらせないために、次の3つを決めておきます。 - **担当と頻度**：一覧の更新、契約の確認、定期の点検を誰がいつ行うか - **変化があったときの見直し**：新しい委託先が増えた、委託の範囲が変わった、委託先で事故が起きた、といったときの手順 - **事故のときの連絡**：委託先で事故が起きたときに、誰から誰へ、どの順番で連絡するか 自社が委託を受ける立場でもある場合は、自社の対策の状況を記録しておくと、取引先からの質問票に早く答えられます（土台づくりは「[中小企業のセキュリティ対策の始め方](https://www.ai-ready.jp/guide/security-action-sme/)」参照）。 ## チェックリスト ## 関連するひな形・ガイド・用語 ひな形 - [AIの委託先・サービスの確認リスト](https://www.ai-ready.jp/templates/ai-vendor-checklist/) - [SaaSの管理台帳](https://www.ai-ready.jp/templates/saas-inventory/) ガイド - [中小企業のセキュリティ対策の始め方（SECURITY ACTION）](https://www.ai-ready.jp/guide/security-action-sme/) - [クラウドを安全に使うための基本](https://www.ai-ready.jp/guide/cloud-security-basics/) - [SaaSの管理と棚卸しの進め方](https://www.ai-ready.jp/guide/saas-management/) - [脆弱性の管理とアップデートの進め方](https://www.ai-ready.jp/guide/vulnerability-management/) - [アカウントと権限の管理の基本](https://www.ai-ready.jp/guide/access-management-basics/) 用語 - [サプライチェーンリスク](https://www.ai-ready.jp/glossary/supply-chain-risk/) - [SBOM](https://www.ai-ready.jp/glossary/sbom/) - [委託先の監督](https://www.ai-ready.jp/glossary/contractor-supervision/) - [責任分界](https://www.ai-ready.jp/glossary/responsibility-boundary/) - [サイバーセキュリティ経営ガイドライン](https://www.ai-ready.jp/glossary/cybersecurity-management-guidelines/) ## よくあるご質問 Q小さな会社でも、取引先からセキュリティの対策を求められることはありますか？ Aあります。経済産業省のサイバーセキュリティ経営ガイドラインは、取引先や委託先を含めたサプライチェーン全体の対策状況を把握することを経営者への指示に入れています。取引先の側がこの考え方で確認を進めると、委託を受ける会社にも質問票や対策の確認が届くことがあります。 QSCS評価制度とは何ですか？ A経済産業省が進めている「サプライチェーン強化に向けたセキュリティ対策評価制度」の略称です。取引先の対策の状況を共通の基準で評価し、見える形にする制度で、★3・★4は2026年度末ごろの制度開始（申請の受付の開始）を目指すとされています。時期は変わる可能性があるため、経済産業省のページで最新の情報をご確認ください。 QAIのサービスや部品も、サプライチェーンの対象になりますか？ Aなります。IPAの解説書は、ソフトウェアの部品やツールなどの「ソフトウェアの繋がり」もサプライチェーンに含めています。外部のAIサービスやモデル、ライブラリを組み込む場合も、提供元の信頼性や更新の状況を確かめる対象にすると整理しやすくなります。 ## この記事に出てくる用語 - [サイバーセキュリティ経営ガイドライン](https://www.ai-ready.jp/glossary/cybersecurity-management-guidelines/) - [モデル](https://www.ai-ready.jp/glossary/model/) - [SaaS](https://www.ai-ready.jp/glossary/saas/) - [SECURITY ACTION](https://www.ai-ready.jp/glossary/security-action/) - [ISMS（ISO/IEC 27001）](https://www.ai-ready.jp/glossary/isms/) - [ISMAP](https://www.ai-ready.jp/glossary/ismap/) - [データポイズニング](https://www.ai-ready.jp/glossary/data-poisoning/) - [SBOM](https://www.ai-ready.jp/glossary/sbom/) - [クラウド](https://www.ai-ready.jp/glossary/cloud/) - [脆弱性](https://www.ai-ready.jp/glossary/vulnerability/) - [委託先の監督](https://www.ai-ready.jp/glossary/contractor-supervision/) - [サプライチェーンリスク](https://www.ai-ready.jp/glossary/supply-chain-risk/) - [責任分界](https://www.ai-ready.jp/glossary/responsibility-boundary/) ## 「基盤とセキュリティ」のほかの記事 [この柱の解説 →](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) [広げる／基盤とセキュリティAIと社内システムをAPIでつなぐ基本：仕組み・手順・安全の確かめ方石田誠2026-11-12](https://www.ai-ready.jp/guide/api-integration-basics/)[広げる／基盤とセキュリティAIのセキュリティの基本：AIへの攻撃とAIを使った攻撃への備え石田誠2026-10-26](https://www.ai-ready.jp/guide/ai-security-basics/)[定着させる／基盤とセキュリティAIの運用（MLOps・LLMOps）の基本：作った後に品質を保ち続ける仕組み石田誠2026-11-12](https://www.ai-ready.jp/guide/mlops-llmops-basics/) ## 出典 1. [経済産業省「サイバーセキュリティ経営ガイドライン Ver 3.0」](https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide_v3.0.pdf) 2. [経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」](https://www.meti.go.jp/policy/netsecurity/scs.html) 3. [独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」](https://www.ipa.go.jp/security/10threats/10threats2026.html) 4. [IPA「情報セキュリティ10大脅威 2026」解説書［組織編］](https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf) 5. [総務省「AIのセキュリティ確保のための技術的対策に係るガイドライン」の公表（2026年3月27日）](https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00282.html) 6. [総務省「AIのセキュリティ確保のための技術的対策に係るガイドライン」（令和8年3月）本編](https://www.soumu.go.jp/main_content/001064122.pdf) 最終確認日：2026-11-12 ## 次の一歩 [測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。](https://www.ai-ready.jp/diagnosis/) [相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。](https://www.ai-ready.jp/consult/review/) [窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。](https://www.ai-ready.jp/consult/apply/) 目次 1. なぜ取引先まで含めて考えるのですか？ 2. どんな手口があるのですか？ 3. 取引先・委託先の管理は、どう進めればよいですか？ 4. SCS評価制度とは何ですか？ 5. AIのサービスやモデルを取り入れるときは、何を確かめますか？ 6. 続けるために、何を決めておけばよいですか？ 7. チェックリスト 8. よくあるご質問 この記事が扱う柱 主に「基盤とセキュリティ」 [基盤とセキュリティの解説](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) 自社の準備度を確かめる 10問・約3分・登録不要。7つの柱ごとの目安がわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/) --- 出典：フロレンティナ株式会社「取引先を含めたサプライチェーンのセキュリティ：委託先・取引先・ソフトウェアの備え｜AI-Ready.jp」 https://www.ai-ready.jp/guide/supply-chain-security/