サプライチェーン攻撃とは？事例や手口・対策をわかりやすく解説

サイバー攻撃というと、機密情報を多く保有する大企業や知名度の高い企業が狙われるイメージを持つ方もいるでしょう。しかし、標的となる企業へ攻撃者が直接侵入するとは限りません。標的の取引先や委託先、利用しているソフトウェアやサービスなどを経由して攻撃する「サプライチェーン攻撃」にも注意が必要です。

IPA（独立行政法人情報処理推進機構）が公表した『情報セキュリティ10大脅威 2026』では、「サプライチェーンや委託先を狙った攻撃」が組織向け脅威の2位となりました。企業規模にかかわらず、自社が被害を受けるだけでなく、取引関係を通じてほかの企業へ影響を及ぼすリスクも考慮しなければなりません。

本記事では、サプライチェーン攻撃の基本知識や主な種類と手口、企業に及ぼす被害についてわかりやすく解説します。中小企業が狙われやすい理由や具体的な対策、継続的なセキュリティ管理のポイントも紹介するので、自社の対策を見直す際にお役立てください。

サプライチェーン攻撃とは、取引先や委託先、利用しているソフトウェア・サービスなど、サプライチェーン上のつながりや弱点を悪用するサイバー攻撃です。

「サプライチェーン」は、製品・サービスが提供されるまでに関係する企業や組織などのつながりを指す言葉です。

企業は取引先や委託先、ITサービスなど、さまざまな外部組織・サービスと関わりながら事業を展開しています。

こうしたつながりが悪用されることで、自社が直接侵入を受けるだけでなく、取引先や委託先などへの攻撃によって間接的に被害を受けるケースもあるでしょう。

サプライチェーン攻撃の構図は、大きく以下の3つに分けられます。

• 踏み台型：取引先や委託先などが侵入経路となり、自社のシステムへ攻撃が及ぶ
• 波及型：取引先や委託先などが攻撃を受け、預けていた情報の漏えいや業務停止などによって自社にも被害が及ぶ
• 不特定多数型：ソフトウェアやサービスなどを通じて、多くの利用企業へ被害が広がる

このように、サプライチェーン攻撃では、自社だけでなく、取引先・委託先や利用するソフトウェア・サービスなどを含めてリスクを捉えることが求められます。

サプライチェーン攻撃では、さまざまな経路が悪用されます。主な攻撃経路と、前章で紹介した3つの型との関係は以下のとおりです。

攻撃の起点や侵入経路によって、悪用される仕組みや企業への影響は異なります。それぞれの主な手口や特徴を詳しく見ていきましょう。

取引先・委託先を経由した攻撃とは、取引先や委託先へ不正アクセスし、標的企業への侵入経路として悪用する手口です。攻撃者は標的企業より先に取引先などのネットワークへ侵入し、企業間の接続環境や窃取した認証情報などを悪用して攻撃範囲を広げます。

また、別の企業へ侵入するための経路としてではなく、取引先や委託先が保有する情報自体が狙われるケースもあります。たとえば、委託先が業務上預かっている機密情報や個人情報が窃取されると、情報を預けた企業にも被害が及ぶおそれがあるでしょう。

ソフトウェアを経由した攻撃とは、企業が利用するソフトウェアの開発・提供・更新などの過程を悪用し、利用者へ被害を広げる「ソフトウェアサプライチェーン攻撃」です。

ソフトウェアは、OSS（オープンソースソフトウェア）や外部ライブラリ、さまざまなコンポーネント（ソフトウェアを構成する部品）を組み合わせて開発されるケースがあります。

攻撃者が開発環境や配布経路などへ侵入し、不正なコードを混入・改ざんした場合、正規のソフトウェアやアップデートなどを通じて利用者側へ被害が及ぶおそれもあるでしょう。

ソフトウェア自体を改ざんする手口だけでなく、配布元のウェブサイトにあるダウンロードリンクを改ざんし、マルウェアが仕込まれたソフトウェアを利用者にダウンロードさせるケースもあります。

近年は、OSSのパッケージ配布サービスを悪用する手口もみられます。たとえば攻撃者が開発者のアカウントや認証情報を乗っ取り、正規パッケージの改ざん版を公開するケースです。

クラウドサービスやMSP（マネージドサービスプロバイダー）などのサービス事業者が攻撃を受け、そのサービスや管理環境を通じて利用企業へ被害が及ぶケースがあります。サービス事業者が複数の企業にサービスを提供している場合、一つの侵害を起点として複数の利用企業へ影響が広がるおそれもあるでしょう。

クラウドサービスを経由するケースでは、サービス事業者のシステムや顧客データを管理する環境などが侵害され、利用企業が預けている情報の漏えいやサービス停止につながります。

一方、システムの運用・保守・監視などを担うMSPが侵害された場合、攻撃者がMSPの認証情報やアクセス権限を悪用し、委託元である利用企業のシステムへ侵入するケースもあるでしょう。

また、顧客の機器を遠隔で管理するための資産管理・遠隔監視ツールなどが悪用され、複数の利用企業へ攻撃が広がる手口も確認されています。

サプライチェーン攻撃への警戒が続くなか、企業には自社だけでなく、取引先や委託先などを含めたセキュリティ対策が求められています。2026年時点で押さえておきたい主な動向は、次の2つです。

(1)サプライチェーン攻撃への警戒が続く

(2)企業のセキュリティ対策を可視化する「SCS評価制度」の整備が進む

※記載内容は、2026年9月時点の情報です。

2026年現在、サプライチェーン攻撃は企業が継続して警戒すべきサイバー脅威の一つです。

IPA『情報セキュリティ10大脅威 2026』では、「サプライチェーンや委託先を狙った攻撃」が組織向け脅威の2位となり、2019年の初選出から8年連続で選出されています。1位の「ランサムウェア攻撃による被害」とともに2023年以降4年連続で順位が変わっておらず、継続的な脅威といえるでしょう。

IPAは2025年の状況について、ランサムウェアに感染した企業・組織が多く確認され、取引先を含むサプライチェーン全体に深刻な影響を及ぼした事例もあったと分析しています。

こうした情勢も、「情報セキュリティ10大脅威 2026」の順位に反映された要因の一つと考えられるでしょう。

参考：情報セキュリティ10大脅威 2026 - IPA 

2026年3月27日、経済産業省と内閣官房国家サイバー統括室は、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の制度構築方針を公表しました。

SCS評価制度は、サプライチェーンを構成する企業などのセキュリティ対策状況を★3・★4の段階（★5は今後検討）で評価・可視化する仕組みです。制度のスキームオーナーはIPAが担い、経済産業省とともに制度開始に向けた運営基盤の整備や利用促進などを進めています。

★3は26件の要求事項についてセキュリティ専門家の確認を経て自己評価する仕組みです。★4は、★3の要求事項を含む43件の要求事項について評価機関による第三者評価と技術検証を受ける仕組みとなる予定です。

★3・★4については、2026年度末頃の制度開始（申請受付の開始）を目指して準備が進められています。一方、より高度な対策水準となる★5について、経済産業省は2026年度以降に基準や評価スキームの設計を進めるとしています。

なお、本制度は取得を義務付けるものではありません。★の取得をどのように求めるかは、取引当事者間の契約で決める任意の制度です。

SCS評価制度が整備される背景には、サプライチェーンを構成する企業のセキュリティ対策状況を外部から判断しにくいという課題があります。取引先に求めるセキュリティ対策の水準を共通化し、対策状況を可視化する仕組みとして、今後の企業間取引でも押さえておきたい制度といえるでしょう。

SCS評価制度の評価基準やISMS・プライバシーマークとの違い、制度開始に向けて企業が準備すべき内容については、以下の記事で詳しく解説しています。自社に求められる対策水準の確認や、現状とのギャップを整理する際にお役立てください。

参考：サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（2026年3月27日） - 経済産業省・内閣官房国家サイバー統括室

参考：SCS評価制度の詳細情報 - IPA

サプライチェーン攻撃は企業規模を問わず発生しており、中小企業が攻撃の起点となって取引先を含めた被害につながる事例も顕在化しています。

IPAは、サプライチェーン全体を狙ったサイバー攻撃が増加するなか、セキュリティ対策が十分とはいえない中小企業が攻撃の起点となるケースについて注意を促しています。企業規模にかかわらず、サイバー攻撃を想定した対策が求められている状況です。

サプライチェーン攻撃において中小企業が入り口として狙われる背景には、主に次の2つが挙げられます。

(1)取引先（大手企業）への侵入につながる接点を持っているため

(2)セキュリティ対策に割ける人材・予算が限られやすいため

参考：情報セキュリティ「令和7年度セキュリティ人材活用環境整備に係る業務」報告書について - IPA

中小企業も取引や業務委託を通じて、大企業を含むさまざまな企業とシステムや情報をやり取りしています。取引先のシステムへアクセスするためのアカウントや権限、共有システム・認証基盤などが侵害されると、別の企業へ侵入する足掛かりとして悪用されるおそれがあります。

IPAの『2024年度中小企業等実態調査結果』速報版でも、2023年度にサイバーインシデントの被害を受けた中小企業の約7割で、サービス停止・遅延や補償負担など、何らかの取引先への影響が確認されました。中小企業のインシデントが、自社だけでなく取引先にも影響を及ぼし得ることがわかります。

取引先への侵入経路として悪用されないためには、取引先のシステムへ接続するアカウントやアクセス権限を適切に管理することが大切です。多要素認証の導入や不要な権限の削除など、自社と取引先をつなぐ接点から対策を進めましょう。

参考：2024年度中小企業等実態調査結果 - IPA

中小企業では、予算や人材の制約から、専門的な知見を持つセキュリティ人材を自社内で確保することが難しい場合があります。

IPAの『2024年度中小企業等実態調査結果』速報版では、セキュリティの専門部署がある企業は9.3％にとどまり、約7割の企業で組織的なセキュリティ体制が整備されていない状況が示されています。またIPAは、情報セキュリティ対策が十分とはいえない中小企業が攻撃の起点となり、取引先企業を含めて被害が生じる事例が顕在化していると指摘しました。

限られた人員や予算ですべてのセキュリティ対策を一度に進めるのは困難です。自社が保有する情報や利用しているシステム、取引先との接続状況などを整理し、被害が発生した場合の影響が大きいものから優先して対策を進めましょう。自社だけで対応が難しい場合は、セキュリティ専門家や外部サービスを活用する方法もあります。

参考：2024年度中小企業等実態調査結果 - IPA

サプライチェーン攻撃による影響は、情報漏えいだけではありません。システムや業務の停止、取引先への被害拡大など、事業活動そのものに影響が及ぶケースもあります。企業に生じ得る主な被害として、次の4つを押さえておきましょう。

(1)機密情報や個人情報の漏えい

(2)システム停止による業務への影響

(3)取引先への被害拡大

(4)信用低下や取引への影響

サプライチェーン攻撃による情報漏えいでは、自社への攻撃だけでなく、取引先や委託先への攻撃をきっかけとして被害を受ける場合があります。たとえば、業務委託先が攻撃を受け、委託先に預けていた自社の機密情報や顧客の個人情報が流出するケースです。

反対に、自社が攻撃を受けたことで、取引先から預かっている機密情報や個人情報が流出し、取引先へ被害を広げることもあるでしょう。サプライチェーン上では、攻撃を受けた企業だけでなく、情報を預けている企業やその顧客にまで情報漏えいの影響が及ぶおそれがあります。

個人情報保護法第26条では、報告対象となる個人データの漏えい等が発生した場合（発生したおそれがある場合を含む）、個人情報保護委員会への報告と本人への通知が原則として求められています。

個人データの取扱いを委託している場合、委託先で報告対象となる漏えい等が発生すると、原則として委託元と委託先の双方が報告義務を負う仕組みです。

ただし、委託先が同条第1項ただし書にもとづいて委託元へ通知した場合、委託先の報告義務は免除されます。また、同法第25条では、個人データの取扱いを委託する場合、委託元に委託先への必要かつ適切な監督が求められています。

個人情報保護委員会への報告期限は、速報が概ね3〜5日以内、確報が原則30日以内です。不正な目的で行われたおそれがある漏えい等の場合、確報の期限は60日以内となります。

参考：個人情報の保護に関する法律についてのガイドライン（通則編） - 個人情報保護委員会

参考：個人情報の保護に関する法律 - e-Gov法令検索

サプライチェーン攻撃によるシステム停止は、攻撃を受けた企業だけでなく、取引関係にある企業の業務にも影響を及ぼす場合があります。たとえば、委託先のシステムが停止し、委託していた業務やサービスを利用できなくなれば、自社が直接攻撃を受けていなくても業務に支障が生じるでしょう。

一方、自社の受発注や製造、物流などのシステムが停止すれば、製品・サービスを予定どおり提供できず、取引先の業務を停滞させるおそれがあります。サプライチェーンでつながる企業では、一社のシステム停止が複数の企業の事業活動へ波及することも考えられます。

警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』によると、2025年にランサムウェア被害に遭った組織のうち、復旧に総額1,000万円以上を要した組織は5割を超え、1か月未満で復旧できた組織は5割強にとどまりました。

ランサムウェア被害全般のデータではあるものの、システム停止を伴うサイバー攻撃では、復旧に大きな負担が生じ得ることを示しています。

参考：令和7年におけるサイバー空間をめぐる脅威の情勢等について - 警察庁

サプライチェーン攻撃では、一社への侵害を起点として取引先へ被害が広がる場合があります。たとえば、自社から窃取された認証情報や取引先との接続環境などが悪用されると、自社を足掛かりとして取引先のシステムへ侵入されるおそれがあるでしょう。

反対に、取引先や委託先が侵害され、その企業が保有する認証情報や接続環境などを経由して、自社が攻撃を受けるケースもあります。また、システムへの侵入だけでなく、一社の業務停止によって製品供給やサービス提供が滞り、サプライチェーン上のほかの企業へ事業面の影響が波及することも考えられます。

サプライチェーン攻撃によって情報漏えいや業務停止が発生すると、攻撃を受けた企業だけでなく、取引関係にある企業にも信用面や事業面の影響が及ぶ場合があります。たとえば、委託先への攻撃によって自社が預けていた情報が漏えいすれば、自社の顧客への対応を迫られるケースもあるでしょう。

一方、自社が攻撃を受け、取引先から預かった情報の漏えいや製品・サービスの供給停止につながった場合には、取引先との関係が悪化するおそれがあります。契約の見直しや取引停止、損害賠償請求などに発展すれば、インシデント収束後も事業活動への影響が続く可能性も否定できません。

サプライチェーン攻撃では、取引先や委託先への侵入をきっかけとして、別の企業へ被害が広がるケースがあります。具体的な被害をイメージできるよう、代表的な事例をもとにした2つのケースを紹介します。

(1)取引先への攻撃で大手製造業の操業が停止した事例

(2)業務委託先のマルウェア感染から情報漏えいにつながった事例

部品供給会社がランサムウェア攻撃を受け、その影響で取引先の工場の操業が停止した事例です。攻撃者は、部品供給会社の子会社が利用していたネットワーク環境の脆弱性を悪用し、子会社の内部ネットワークへ侵入したとされています。

その後、子会社と部品供給会社のネットワーク接続を経由して攻撃が広がり、部品供給会社のサーバーがランサムウェアに感染しました。システム停止によって部品供給に支障が生じた結果、取引先の工場にも影響が及んだとされています。

製造の停止に伴って取引先も1日にわたり稼働を停止し、サプライチェーンを通じて事業活動へ影響が波及した事例です。

参考：情報セキュリティ10大脅威 2026 解説書［組織編］ - IPA

参考：「実務者のためのサプライチェーンセキュリティ手引書」 - IPA

業務委託先の端末がマルウェアに感染し、攻撃者による内部ネットワークへの侵入を許した事例も確認されています。攻撃者は侵害した端末などから認証情報を窃取したうえで、権限を拡大しながらネットワーク内で攻撃範囲を広げました。

さらに、委託関係を通じて発注元側のシステムにも侵入され、個人情報の漏えいにつながったとされています。委託先への攻撃を起点として、取引関係にある企業まで被害が波及するリスクを示す事例といえるでしょう。

参考：情報セキュリティ10大脅威 2026 解説書［組織編］- IPA

参考：実務者のためのサプライチェーンセキュリティ手引書 - IPA

サプライチェーン攻撃では、自社のセキュリティ対策が不十分だと、自社が被害を受けるだけでなく、取引先へ攻撃を広げる足掛かりとして悪用されるおそれがあります。

サプライチェーン全体への被害拡大を防ぐためにも、自社で実施する基本的なセキュリティ対策として、次の4つを押さえておきましょう。

(1)OS・ソフトウェアを最新の状態に保つ

(2)多要素認証とアクセス権限の管理を徹底する

(3)セキュリティ対策ツールを導入する

(4)従業員へのセキュリティ教育を実施する

サイバー攻撃のリスクを抑えるため、OSやソフトウェアは定期的に更新し、既知の脆弱性を放置しないことが大切です。自社で利用しているOS・ソフトウェアを把握し、更新情報を確認したうえで、必要なアップデートを適切に実施することが基本的な対策になります。

サポートが終了したOS・ソフトウェアについても、放置せずに新しいバージョンへの更新や別製品への移行を検討しましょう。また、更新の対象となるのは、PCやサーバーのOS・ソフトウェアだけではありません。VPN機器やルータなど、インターネットとの境界に置かれるネットワーク機器についても、適切な更新が求められます。

警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』によると、2025年にランサムウェア被害に遭った組織へのアンケートでは、侵入経路はVPN機器が6割以上を占めて最も多く、次にリモートデスクトップサービスが続きました。

脆弱性を残した機器やサービスが侵入経路となれば、自社への被害だけでなく、取引関係を通じて別の企業へ攻撃を広げる足掛かりとして悪用されるおそれもあるでしょう。OS・ソフトウェアに加え、外部からアクセスできるネットワーク機器やサービスまで含めて脆弱性対策を進める必要があります。

参考：令和7年におけるサイバー空間をめぐる脅威の情勢等について - 警察庁

参考：VPN機器等に対するORB（Operational Relay Box）化を伴うネットワーク貫通型攻撃のおそれについて - IPA

多要素認証（MFA）とは、パスワードなどの「知識情報」、スマートフォンなどの「所持情報」、指紋などの「生体情報」から、異なる2つ以上の要素を組み合わせる認証方法です。パスワードだけに依存しないため、認証情報が窃取された場合の不正ログインリスクを低減できます。

IPA『情報セキュリティ10大脅威 2026 解説書［組織編］』でも、多要素認証を適用していなかったアカウントの認証情報を窃取され、社内ネットワークへ侵入された事例が紹介されています。VPNやリモートデスクトップなど、外部から社内へ接続する経路には特に優先して適用しましょう。

参考：情報セキュリティ10大脅威 2026 解説書［組織編］- IPA

あわせて、従業員や委託先へ必要以上のアクセス権限を付与しないようにしましょう。アクセス権限は業務上必要な範囲に限定し、異動・退職・契約終了などに合わせて、不要になったアカウントや権限を削除・変更します。

外部事業者へシステムへのアクセスを認めている場合には、「誰が、どのシステムへ、どの権限でアクセスできるのか」を把握することが欠かせません。アカウントとアクセス権限を適切に管理すれば、認証情報などを悪用したサプライチェーンリスクの低減につながります。

多要素認証と二要素認証・二段階認証との違いや、導入・運用時のポイントについては、以下の記事で詳しく解説しています。

また、複数のクラウドサービスやSaaSを利用している場合には、SSO（シングルサインオン）を活用して認証やアクセス管理を効率化する方法もあるため、SAML認証の仕組みやSSOのメリットを解説した記事もあわせてご覧ください。

入社・異動・退職に伴うアカウント管理を効率化したい方は、SmartHRで実現できる管理方法を以下の資料でご紹介しています。

サプライチェーン攻撃では、改ざんされた正規の更新プログラムや、取引先に付与された正規のアカウント・接続経路などが悪用される場合があります。正規の経路を通じて侵入されるケースもあるため、入口で侵入を防ぐ対策だけでは攻撃を止めにくいこともあるでしょう。

そこで、侵入の防止に加えて、侵入後の不審な挙動を早期に検知する仕組みも求められます。代表的なセキュリティ対策ツールが、EPP（Endpoint Protection Platform）やEDR（Endpoint Detection and Response）です。

それぞれの主な役割は以下のとおりです。

ただし、EPPやEDRは導入して終わりではありません。検知したアラートを確認し、不審な挙動が見つかった場合に適切な対応へつなげられるよう運用することが大切です。

サプライチェーン攻撃による侵入を防ぐには、従業員への継続的なセキュリティ教育が欠かせません。 

サプライチェーン攻撃では、取引先のメールアカウントが乗っ取られ、正規のメールアドレスからマルウェアを含むメールが送られてくるケースがあります。

過去のやり取りへの返信を装うなど、受信者が不審なメールだと判断しにくい手口もあるため、知っている相手からのメールであっても注意が必要です。

従業員への教育内容として、以下が挙げられます。

• 取引先など知っている相手から届いたメールでも、添付ファイルやURLに不審な点がないか確認する
• 振込先変更など通常と異なる依頼は、電話など別の連絡手段で確認する
• パスワードや認証情報を適切に取り扱う
• インシデントを発見した場合の報告方法を把握する

セキュリティ教育は、一度研修を実施して終わりではありません。新たな脅威や攻撃手法に合わせて研修内容を定期的に見直し、継続して従業員へ周知することが求められるでしょう。

サプライチェーン攻撃への対策では、自社のセキュリティを強化するだけでなく、取引先や委託先を含めてリスクを管理する必要があります。自社以外の企業が攻撃を受け、取引関係やシステム上のつながりを通じて被害が波及するケースも想定しておきましょう。

サプライチェーン全体で取り組むべき主な対策は、次の4つです。

(1)取引先・委託先のセキュリティ対策状況を把握する

(2)委託先に求めるセキュリティ要件を明確にする

(3)契約上の責任範囲や報告ルールを明確にする

(4)インシデント発生時の連絡・対応体制を整備する

サプライチェーン攻撃のリスクを把握するには、取引先・委託先が自社の定めるセキュリティ要件を満たしているか確認することが欠かせません。新たに業務を委託する際は、セキュリティチェックシートへの回答や関連資料の提出を依頼し、対策状況を確認します。

取り扱う情報の重要度や委託業務のリスクが高い場合には、チェックシートだけで判断せず、担当者へのヒアリングや監査などを組み合わせる方法も有効です。書面だけでは把握しにくい運用状況まで確認することで、実態に即した評価につなげられるでしょう。

また、契約時の確認だけで終わらせず、契約後も定期的に対策状況を確認します。委託する業務や利用するシステムに変更があった場合なども、必要に応じて再確認することが大切です。

経済産業省のSCS評価制度では、委託元が委託先に適切なセキュリティ対策の段階（★）を提示し、対策を促すとともに、実施状況を確認する利用が想定されています。

制度の運用開始後は、取引先・委託先の対策状況を確認する際の共通的な基準として活用できるでしょう。

制度開始前の現時点でも、公開済みの★3・★4の要求事項や評価基準は、チェックシートの確認項目などを検討する際の参考になります。

取引先・委託先の対策状況を確認するだけでなく、自社で利用するSaaSやアカウントを適切に管理できる体制を整えることも求められます。

取引先・委託先とシステムや情報を共有する場合は、取り扱う情報の重要度やシステムへのアクセス範囲などに応じて、相手に求めるセキュリティ要件を明確にします。

すべての取引先・委託先へ一律の対策を求めるのではなく、インシデントが発生した場合の影響も踏まえて、適切な水準を設定することが大切です。

具体的なセキュリティ要件としては、以下が挙げられます。 

• アクセス制御
• 多要素認証
• OS・ソフトウェアの脆弱性対策
• マルウェア対策
• ログの取得・管理
• データの暗号化
• バックアップ

また、個人情報や機密情報を取引先・委託先と共有する場合には、以下の項目についても定めが必要です。

• データの保管方法
• データの保管期間
• データの持ち出しの可否
• 契約終了後のデータの返却・廃棄方法

また、取引先・委託先が取り扱える情報やアクセスできるシステム・データの範囲についても、必要最小限に抑えましょう。業務内容に応じて適切なアクセス権限を設定し、担当者の異動や退職、委託業務の変更などが発生した場合には、付与している権限を見直します。

再委託が想定される場合には、委託先だけでなく、再委託先にも必要なセキュリティ対策を求める仕組みが欠かせません。委託先から別の事業者へ業務や情報が渡ることで、発注元から把握しにくい範囲までサプライチェーンが広がるおそれがあります。

委託先に求める要件を含め、組織としてセキュリティ対策を継続的に運用するには、自社の方針やルールを明文化しておくことも必要です。情報セキュリティポリシーの策定方法や盛り込むべき内容については、以下の記事で詳しく解説しています。

参考：個人情報の保護に関する法律についてのガイドライン（通則編） - 個人情報保護委員会

委託先に求めるセキュリティ要件を整理したら、契約書や仕様書などに具体的な内容を盛り込みます。とくに、以下の対応について、委託元と委託先のどちらが担うのかを明確にしておくことが必要です。 

• セキュリティ対策の実施
• インシデント発生時の調査
• 被害拡大の防止
• システムや業務の復旧対応

あわせて、被害が生じた場合の損害賠償の範囲や、委託元が委託先の対策状況を定期的に確認・監査できる旨も、契約に盛り込んでおくとよいでしょう。

インシデントが発生した場合に備えて、以下の項目についても事前に定めておく必要があります。

• インシデント発生時の報告義務
• 報告期限
• 報告先・連絡先
• 報告すべき情報の内容

報告する情報には、主に以下の内容を含めます。

• インシデントの発生日時
• 発生した事象
• 影響を受けたシステム・情報
• 被害の範囲
• 実施した対応

再委託を認める場合は、再委託先にも必要なセキュリティ要件や報告ルールが適用されるよう、契約上の条件を明確にします。

インシデント発生時に迅速に対応できるよう、社内の対応責任者や関係部署、社外の連絡先などをあらかじめ整理しておきます。情報システム部門だけでなく、インシデントの内容に応じて経営層や法務、広報などと連携できる体制を整えておきましょう。

あわせて、影響範囲の確認や被害拡大の防止、原因調査、復旧など、インシデント発生後の対応手順を決めておくことも欠かせません。優先して対応する内容や担当者を明確にしておけば、発生時の迅速な初動につながります。

サプライチェーン攻撃では、取引先・委託先との連携が必要になる場合もあるでしょう。被害が取引先へ及ぶおそれがある場合などを想定し、誰がどのタイミングで連絡するのかを事前に整理しておきます。

連絡先や担当者は定期的に更新し、必要に応じて取引先・委託先も含めたインシデント対応訓練を実施しましょう。

サプライチェーン攻撃への対策を進めるうえで、まず取り組みたいのが、自社で利用しているIT資産やSaaS、アカウントの把握です。管理対象が明確でなければ、OS・ソフトウェアの更新、アクセス権限の見直しなど必要な対策から漏れるものが生じるおそれがあります。

とくに、会社が把握していないSaaSやデバイスを従業員が利用する「シャドーIT」は、管理の目が届きにくく、情報漏えいや不正アクセスにつながるリスクがあります。どのサービスやデバイスを、誰が、どのような権限で利用しているのかを可視化することが、管理漏れを防ぐ第一歩です。

ただし、利用状況を一度把握するだけでは十分ではありません。従業員の入社・異動・退職に伴って、必要なアカウントやアクセス権限は変わります。不要になったアカウントや権限を放置しないためには、人の動きに合わせて情報を更新し、継続的に管理する仕組みが必要です。

SmartHRグループでは、こうしたSaaSやアカウントの可視化・管理を支援するサービスを提供しています。日々の管理業務を効率化しながら、アカウントの削除漏れや不要な権限の見落としを防ぐことは、自社のセキュリティを高め、サプライチェーンの一員としての備えを進めることにもつながります。

シャドーITが発生する背景やリスク、SaaS・デバイスの可視化をはじめとする対策について詳しく知りたい方は、以下の記事も参考にするとよいでしょう。

サプライチェーン攻撃では、取引先や委託先、ソフトウェア、サービス事業者など、企業を取り巻くさまざまなつながりが攻撃経路となる場合があります。自社に重要な情報が少ないと考えていても、取引先への侵入経路として悪用されたり、自社の業務停止によって取引先へ影響を及ぼしたりするリスクには注意が必要です。

被害を防ぐためには、OSやソフトウェアの更新、多要素認証やアクセス権限の管理、従業員へのセキュリティ教育など、基本的な対策を着実に実施しましょう。加えて、取引先・委託先の対策状況を確認し、インシデントが発生した場合に備えて対応体制を整えておくことも求められます。

サプライチェーン攻撃への対策は、一度実施すれば終わりではありません。利用しているSaaSやアカウントを含めて自社のIT環境を把握し、適切な管理を継続しながら、自社と取引先の双方を守るセキュリティ体制を整えていきましょう。