取引先が受けたサイバー攻撃が、自社の業務停止を招く。企業間のシステム連携が進む中、サプライチェーンを通じたサイバーリスクは、一部の業界だけの問題ではなくなっている。対策の一つとして注目されるのが、経済産業省が準備を進める「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）だ。

Gartner（ガートナー）が11月4日～6日に開催した年次カンファレンス「Gartner IT Symposium / Xpo 2026」に登壇した、同社シニア プリンシパル アナリスト 木村陽二氏は、SCS評価制度の普及見通しと企業が取り組むべき具体策について解説した。

複雑化するサプライチェーンで広がるサイバーリスク

冒頭、木村氏は、企業間のつながりとセキュリティインシデントの傾向が大きく変化していることを指摘した。サプライチェーンは、1社のセキュリティ事故によって鎖が切れるような図で説明されることがある。しかし、実際の企業間のつながりは、それほど単純ではない。

「企業同士の協業によって、業界の枠を超えたサプライチェーンが形成されています。テクノロジーの活用で企業と企業がシステムでつながり、膨大なデータをやり取りしています。その中には、IT部門が把握しきれていないものもあるはずです」

  • 木村陽二氏

    ガートナー シニア プリンシパル アナリスト 木村陽二氏

攻撃の手口や被害の広がり方も変化している。1社へのランサムウェア攻撃がサプライチェーン全体に影響を及ぼすケースがある。ビジネスメール詐欺では、攻撃者が取引先とのメールのやり取りを事前に調べ、巧妙なメールを送ってくる。木村氏は、外部アプリケーションへの攻撃でも委託先が起点となるケースがあり、さまざまな種類のインシデントがサプライチェーンと複合的に発生していると説明した。

木村氏によると、ガートナーが2026年2月に日本企業400社を対象に実施した調査では、取引先や業務委託先から、情報漏えいが「発生した可能性がある」または「発生した」との報告を受けた企業が約70％に上った。同社では、2030年までにサイバーセキュリティインシデントの60％以上が、取引先などのサードパーティーを含むサプライチェーンに起因すると予測しているという。

セキュリティ確認の拡大が招く「チェックリスト疲れ」

自動車や金融などの業界では従来、取引先にチェックリストへの回答を求め、必要に応じて現地調査や改善要請を行ってきた。サイバーリスクへの関心が高まるにつれ、同様の対応は他の業界にも広がっている。木村氏は、病院が医療機器メーカーや医薬品メーカーにセキュリティ対策を確認する例を挙げた。

「さまざまな種類のセキュリティチェックリストが企業間で飛び交い、毎日のように対応に追われる担当者もいます。いわば『チェックリスト疲れ』です。しかも自己回答ですから、『できています』『やっています』という回答を得ても、信憑性が分からないという問題があります」

ただし、取引先のセキュリティを確認すること自体は避けられない。従来の信用調査は、主に取引先の支払い能力を確認するものだった。だが、サイバー攻撃によって取引先の業務が止まれば、自社の操業や販売にも影響が及ぶ。

また、発注企業が受注企業の対策状況を確認するだけでは、サプライチェーン全体のリスクは捉えきれない。製造業なら、サプライヤー、メーカー、販売事業者のどこが止まっても、他の企業に影響が及び得る。木村氏は、企業間のリスクは双方向に存在しており、互いに相手の事業への影響を考えて安全性を高める視点が必要だと訴えた。

SCS評価制度に未対応だと、すぐに取引停止になるのか?

こうした課題への対応策として木村氏が取り上げたのが、経済産業省のSCS評価制度だ。企業のセキュリティ対策水準を星（★）で示し、取引先の対策状況を確認する共通の基準となることが期待される。一方、企業からは「制度への対応を求められるのか」「認証がなければ取引を打ち切られるのか」といった相談が寄せられているという。

まず、SCS評価制度は法的な拘束力のない任意の制度である。木村氏によれば、一部のベンダーには「制度に対応しないと取引停止になる」と不安をあおり、自社製品の購入を促す動きがあるという。こうした説明には、現時点で根拠が乏しいと指摘した。過去にセキュリティ対策の不備から取引停止になった例もあるが、制度への未対応を理由に直ちに打ち切られたわけではない。改善を求められた企業が、応じる意思を示さなかったケースだったという。

「制度開始と同時に取引の必須要件とするのは時期尚早です。当面は、制度に対応していないことをマイナス要素とするより、対応していることを受注企業の努力としてプラスに捉えるのが妥当だと話しています」

もっとも、将来も取引に影響しないとは限らない。木村氏は、制度が浸透するにつれて、取引や入札の要件になるケースが出てくる可能性を指摘した。ガートナーが2026年2月に日本企業400社を対象に実施した調査では、約25%が取引先に制度対応を求めるつもりと回答し、46%は詳細が判明してから判断すると答えたという。

  • 回答

    SCS評価制度への対応を取引先に求める企業は24.8％。46％は制度の詳細を見て判断すると回答/出典：ガートナー (2026年11月)

自動車業界では、2028年度から自己評価にSCSの評価基準を採用する方向で検討が進められている。一方、制度上の★を実際に取得することは「チャレンジ目標」とされており、評価基準の採用と★の取得は区別されている。木村氏は、制度が一気に広がるのではなく、緩やかに浸透していく可能性が高いとみる。

企業が対応方針を決める際は、★3と★4のどちらを目指すのか、主要な発注企業から対応要請がありそうかを考える必要がある。要請はIT部門ではなく事業部門に届くとみられるため、部門間の情報共有も欠かせない。ただし木村氏は、「制度に対応するか否かにかかわらず、サプライチェーンの一員としての企業の責任を考えれば、リスク管理に取り組まないという選択肢は、もはやない」と断言する。

「取り組み方やスピードは企業の事情によって異なっても、取り組むことは必須です。自分たちで一からやり方を考えるのか、それとも制度を利用するのか。そういった発想が必要になるのではないでしょうか」

制度は「義務」ではなく、対策を改善するための手段

SCS評価制度の利点の一つは、共通の評価基準によって、取引先ごとに異なるチェックリストへの対応負担を減らせることだ。企業は自社やグループ会社のセキュリティ対策の成熟度を測り、その結果を取引先や投資家への説明にも使える。★3では自己評価の結果についてセキュリティ専門家の確認を受け、★4では評価機関による第三者評価を受ける必要がある。木村氏は、外部人材の関与によって自己評価だけに頼る状態から脱却できる点にも言及した。

また、セキュリティ対策はコストとみなされ、予算の確保が難しい場合がある。サプライチェーン全体の安全性と事業継続のために国も制度を設けているという説明は、経営陣に必要性を伝える材料になる。

「制度への対応を面倒な義務と捉えるのではなく、うまく使いこなすことで、これまでの悩みを解決し、セキュリティ対策を底上げする武器として活用できる可能性があります」

もっとも、制度には負担や限界もある。審査や追加対策に費用がかかるほか、評価が形骸化するおそれもある。制度で扱わないリスクを見落としてはならない。また、国内の制度であるため、海外の取引先が多い企業では、セキュリティ対策を示す別の方法も必要になる。木村氏によれば、国際的に活用されるISMS（Information Security Management System）と併用することを検討している企業もあるという。

発注企業は取引先を選別し、全社で取り組む

では、実際に何から着手すればよいのか。取引先が数千社、数万社に及ぶ企業では、すべてに同じ水準の対策を求めることは現実的ではない。

「すべてを完璧に、網羅的にやろうとすると、非現実的な話になるリスクがあります。そこで必要になるキーワードが『選別』、トリアージです。発注企業は、リスクの度合いに応じて受注企業をトリアージする必要があります」

判断材料は大きく3つある。取引先に預けている機密情報の質や量に応じた情報漏えいの影響、取引先のシステム停止が自社システムに及ぼす影響、そして取引先の事業停止による顧客対応や財務などへの影響だ。代替のサプライヤーを確保できるかも考慮する。これらを総合して取引先ごとに求める評価水準を決め、リスクが許容範囲内なら制度対応の対象外とする判断も必要になる。

  • 求める評価水準を決定する

    発注企業は取引先ごとのリスクを判断し、求める評価水準を決定する/出典：ガートナー (2026年11月)

発注企業が早めに取り組むべきこととして、木村氏は社内体制の構築も挙げた。IT部門が各部門に協力を依頼するだけでは、取り組みが停滞しやすい。取引先と接点を持つ事業部門やリスク管理部門を巻き込み、組織横断の委員会などで目的を共有することが重要だとした。

受注企業は評価対象を定め、取得を目的化しない

受注企業側も、制度の評価対象とするグループ会社やシステムの範囲を定める必要がある。木村氏は、IPAが公表した解説資料で対象範囲の決め方を確認し、自社環境のどこを対象とするのか、対象外とした環境をなぜ除外するのかを説明できるようにしておくことを勧めた。その後、目指す評価水準と現状の対策との差を分析し、改善を進めるわけだ。

  • 対象外とした理由も説明できるようにする

    受注企業は評価対象を絞り、対象外とした理由も説明できるようにする/出典：ガートナー (2026年11月)

木村氏によると、評価項目は★3で80項目あり、★4では約150項目になるとみられる。ISMSを多くの部門で取得している企業には★4を目指す例もあるが、現段階では少数で、まず★3を目指す企業が多いという。木村氏は、J-SOXやISMSなどでは審査を通過することが目的化し、評価する側の言うなりになることがあったと指摘。その結果、過剰な対応を求められる一方、評価機関とのなれ合いで不十分な対策が容認されるケースもあったという。

SCS評価制度では、評価機関向けの判断基準を示したガイドも公開されている。受注企業も評価方法を理解し、見解が食い違った場合には対等に議論できるよう備える必要がある。

「認証を取得しても、大きなインシデントを起こしてサプライチェーンに影響を及ぼしてしまえば、結果的に同じことです。認証取得は目的ではなく、手段の一つとして考えるべきです」