サプライチェーンを通じたサイバーリスクへの対応として、取引先へセキュリティ自己点検や対策を求める企業が増えています。
一方で、「全取引先へ同じチェックシートを送ってよいのか」「未達項目があれば改善を求めるべきか」「どこまで要求すると取引先への過度な負担になるのか」といった課題もあります。
サプライチェーンセキュリティでは、要求項目を増やすほど安全になるとは限りません。
重要なのは、その取引先が担う業務、扱う情報、自社システムへのアクセス、事業継続への影響などを整理し、「なぜこの要求が必要なのか」を説明できる状態にすることです。
本記事では、すべての取引先へ同じ要求を出すのではなく、共通の最低要求と、取引リスクに応じた追加要求を組み合わせる方法を解説します。
全取引先へ同じセキュリティ要求を出す必要はない
同じ会社の取引先でも、サイバーリスクとの関わり方は大きく異なります。
- 一般的な物品のみを納入する取引先
- 機密情報や個人情報を預ける取引先
- 自社システムへリモート接続する保守会社
- クラウドサービスを提供する事業者
- 工場や物流など、停止すると事業へ大きな影響が生じる委託先
これらの企業へ同じ100項目を一律に要求すると、リスクの低い取引では確認負荷が大きくなる一方、重要な取引では本当に確認すべき項目が埋もれる可能性があります。
経済産業省のサイバーセキュリティ経営ガイドラインでも、サプライチェーンで扱う情報の機密性・重要性に応じて実施すべき対策を定め、過剰な対策や形骸化を避ける考え方が示されています（経済産業省・IPA, 2023）。
まず取引先との「リスクの接点」を整理する
要求事項を決める前に、その取引先と自社がどのようにつながっているかを整理します。
| 確認軸 | 確認する内容 |
|---|---|
| 扱う情報 | 機密情報、個人情報、認証情報、設計・営業情報等を扱うか |
| システムアクセス | リモート接続、管理者権限、API・ネットワーク接続があるか |
| 業務重要度 | サービス停止や侵害が自社の生産・販売・顧客へ影響するか |
| 代替可能性 | 障害発生時に別事業者や代替手段へ切り替えられるか |
| 再委託 | さらに別の事業者やクラウドサービスを利用しているか |
| 契約・規制 | 顧客要求、法令、業界基準、契約上の要件があるか |
企業規模だけで要求水準を決めないことも重要です。小規模な保守会社であっても、重要システムへ管理者権限で接続するなら、重点的な確認が必要になる場合があります。
全社共通の最低要求とリスク別追加要求を分ける
実務では、取引先への要求を「共通の最低要求」と「条件に応じた追加要求」に分けると整理しやすくなります。
ここで示した項目は固定的な必須リストではありません。自社の事業・契約・取引関係に応じて定義します。
リスクベースで考えることは、「低リスクの取引先には何も要求しない」という意味でもありません。自社として必要な最低水準を定め、その上で追加要求の深さを変えます。
全取引先へ100項目を要求する架空例
説明用の架空企業が、300社の取引先すべてに同じ100項目のセキュリティアンケートを送付しているとします。
| 取引先 | 取引内容 | 考えられる課題 |
|---|---|---|
| A | 一般物品の納入。自社ネットワーク接続・機密情報共有なし | 取引リスクに対して100項目の確認負荷が過大となる可能性 |
| B | 設備保守。生産システムへリモート接続し、高権限アカウントを利用 | 平均点が高くても、アクセス制御など重要項目の未達が埋没する可能性 |
| C | クラウドサービス。顧客・従業員情報を保存し、業務がサービスへ依存 | データ管理、事業継続、インシデント連絡等をより深く確認する必要性 |
このケースでは、「100項目中何点だったか」だけでは、A・B・Cの違いを十分に表現できません。
重要なのは、この取引先で特に管理すべきリスクは何かを見ることです。
現在利用しているチェックシートがある場合は、各項目の右側に「この要求が必要となる取引条件」という列を追加してみてください。「機密情報を扱う場合」「自社システムへ接続する場合」「事業停止時の影響が大きい場合」などを説明できない項目が多ければ、一律要求になっていないか見直す余地があります。
取引先を評価するときの7つの視点
- 扱う情報：機密情報、個人情報、営業秘密、認証情報等の有無
- アクセス・接続：リモートアクセス、管理者権限、API、ネットワーク接続
- 事業上の重要性：停止・侵害時の生産、売上、顧客等への影響
- 再委託：再委託先やクラウドなど、その先のサプライチェーン
- 現在の対策：ガバナンス、アカウント、脆弱性、バックアップ、インシデント対応
- 契約・外部要求：法令、顧客要求、契約、業界基準
- 実現可能性・費用：導入負荷、費用、期間、代替対策の有無
自己点検の回答だけではなく、必要に応じて証跡、第三者認証、ヒアリング等を組み合わせます。自己申告と第三者による確認では、得られる保証の程度が異なります。
ISO/IEC 27001等の認証がある場合も、認証の対象範囲が今回の委託サービスを含むか確認します。認証取得だけを理由に追加確認が一切不要になるわけではありません。
SCS評価制度を要求水準の共通言語としてどう使うか
経済産業省と内閣官房国家サイバー統括室が整備を進めているSCS評価制度は、サプライチェーンにおける重要性を踏まえ、企業が満たすべきセキュリティ対策と実施状況を可視化する制度です（経済産業省, 2026）。
2026年10月時点では、★3・★4について2026年度末頃の申請受付開始が目標とされています。制度は任意であり、★取得自体が法律上すべての企業へ義務付けられているものではありません。
また、★3・★4は企業の優劣を順位付けするためのランキングではありません。取引関係の中で求めるセキュリティ水準を共有するための共通言語の一つとして利用する考え方が適切です。
SCS評価制度も、評価基準を満たすために特定のEDRや資産管理製品を必須としているわけではありません。取引先へ要求する際にも、特定製品の導入そのものではなく、原則として満たしてほしいセキュリティ水準・成果を明確にする方が整理しやすくなります。
未達項目があった取引先へどう対応するか
セキュリティアンケートで未達が見つかった場合も、「未達＝即取引停止」とする必要はありません。
| 対応 | 考え方 |
|---|---|
| 改善計画 | 期限・担当等を整理し、段階的に改善する |
| 代替対策 | 要求と同じ目的を別の管理策で満たせるか確認する |
| アクセス制限 | 接続範囲・権限・委託範囲を限定してリスクを減らす |
| 支援 | ガイド、研修、参考情報等を提供して改善を支援する |
| リスク受容 | 残るリスクを把握し、責任者が受容可否を判断する |
| 再評価 | 改善後に再度確認する |
平均点だけで判断しないことも重要です。全体として高評価でも、管理者権限、インシデント報告、バックアップなど、自社にとって重要な項目が未達であれば個別に確認する必要があります。
セキュリティ要求と契約・価格協議を分離しない
取引先へ新たなセキュリティ対策を求める場合、製品・サービス導入、認証取得、運用担当者の確保など、取引先側に追加費用が発生することがあります。
経済産業省と公正取引委員会は、サプライチェーン全体のセキュリティ向上と取引適正化を両立するため、SCS評価制度に基づく対策要請と価格交渉を行う想定事例・解説を公表しています（経済産業省・公正取引委員会, 2025）。
2026年1月には、従来の下請法が改正され、中小受託取引適正化法（通称：取適法）が施行されています。個別の取引に独占禁止法や取適法がどう適用されるかは、企業規模、取引内容、費用負担、交渉状況等によって異なるため、具体的な契約・要請を行う際は法務部門や弁護士等への確認が必要です。
セキュリティ部門だけで要求事項を決めて調達部門へ渡すのではなく、要求の合理性、実現可能性、費用、契約条件を一体で検討することが重要です。
取引先評価を一度きりで終わらせない
取引先のリスクは固定ではありません。
契約更新、委託範囲の変更、新しいシステム接続、再委託先の変更、M&A、セキュリティインシデントなどにより、必要な要求水準が変わる場合があります。
NISTのCybersecurity Supply Chain Risk Management（C-SCRM）でも、サプライチェーンリスクを単発の確認ではなく、組織のリスク管理活動へ統合して識別・評価・低減する考え方が採られています（Boyens et al., 2024）。
取引先セキュリティ要求チェックリスト
| 確認項目 | 確認内容 |
|---|---|
| 委託内容 | 何を委託・調達しているか整理しているか |
| 扱う情報 | 機密情報・個人情報等の有無を把握しているか |
| アクセス | システム・ネットワーク・高権限アクセスを把握しているか |
| 業務影響 | 停止・侵害時の事業影響を整理しているか |
| 再委託 | 再委託・クラウド利用等を確認しているか |
| 共通要求 | 自社として最低限必要な要求を定義しているか |
| 追加要求 | 取引リスクに応じた追加要求を説明できるか |
| 評価方法 | 自己点検・証跡・第三者確認等の深さを決めているか |
| 未達対応 | 改善・代替対策・リスク受容等の選択肢があるか |
| 費用・契約 | 追加要求に伴う費用や契約条件を確認しているか |
| 法務確認 | 必要に応じて独禁法・取適法等を法務と確認しているか |
| 再評価 | 取引条件の変更等を契機に再確認する仕組みがあるか |
まとめ
サプライチェーンセキュリティでは、全取引先へ同じチェックシートを配り、同じ基準で点数を付ければ十分とは限りません。
まず、扱う情報、システムアクセス、業務上の重要性、再委託、契約上の要求など、取引先と自社とのリスクの接点を整理します。
その上で、自社として必要な共通の最低要求を定め、高いリスクを持つ取引関係には追加要求を組み合わせます。評価方法も、簡易な自己点検から証跡確認、ヒアリング、第三者評価まで、必要な保証水準に応じて変えることができます。
また、未達を見つけること自体が目的ではありません。改善計画、代替対策、アクセス制限、支援、リスク受容などを検討し、契約・費用・取引関係も含めて対応します。
SCI総合研究所株式会社のKANAMEBAでは、取引先へ一律のセキュリティ要求を増やすのではなく、委託内容、扱う情報、システムアクセス、業務影響等を整理し、取引リスクに応じた要求事項、評価方法、改善優先度、継続的なモニタリング方法を設計します。
「全取引先へ同じアンケートを送っている」「SCS評価制度をどう取引先管理へ取り入れるか分からない」「回答を集めた後の改善施策を設計できない」といった段階から、サプライチェーンセキュリティの進め方を整理できます。
参考文献
- 経済産業省・独立行政法人情報処理推進機構. 2023. サイバーセキュリティ経営ガイドライン Ver3.0.
- 経済産業省. 2026. サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針.
- 経済産業省・公正取引委員会. 2025. サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップ構築促進に向けた想定事例及び解説.
- Boyens, J. et al. 2024. Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations. National Institute of Standards and Technology. NIST SP 800-161 Rev. 1 Update 1. DOI: 10.6028/NIST.SP.800-161r1-upd1.
- Boyens, J., McWhite, R., and Calloway, L. 2026. NIST Cybersecurity Supply Chain Management: Due Diligence Assessment Quick-Start Guide. National Institute of Standards and Technology. NIST SP 1326. DOI: 10.6028/NIST.SP.1326.