取引先や委託先を経由したサプライチェーン攻撃は、自社だけでなくサプライチェーン全体にも被害を与える重大なリスクです。信頼性を高め、ビジネスの安定を確保するためには、セキュリティ対策状況を客観的に把握しておく必要があります。
本記事では、経済産業省が2026年度に導入を検討している「サプライチェーン強化に向けたセキュリティ対策評価制度」の概要や開始時期、対象企業について詳しく解説します。
1. 経済産業省の「サプライチェーン強化に向けたセキュリティ対策評価制度」とは
「サプライチェーン強化に向けたセキュリティ対策評価制度」とは、企業のセキュリティ対策を段階的に評価することで対策状況を可視化し、サプライチェーン全体のセキュリティ強化を促す制度です。
サプライチェーンにおけるセキュリティリスクが増加している中、取引先のセキュリティ対策の評価が難しいという課題に対処するため、段階的な評価を採用することでセキュリティ対策を客観的に評価できるように設計されています。
2025年4月に本制度の中間とりまとめ、12月に制度構築方針（案）が公表されており、本格的に本制度が運用されるのは2026年度末頃の予定です。
【参考】
「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）」（SCS評価制度の構築方針（案））を公表しました「経済産業省」
■制度の目的
本制度の目的は、サプライチェーン全体のセキュリティ水準を向上させることです。
近年、サプライチェーンを狙ったサイバー攻撃が増加しており、企業の機密情報や顧客データが危険にさらされるリスクが高まっています。セキュリティ対策が十分でなければ、サプライチェーンの脆弱性が狙われてしまうかもしれません。
企業のセキュリティ対策を星の数で評価し、取引先の選定や改善の指標とすることで、自社だけでなく取引先やサプライヤーを含むサプライチェーン全体を守ることができます。
■サプライチェーンとは
サプライチェーンとは、原材料の調達から製造、流通、販売、そして消費者に至るまでの全てのプロセスです。このプロセスには多くの企業や取引先が関与しており、各段階での効率性や安全性が全体の成功に大きく影響します。
どこかの段階で問題が発生するとサプライチェーン全体に影響を与える可能性があるため、サプライチェーンのセキュリティ管理は、企業にとって非常に重要です。近年ではサイバー攻撃や自然災害などのリスクが注目されており、これらに対する対策が求められています。サプライチェーンの安全性を確保することは、企業の競争力を維持するためにも欠かせません。
【関連記事】
2. サプライチェーン強化に向けたセキュリティ対策評価制度の背景
■サプライチェーン攻撃の増加
サプライチェーン強化に向けたセキュリティ対策評価制度の背景には、現代のビジネス環境におけるサプライチェーン攻撃の増加があります。サプライチェーン攻撃とは、攻撃者がターゲットとする企業を直接狙うのではなく、取引先や下請け企業を狙うことで、最終的な目的を達成する手法です。
サプライチェーンの中でも特にセキュリティが脆弱な部分を突かれるため、企業は自社だけでなく取引先や委託先のセキュリティ対策状況を把握し、全体的なセキュリティレベルを向上させることが求められています。
本制度は、サプライチェーン全体のセキュリティを強化し、企業間の信頼を構築するために重要な役割を果たします。
【関連記事】
■取引先のセキュリティ対策の評価が困難
サプライチェーン攻撃の増加は、自社だけでなく、取引先のセキュリティ対策も評価しなければならないという課題を生んでいます。取引先のセキュリティ対策が不十分であると、企業全体のセキュリティが脆弱になる可能性があるからです。取引先がどの程度のセキュリティ対策を講じているかの情報が不足している状況では、企業間での信頼が損なわれるリスクもあります。このため、サプライチェーン全体のセキュリティ対策を可視化し、評価する制度が求められているわけです。さらに、セキュリティ対策の評価基準が統一されていないと評価のばらつきが生じ、取引先のセキュリティ対策が適切かどうかを判断するのが難しくなります。
このような問題を解決するためには、共通の評価基準を策定し、取引先のセキュリティ対策を客観的に評価できる仕組みを整えることが重要です。
【関連記事】
セキュリティチェックシートとは？必要な理由や課題、記載する項目、回答してもらう負担を軽減する方法を解説
■サプライチェーンリスクの可視化が困難
サプライチェーンでは多くの企業が複数の取引先と関わりを持ち、各取引先がさらに他の企業とつながっているため、サプライチェーン全体のセキュリティリスクを正確に把握することが難しいです。
さらに、企業間での情報共有が十分に行われていない場合、リスクの認識に大きなギャップが生じる恐れがあります。取引先のセキュリティ状況を把握するためには情報の透明性が求められますが、企業秘密や競争上の理由から情報共有が進まないこともあるでしょう。
この問題を解決するためには、企業間での信頼関係を築き、情報共有を円滑にするための仕組みを導入することが必要です。
【関連記事】
3. サプライチェーン強化に向けたセキュリティ対策評価制度の仕組み
■企業の取り組みを「星の数」で評価する
サプライチェーン強化に向けたセキュリティ対策評価制度は、企業のセキュリティ対策がどの程度充実しているかを星の数で評価する仕組みです。星の数はセキュリティ対策の充実度に応じて段階的に付与され、各企業がどのような対策を実施しているかを示す指標となります。
■制度の対象範囲
本制度は、製造業やサービス業などの業種を問わず、取引先や関連企業も含めたサプライチェーンを構成するすべての企業が対象となります。また、本制度は中小企業も含めたすべての企業を対象としているため、規模に関わらず、適切なセキュリティ対策が必要です。
■専門家・専門機関が評価を行う
本制度では、対象となる企業の自己評価ではなく、専門家や専門機関が評価を行います。サイバーセキュリティの知識と経験を持ち、最新の脅威や対策について深く理解している専門家や専門機関が評価を行うことで、企業のセキュリティ対策が実効性のあるものであるかを確認し、必要な改善点を指摘することが可能です。
また、経済産業省及びIPAは、2026年春頃から「サイバーセキュリティお助け隊サービス」（新類型）の提供を行う予定となっています。このサービスでは、中小企業に対してサプライチェーン強化に向けたセキュリティ対策評価制度における★3又は★4取得をサポートします。
【参考】
4. サプライチェーン強化に向けたセキュリティ対策評価制度で要求される対策
サプライチェーン強化に向けたセキュリティ対策評価制度で要求される対策は以下の通りです。
- ガバナンスの整備
- 取引先管理
- リスクの特定
- サイバー攻撃からの防御
- サイバー攻撃の検知・監視
- インシデント対応
- インシデントからの復旧
それぞれの対策について詳しく解説します。
■ガバナンスの整備
ガバナンスの整備は、サプライチェーン強化に向けたセキュリティ対策評価制度で要求される重要な対策の1つです。ガバナンスとは、企業が組織全体で方針を定め、それに基づいて運営を管理する仕組みを指します。
ガバナンスの整備には、企業のビジネス戦略に基づいて、どのようなリスクをどのように管理するかを明確にするセキュリティ方針の策定が必要です。次に、方針に基づく具体的な施策として、リスク管理体制の構築や社員教育の実施が求められます。
また、ガバナンスの整備には、定期的な見直しと改善が欠かせません。セキュリティの脅威は日々進化しているため、現状の体制が十分であるかを常に検証する必要があります。
■取引先管理
取引先のセキュリティ対策が不十分な場合、そこを狙った攻撃が自社に影響を及ぼす可能性があります。そのため、取引先のセキュリティポリシーや実施している対策を確認し、セキュリティ状況を適切に評価することが重要です。
さらに、取引先とのコミュニケーションを強化し、セキュリティに関する情報を共有する仕組みを構築することで、セキュリティインシデントが発生した際の迅速な対応が可能になります。
【関連記事】
委託先管理とは？目的や必要な理由、実施する際のポイントを解説
■リスクの特定
企業が直面するリスクを具体的に特定することで、効果的なセキュリティ対策を講じることができます。
自社の業務プロセスや情報資産を洗い出し、それらがどのようなサイバー攻撃の対象となり得るかを分析することが重要です。また、取引先やサプライチェーン全体のリスクを評価することも忘れてはなりません。
サプライチェーンにおけるリスクは個々の企業だけでなく全体の連携が求められるため、取引先のセキュリティ対策の状況を把握し、必要に応じて改善を促すことが求められます。
【関連記事】
リスクの洗い出しを成功させるコツとは？今すぐ実践できる方法を解説
■サイバー攻撃からの防御
サイバー攻撃からの基本的な防御策として、ネットワークへの不正アクセスを防ぎ、マルウェアの侵入をブロックする役割を果たすファイアウォールやウイルス対策ソフトの導入が挙げられます。
次に、従業員のセキュリティ意識を高めるための教育も必要です。一部のサイバー攻撃はフィッシングメールなどを介して行われるため、従業員が怪しいメールを見分ける能力を持つことが求められます。また、定期的なパスワードの変更や二段階認証の導入も効果的です。さらに、システムの脆弱性を定期的にチェックし、必要に応じてアップデートを行うことも欠かせません。
■サイバー攻撃の検知・監視
サプライチェーンには複数の企業が関与するため、どの企業がターゲットになるのか予測が難しいことが特徴です。そのため、自社だけでなく取引先のネットワークも含めた広範囲の監視体制を整える必要があります。ネットワーク上の不審なアクセスをリアルタイムで検知するシステムを導入し、異常が見つかった際には即座にアラートを発する仕組みを構築することが重要です。さらに、検知した異常に対して迅速に対応するための体制も整備する必要があります。
■インシデント対応
本制度では、サイバー攻撃や情報漏えいといったインシデントに迅速かつ適切に対応する能力が求められます。インシデントとは、情報システムやデータなど、企業の情報資産の安全性が脅かされる出来事です。具体的には、インシデント対応計画の策定やインシデント発生時の初動対応、影響の最小化、再発防止策の実施などが挙げられます。
インシデントが発生した場合には、被害の範囲を特定し、迅速に復旧作業を行うことで、影響を最小限に抑えることが可能です。そして、インシデントの原因を分析し、同様の事態が発生しないよう、システムや手順の改善を行います。
【関連記事】
セキュリティインシデントとは？最近の有名な事例や発生する原因・種類、対策、対応方法を解説
■インシデントからの復旧
インシデントからの復旧が迅速に行われることで、被害を最小限に抑え、ビジネスの継続性を確保できます。インシデントの影響を長引かせると、顧客の信頼を失うだけでなく、経済的な損失が大きくなってしまうかもしれません。
インシデントからの復旧をスムーズに行うためには、目標復旧時点（RPO）や目標復旧時間（RTO）を考慮し、事前にインシデント対応計画の策定や定期的に訓練を行うことが重要です。また、データのバックアップを定期的に行い、復旧時に必要な情報も確保しておきましょう。
5. まとめ
今回は、経済産業省が2026年に導入を検討している「サプライチェーン強化に向けたセキュリティ対策評価制度」の概要や開始時期、対象企業について解説しました。
サプライチェーンのセキュリティ対策は、企業の信頼性と競争力を高めるために不可欠です。2026年に導入が検討されている「サプライチェーン強化に向けたセキュリティ対策評価制度」の概要を前提に、セキュリティ対策の見直しを始めてみましょう。
アトミテックでは、委託先リスク管理の手順をまとめた委託先リスク管理ガイドを公開しています。ぜひ自社の委託先管理の参考になさってください。
