サプライチェーンへのサイバー攻撃と有効な対策を解説

2026/01/14

#サプライチェーン

【目次】

1.サプライチェーンへのサイバー攻撃と高まるセキュリティ対策への要求
2.外部評価に備えるための第一歩
3.スコア改善と信頼性向上のための対策
4.まとめ｜顧客との信頼を強化するために

近年、サプライチェーンを狙ったサイバー攻撃が増加しています。これに伴い、大手の発注元企業は、自社だけでなく取引先のセキュリティ対策にも注目するようになっています。その結果、サプライヤーや委託先に対しても、より高度なサイバーセキュリティ対策が求められる傾向が強まっています。

本記事では、サプライチェーン全体におけるサイバーセキュリティに視野を広げて、近年の動向を踏まえながら、サプライヤーへの影響と求められる対策について解説します。

サプライチェーンへのサイバー攻撃と高まるセキュリティ対策への要求

■サプライチェーンへのサイバー攻撃の増加とその狙い

近年の攻撃傾向として、攻撃者は、大企業を直接狙うのではなく、その周辺にある中小企業の取引先や委託先を標的にするケースが増えています。

理由は明確で、サプライヤーは大企業と比べると、リソースの制約などから対策が後回しになりやすく、攻撃の「入り口」として利用されやすいためです。

実際、IPA（情報処理推進機構）が公表している「情報セキュリティ10大脅威」では、「サプライチェーンや委託先を狙った攻撃」が連続で毎年ランクインしています。こうした状況を受け、経済産業省やIPAでは、サプライチェーン全体の安全性を高めるためのガイドライン整備や普及が進められています。

■サプライヤーへの影響と今後の動向

こうした流れを受け、発注元企業は自社のセキュリティ強化だけでなく、取引先、さらにはサプライチェーン全体に対しても、一定水準のセキュリティ対策を求める傾向が強まっています。現時点では明確な要求が示されていない場合でも、今後こうした動きが加速する可能性は高いと考えられます。

また、直接的な要請がなくても、ベンダーリスクマネジメントの観点から、サイバーセキュリティ領域が取引先評価の対象に含まれるケースは今後さらに増えていくでしょう。

サプライヤーにとって、サイバーセキュリティへの対応は、もはや単なる「コスト」ではありません。取引を継続するための前提条件になりつつあります。自社の「サイバーセキュリティへの対応力」を示すことは、今後のビジネス継続や競争力に直結する重要な要素になると言えます。

■セキュリティリスク評価の現状と課題

現状、取引先のサイバーセキュリティリスク評価では、チェックシートの提出や、必要に応じた改善計画の提示が求められるケースが一般的です。

チェックシートは有効な方法ですが、リアルタイム性や継続性の観点では補いきれない部分もあり、必要に応じて外部評価(※１)などの仕組みを組み合わせる動きが広がっています。実地監査や脆弱性検査を行うには、コストの面でも現実的ではありません。

これらの課題を背景に、諸外国では第三者による外部評価（スコアリング）サービスの活用が広がっています。これらのサービスは、外部から観測可能な情報をもとに、自社やサプライヤーのセキュリティ状況を数値化し、継続的にモニタリングできる仕組みを提供します。日本でも、グローバル取引や業界ガイドラインへの対応を背景に、同様の流れが進む可能性が高いと考えられます。

サプライヤーが自社のサイバーセキュリティ対応力を示すには、第三者による外部評価に備えて、必要な対策をあらかじめ整えておくことが重要です。

※１外部評価：

本記事の「外部評価」は、第三者が企業の公開情報をもとにセキュリティ状況を評価・スコア化する仕組みを指します。

外部評価に備えるための第一歩

■自社の公開資産を正確に把握する

最初に、インターネット上に公開されている自社の資産を漏れなく洗い出します。Webサーバ、クラウドサービス、メールサーバ、ドメインなど、攻撃対象になりやすい資産を棚卸し、常に最新の状態を維持することが大切です。

管理台帳などで資産を管理していたとしても、記帳漏れや更新忘れによって把握できていない資産が存在する可能性があります。特に、利用されていないサービスや古いシステムが放置されている場合は、攻撃リスクが高まるため、速やかな対応が求められます。

■外部評価で見られるポイントを把握する

棚卸しが終わったら、次は外部評価の基本を理解しましょう。

外部評価（スコアリング）サービスは、非侵入型の手法を用いて、企業の内部システムに直接干渉せず公開情報を収集し、セキュリティ状況をスコア化します。

一般的な評価項目例は以下の通りです。

インターネット上に公開されている資産の把握

　　例：ドメイン、IPアドレス、公開サーバなど

公開資産の設定や構成の健全性

　　例：DNS設定(※２)、SSL/TLS証明書(※３)など

脆弱性につながる可能性のある情報の露出

　　例：不要なポートの開放など

過去のセキュリティインシデントの履歴

　　例：認証情報の漏えいなど

管理されていない・放置された資産の存在

　　例：使われていないサブドメインや古いサービスなど

これらの項目は、攻撃者が攻撃の足掛かりを探す際に参考にする可能性が高い情報です。サプライヤーとしては、評価結果を事前に把握し、必要な改善策を講じることが、自社のサイバーセキュリティ対策の強化と信頼性向上につながります。

※２ DNS設定：

DNS(Domain Name System)の設定とは、ドメイン名とIPアドレスを紐付けるための設定を指します。

※３ SSL/TLS証明書：

ウェブサイトの通信を暗号化し、サイト運営者の実在性を証明する電子証明書で、通信の盗聴・改ざん防止と信頼性向上のために必須のものです。

スコア改善と信頼性向上のための対策

■攻撃対象領域の縮小（不要な公開サービスの停止）

外部評価で低スコアとなる原因の多くは、不要な公開サービスや古いシステムの放置です。まずは、公開資産を棚卸しして、利用していないサーバやポートを閉じて、攻撃対象領域を最小化します。特に、テスト環境や古いVPNゲートウェイなどは、攻撃者に悪用されやすい典型的なポイントです。

■基本的なセキュリティ対策を徹底する

棚卸しと不要サービスの停止に加えて、以下の基本的な対策を継続的に実施することで、外部評価スコアの改善と実際のセキュリティ強化につながります。

公開資産の管理

→Webサイト、メールサーバ、クラウドサービスなど、自社が外部に公開している資産を定期的に確認・整理する。

パッチ適用

→OSやソフトウェアを常に最新の状態に保ち、脆弱性を放置しない。特に公開サーバは優先的に対応。

証明書管理

→SSL/TLS証明書の有効期限や設定を確認し、期限切れや暗号化の不備がないようにする。

認証の強化

→重要なサービスには多要素認証（MFA）を導入し、不要なアカウントは削除。社員の権限も定期的に見直す。

メールセキュリティの確認

→SPF(※４)、DKIM(※５)、DMARC(※６)などの設定を整え、なりすましやフィッシングのリスクを減らす。

※４ SPF：

SPF(Sender Policy Framework)は、電子メールの送信元ドメインが詐称されていないかを認証する技術です。

※５ DKIM:

DKIM(DomainKeys Identified Mail)は、メールの送信元認証と改ざん検知を行う技術で、メールに電子署名を付与し、受信側がDNSに登録された公開鍵で検証します。これにより、なりすましメールや本文が書き換えられたメールを防ぎます。

※６ DMARC:

DMARC「Domain-based Message Authentication, Reporting, and Conformance」は、SPFとDKIMの認証技術を組み合わせ、メールの送信元ドメインが正規のものであるかを確認し、なりすましメールやフィッシング詐欺を防ぐための送信ドメイン認証技術です。