取引先経由で侵入される時代｜情シスが今やるべきサプライチェーン攻撃対策

Supply chain attack flow showing attacker disguising malicious update, bypassing firewalls, and executing malicious code in enterprise network leading to data leaks. HOW-TO
記事内に広告が含まれています。

取引先経由で侵入される時代｜情シスが今やるべきサプライチェーン攻撃対策

IPAが2026年1月29日に発表した「情報セキュリティ10大脅威 2026」で、「サプライチェーンや委託先を狙った攻撃」は組織向けの2位でした。1位は「ランサム攻撃による被害」です。この1位・2位の組み合わせは2023年版から4年続いていて、順位が動いていません。

4年動かないというのは、対策が追いついていないということだと思っています。私は普段、セキュリティ商材を扱う部門で提案側にいますが、お客様との会話でも「取引先から調査票が届いた」「親会社からセキュリティ対策の証明を求められた」という話が明らかに増えました。

この記事では、攻撃者が取引先を狙う理由、侵入経路の4パターン、自社と取引先それぞれで何から手をつけるかを整理します。あわせて、2026年3月27日に構築方針が公表されたSCS評価制度で「どこまで決まったか」も現時点の事実だけをまとめました。優先順位のつけ方が見えるはずです。

スポンサーリンク

なぜ攻撃者は取引先を狙うのか

サプライチェーン攻撃は、標的企業を直接攻めずに、取引先や委託先を経由して侵入する手口です。

理由は単純で、そのほうが楽だからです。大企業はEDRもSOCも入っていて、正面から攻めるとコストがかかる。一方、その大企業と専用線やVPNでつながっている中小の取引先はどうか。予算も人員も限られていて、対策が手薄なことが少なくありません。鍵のかかった正面玄関ではなく、開いている裏口から入るだけの話です。

押さえておきたいのは、中小企業は被害者であると同時に、取引先への入口にもなり得るという点です。自社が踏み台になって取引先に被害が及べば、損害賠償や取引停止につながる可能性もあります。

スポンサーリンク

侵入経路は大きく4つ

経路 何が起きるか 厄介なところ
取引先の認証情報の悪用 取引先社員のID・パスワードが漏れ、正規ルートでログインされる 正規の認証なので不正アクセスとして検知しにくい
VPN機器・ネットワーク機器の脆弱性 取引先とつながる機器の脆弱性を突かれる パッチ適用の遅れがそのまま侵入口になる
ソフトウェアサプライチェーン 使っているソフトの更新プログラムにマルウェアを仕込まれる 正規のアップデートとして配信されるので利用者側で防ぎにくい
委託先からの情報漏えい 開発や運用を委託した先で、預けたデータが漏れる 攻撃だけでなく管理ミスや内部不正も含まれる

 

このうち上の2つは自社の設定と運用で手を打てます。下の2つは取引先・委託先との関係の中でしか対処できません。まず上の2つ、次に下の2つという順番になります。

VPN機器の選定と運用については、ファイアウォールの比較記事のほうで機種ごとの考え方を書いています。

スポンサーリンク

まず自社の裏口を閉める

取引先に対策を求める前に、自社です。情シスが優先すべきは次の4点だと考えています。

1. 外部接続の棚卸し

どの取引先と、どの経路で、どのシステムがつながっているのか。ここが整理されていない会社が多い印象です。使っていない接続が残っていたら、それ自体がリスクになります。棚卸しの結果は一覧にして、接続ごとに「誰の依頼で、いつまで必要か」まで書いておくと、次の見直しが楽になります。

2. 接続に対する最小権限

取引先からアクセスできる範囲を、業務に必要な最小限に絞ります。「とりあえず全部見られるようにしてある」状態が一番危ない。棚卸しで洗い出した接続を1本ずつ見て、範囲を狭められないか確認してください。

3. 多要素認証

取引先経由の侵入の多くは認証情報の悪用から始まります。IDとパスワードだけで守るのはもう厳しい。VPN接続やリモートアクセスには多要素認証を必須にします。

4. EDRとログ監視

侵入を100%防ぐのは無理という前提に立って、入られた後にどれだけ早く気づけるか。エンドポイントの挙動監視と、外部接続まわりのログを見る体制が要ります。EDRの製品ごとの向き不向きは別の記事にまとめました。

順番に意味があります。棚卸しをしないまま多要素認証やEDRを入れても、そもそもどこに入れるべきかが決まりません。 1から順にやってください。

自社側チェックリスト

□ 取引先との接続を一覧にしてあるか
□ 使っていない接続が残っていないか
□ 接続ごとにアクセス範囲を確認したか
□ VPN・リモートアクセスに多要素認証をかけているか
□ 外部接続まわりのログを誰かが定期的に見ているか

スポンサーリンク

取引先を巻き込むときの順番

自社が固まったら、次は取引先です。いきなり「対策状況を報告してください」と迫ると関係がこじれるので、段階を踏みます。

現状把握から入る。 セキュリティチェックシートで今の状況を聞くところからです。相手に丸投げにならないよう、IPAの「SECURITY ACTION」や「サイバーセキュリティお助け隊サービス」といった中小企業向けの枠組みをセットで案内すると話が進みやすくなります。経済産業省とIPAは、SCS評価制度の★3・★4を安く簡単に取得できるようにする「お助け隊サービス（新類型）」を新設し、2026年春頃から実証事業を始める予定と公表しています。

契約に落とす。 新規契約と更新のタイミングでセキュリティ要件を盛り込みます。インシデント発生時の報告義務、データの取り扱い、再委託の制限あたりは最低限入れておきたいところです。

ここで気になるのが「取引先に対策を要求すると、独占禁止法や取適法に触れないか」という点だと思います。取適法は2026年1月1日に施行された中小受託取引適正化法のことで、それまでの下請法が名称ごと変わったものです。この論点については、経済産業省と公正取引委員会が2025年12月26日に、独占禁止法・中小受託取引適正化法との関係を整理した資料を公表しています。「問題とならない」ケースの想定事例と解説がまとまっているので、要求を出す前に一度目を通しておくと安心です。

なお、これは法律の解釈に関わる話です。自社のケースに当てはまるかどうかは、最終的に法務担当や弁護士に確認してください。

スポンサーリンク

SCS評価制度は2026年3月時点でここまで決まった

経済産業省と内閣官房国家サイバー統括室が、2026年3月27日に「SCS評価制度の構築方針」を公表しました。取引先のセキュリティ対策状況を共通の基準で可視化して、発注側・受注側の双方の負担を減らす仕組みです。以前EDRの記事で触れたときから中身が具体化したので、現時点で決まっていることだけを並べます。

項目 内容（2026年3月27日公表時点）
制度開始 ★3・★4は2026年度末頃に申請受付開始を目指す
段階 ★3・★4を先行して具体化。★5は2026年度以降に検討
対象 企業のIT基盤（クラウド環境を含む）。OTシステムや提供製品は直接の対象外
評価方法 ★3は自己評価（専門家の確認を経たもの）、★4は第三者評価機関による評価
位置づけ 対策状況の可視化であり、格付け制度ではないと明記されている
製品要件 特定のセキュリティ製品の導入が必須とされているわけではない
評価ガイド 具体的な実装例をまとめたガイド等を2026年秋頃に公表予定

 

中小企業向けには、★3の「専門家確認」を情報処理安全確保支援士（登録セキスペ）に依頼できるよう、IPAの「中小企業向けサイバーセキュリティ対策支援者リスト」に「セキュリティアセスメント」というテーマが追加されました。社内に有資格者がいなくても外に頼める道が用意されたことになります。

また「中小企業の情報セキュリティ対策ガイドライン」が2026年3月27日に改訂され、第2部 実践編のSTEP3にSCS評価制度の要求事項を踏まえた考え方が整理されました。何から手をつけるか迷っているなら、まずこのガイドラインを読むのが早いと思います。

⚠ 制度開始の時期は「制度運営基盤の整備状況等により変更となる可能性があります」と但し書きが付いています。この記事の内容は2026年3月27日公表分に基づくもので、判断の前に必ず経済産業省とIPAの最新ページで確認してください。

スポンサーリンク

まとめに代えて

サプライチェーン攻撃の対策は、自社の境界を固めるだけでは終わりません。外部接続の棚卸しと多要素認証で自社の裏口を閉める。そのうえでチェックシートと契約で取引先を巻き込む。この順番です。

 

取引先への働きかけは時間がかかります。ただ、★3・★4の申請受付が2026年度末頃に始まれば、「対策しているかどうか」が取引条件として見える化される流れは来ると私は見ています。求められてから慌てるより、今のうちに自社の足元から始めておくほうが楽なはずです。

 

まずはセキュリティポリシーの策定からという企業も少なくありません。自社だけでどう対策していくか調べながら取り組むのも大変です。Star QuestのようなAIを活用した準備ツールなども安価に提供されています。そのようなツールを使うことで日々忙しい皆さんの生産性向上と心理的負荷低減に繋がれば良いですよね。

スポンサーリンク

参考URL

関連記事

コメント

タイトルとURLをコピーしました