IPAの「情報セキュリティ10大脅威 2026」で、「サプライチェーンや委託先を狙った攻撃」は組織向けの2位でした。2019年の初選出から8年連続です。取引先に質問票を送り、対策の有無を答えてもらう管理は多くの企業で行われていますが、回答と実態の差は、質問票からは見えません。
この記事の要点
- サプライチェーンや委託先を狙った攻撃は、IPAの10大脅威2026で組織向けの2位
- 経済産業省とIPAは、★3から★5の段階で対策の水準を示す評価制度の準備を進めている
- 質問票の回答を、第三者の評価や外から見た姿で補うと、取引先の実態に近づける
10大脅威に表れた位置づけ
10大脅威2026の組織向けの順位は、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃、3位が今回初めて選ばれたAIの利用をめぐるサイバーリスクでした。経済産業省とIPAの経営ガイドラインも、指示9で、国内外の拠点、ビジネスパートナー、システム管理の運用委託先を含めた対策状況の把握を経営者に求め、これらの企業を踏み台にして自社が攻撃されることもあると書いています。
準備が進む評価制度
IPAがスキームオーナーを務める「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）は、取引先の対策の水準を段階で示す仕組みです。IPAの説明ページは、経済産業省の制度構築方針（2026年3月27日）から次の水準を引いています。
- ★3: 一般的なサイバー脅威に対処しうることを水準とする。セキュリティ専門家が自己評価の結果を確認・助言する
- ★4: 初期侵入の防御にとどまらず、被害拡大の防止などによって取引先のデータやシステムの保護に寄与することを水準とする。評価機関が第三者評価を担う
- ★5: より高度な攻撃への対応として、現時点でのベストプラクティスにもとづく対策を想定し、今後さらに具体化する
評価機関や技術検証事業者の要件は2026年8月頃、研修事業者は2026年12月末頃から公表予定とされています。制度が動き出せば、取引先に求める水準を、自社独自の質問票ではなく共通の段階で示せるようになります。
質問票の限界と、補い方
質問票
広く集められるが、回答の正しさは確かめにくい。項目が各社ばらばらで、取引先の負担も大きい。
第三者の評価
共通の段階で水準を示せる。制度の開始とともに使える場面が増える。
外から見た姿
公開されている入口や古いサーバーの有無は、外から確かめられる。
IPAが中小企業126社に行ったASM診断では、全社で何らかの脆弱性が見つかりました。取引先を責めるためではなく、どこを一緒に直すかを話す材料として、外から見た姿を使うことができます。経営ガイドラインも、対策の導入支援や共同実施など、サプライチェーン全体での方策を検討するよう求めています。
取引先やグループ会社の底上げを支える
中小規模の取引先やグループ会社では、専任の情報システム担当者がいないことも多くあります。当社のForceJOSYSは、オフィスのLANを観測して端末台帳を育て、異常時の調査を支援する中小企業向けのIT運用支援サービスです。透過型UTMのForceUTMは、ネットワークの構成を大きく変えずに通信の制御と見える化を加えます。取引先の底上げを一緒に進めるときの選択肢になります。
参考資料
取引先とグループ会社の底上げを相談する
専任の担当者がいない取引先やグループ会社の、端末台帳づくりや通信の見える化についてご相談ください。
製品の詳細はForceJOSYSのサイト、ForceUTMのサイトでご覧いただけます。
まずは相談する相談無料・