サプライチェーン時代に求められる「セキュリティ対策評価制度」とは？

企業が今から備えるべきサイバー攻撃対策をわかりやすく解説

近年、企業を取り巻くサイバー攻撃の脅威は高まっています。ランサムウェア被害が依然として深刻な状況にあるほか、AIの利用をめぐる新たなサイバーリスクも注目されており、「自社だけ守れば大丈夫」という時代ではなくなってきています。

実際、多くの攻撃は“取引先”や“委託先”など、セキュリティ対策が手薄な企業を入口として広がっています。

この記事では、以下の項目をわかりやすく解説します。

• なぜ今セキュリティ対策が必要なのか
• セキュリティ対策評価制度とは何か
• 企業にどんなメリットがあるのか
• 具体的に何を準備すべきか

なぜ今、企業にセキュリティ対策が求められているのか

サイバー攻撃は「大企業だけ」の問題ではない

以前は、大企業や官公庁を狙ったサイバー攻撃が中心でした。
しかし現在は、中小企業も含め、あらゆる企業が攻撃対象になっています。

特に増えているのが、次のような被害です。

主なサイバー攻撃の例

攻撃種類	内容	被害例
ランサムウェア	データを暗号化し、身代金を要求	業務停止、データ消失
標的型メール攻撃	偽メールでウイルス感染を狙う	情報漏えい
AIを悪用した攻撃	AIで自然な偽メールや音声を生成	なりすまし被害
サプライチェーン攻撃	取引先経由で侵入	連鎖的な被害
内部不正	社員や委託先による情報持ち出し	顧客情報漏えい

現在は「自社が狙われる」のではなく、“取引先を経由して狙われる” ケースが増えています。

サプライチェーン攻撃とは？

取引先を入口にする攻撃

サプライチェーンとは、製品やサービスが提供されるまでの「企業同士のつながり」のことです。
例えば、発注企業や仕入先、委託業者、協力会社、システムベンダーなどもサプライチェーンの一部です。
攻撃者は、セキュリティが強固な大企業を直接狙うのではなく、比較的対策が弱い中小企業を突破口にするケースを増やしています。

実際に増えている被害

IPA（情報処理推進機構）が公表した「情報セキュリティ10大脅威 2026」では、「ランサム攻撃による被害」、「サプライチェーンや委託先を狙った攻撃」に続いて「AIの利用をめぐるサイバーリスク」が組織向け脅威ランキングに初選出されました。
こうした状況を踏まえ、まずは現在どのような脅威が企業にとって重要なのかを見てみましょう。

情報セキュリティ10大脅威　2026年版（IPA公表）

順位	「組織」向け脅威	初選出年	10大脅威での取り扱い （2016年以降）
1	ランサム攻撃による被害	2016年	11年連続11回目
2	サプライチェーンや委託先を狙った攻撃	2019年	8年連続8回目
3	AIの利用をめぐるサイバーリスク	2026年	初選出
4	システムの脆弱性を悪用した攻撃	2016年	6年連続9回目
5	機密情報を狙った標的型攻撃	2016年	11年連続11回目
6	地政学的リスクに起因するサイバー攻撃（情報戦を含む）	2025年	2年連続2回目
7	内部不正による情報漏えい等	2016年	11年連続11回目
8	リモートワーク等の環境や仕組みを狙った攻撃	2021年	6年連続6回目
9	DDoS攻撃（分散型サービス妨害攻撃）	2016年	2年連続7回目
10	ビジネスメール詐欺	2018年	9年連続9回目

^{出典：独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威2026」を基に作成しております。}

1位　ランサム攻撃による被害（1位・11年連続選出）

ランサムウェアとは、企業のデータを暗号化して使えなくしたり、盗んだ情報の公開をちらつかせたりして、金銭を要求するサイバー攻撃です。
感染すると、パソコンやシステムが使えなくなるだけでなく、受発注・出荷・顧客対応などの業務停止や情報漏えいにつながるおそれがあります。
さらに、被害が取引先へ波及する可能性もあるため、企業規模を問わず備えておきたい重要な脅威です。

警視庁 ランサムウェア被害の総計 2025年

_{出典：警察庁「令和７年上半期におけるサイバー空間をめぐる脅威の情勢等について」を基に作成しております。}

AI時代で変わるサイバー攻撃の脅威

AIによって攻撃が“高度化・大量化”

近年、生成AIの進化により、攻撃者もAIを活用するようになっています。
例えば、

• 本物そっくりの詐欺メール作成
• 自然な日本語による偽メッセージ
• 音声AIによるなりすまし
• AIによる脆弱性探索

など、攻撃の精度が大きく向上しています。

セキュリティ対策評価制度とは？

企業のセキュリティ対策を“見える化”する制度

こうした背景を受け、経済産業省では、「サプライチェーン全体のセキュリティレベル向上」を目的として、
「セキュリティ対策評価制度」 の整備を進めています。
この制度では、企業がどの程度セキュリティ対策を実施しているかを評価し、星の数で可視化します。

セキュリティ対策評価制度のイメージ

習慣名	タイミング	具体的な行動	目的と効果
SECURITY ACTION （★）	導入初期	情報セキュリティ5か条への取り組み宣言	セキュリティ意識の向上と基本対策の徹底
SECURITY ACTION （★★）	方針策定時	自社診断＋基本方針策定＆公開	組織的なセキュリティ管理の確立
セキュリティ対策評価制度 （★★★）	対策導入期	最低限実装すべきセキュリティ対策 （26項目） 対象： 全ての企業	専門家確認付き自己評価により信頼性を担保
セキュリティ対策評価制度 （★★★★）	運用・強化期	標準的に目指すべき対策（44項目） 対象： 発注者から見た重要な企業	より高度なセキュリティ対策の実現
セキュリティ対策評価制度 （★★★★★）	到達段階	到達点として目指すべき対策（検討中）	第三者認証型による高信頼評価

^{経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日公表）を基に作成}

★1・★2は「SECURITY ACTION」による自己宣言、★3以上は「セキュリティ対策評価制度（SCS）」による対策状況の評価です。

SECURITY ACTIONとの違い

「自己宣言」と「対策状況の評価・可視化」の違い

現在、IPAでは「SECURITY ACTION」という制度があります。
これは、「情報セキュリティ対策に取り組むことを自己宣言する制度」です。
一方、今回の評価制度は、「実際に対策ができているか」を評価・認定する制度になります。

つまり、以下のような違いがあります。

制度	特徴
SECURITY ACTION	自己宣言
セキュリティ対策評価制度	実施状況を評価

★1・★2で基本的なセキュリティ対策への取り組みを始め、★3・★4ではサプライチェーン全体の安全性を高めるため、より具体的な対策の実施状況を評価・可視化します。★5については、より高い水準を目指す位置づけとして、今後詳細が検討される予定です。

セキュリティ対策評価制度のメリット

発注企業側のメリット

1. 取引先の安全性を確認しやすい
どの企業がどのレベルの対策をしているか判断しやすくなります。

2. サプライチェーン全体のリスク低減
取引先経由の感染リスクを減らせます。

3. セキュリティ確認業務の効率化
毎回個別確認する負担を軽減できます。

受注企業側のメリット

1. 「何を対策すればよいか」が明確になる
中小企業では、「何から始めればよいかわからない」「どこまで必要かわからない」という課題が多くあります。
制度によって基準が示されることで、対応方針が明確になります。

2. 取引先への信頼性向上
評価取得は、「セキュリティ対策に取り組んでいる企業」という証明になります。
今後、取引先から求められるセキュリティ水準を確認・説明する際の共通指標として活用されることが想定されています。

3. 社内体制の整備につながる
制度対応を進めることで、「ルール整備」「管理体制構築」「教育強化」など社内全体の改善にもつながります。

発注者・受注者双方にとって、適切なセキュリティ対策の決定や対策状況の説明が容易になります。

制度開始はいつ？

2026年度末頃に開始予定
現在、経済産業省では制度設計が進められています。

想定スケジュール

^{経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日公表）を基に作成}

企業が今から準備すべきセキュリティ対策

巧妙化するサイバー攻撃に対し、感染しないための対策から、感染を前提とした対応策が求められています。
それぞれのフェーズに応じた対策を最適なカタチでご提案いたします。

感染しないための対策

現状を認識する

保有しているIT資産や重要なデータを把握し、システムの脆弱性や潜在的なリスクを洗い出します。現状を正確に把握することで、効果的なセキュリティ対策の優先順位を明確にします。

対策ポイント

• セキュリティ診断
• IT資産管理、ログ管理

どんな規模にも対応するIT資産管理！SKYSEA Client View

攻撃を防御する

UTMやファイアウォールなどのネットワークセキュリティ対策を導入し、不正アクセスやマルウェアの侵入を未然に防ぎます。サイバー攻撃の脅威から企業の重要な情報資産を保護します。

対策ポイント

• UTM（ネットワークセキュリティ）

見えない脅威からビジネスを守る統合脅威管理「HOME」

感染を前提とした対応策

侵入を検知する

アンチウイルスソフトやエンドポイント保護製品を活用し、ウイルスやマルウェアの侵入を早期に検知します。被害を最小限に抑えるためには、迅速な発見が重要です。

対策ポイント

• アンチウイルスソフトの導入
• ソフトウェア更新、エンドポイント保護

軽快な動作!高い検出力をかね備えた総合セキュリティソフト『ESET PROTECTソリューション』

感染に対処する

万が一感染した場合には、ネットワーク分離やアクセス制御を実施し、被害の拡大を防止します。迅速な対応によって業務への影響を最小限に抑えます。

対策ポイント

• セキュリティアプライアンス
• ネットワーク分離、アクセス制御

侵入したウイルスの内部拡散を防ぐ、セキュリティスイッチ「SubGate」

正常に復旧する

バックアップデータや復旧計画を活用し、システムやデータを速やかに元の状態へ復旧します。事業継続と企業の信頼維持のために欠かせない対策です。

対策ポイント

• バックアップ
• 復旧計画・管理体制の構築

世界で最も売れているバックアップ専用アプライアンス「Barracuda Backup」

特に重要な「ランサムウェア対策」

なぜランサムウェアが危険なのか

ランサムウェアは、企業データを暗号化し、「復旧したければ身代金を払え」と要求する攻撃です。
問題は単なるデータ消失ではありません。

ランサムウェア被害で起こること

• システム停止
• 出荷停止
• 顧客対応停止
• 情報漏えい
• 信用低下

つまり、「会社が止まる」リスクがあるのです。

ランサムウェア攻撃の流れ

攻撃は段階的に進行する

そのため、「侵入させない」だけでは不十分です。
侵入後の検知・隔離・復旧対策も重要になります。

これからの企業に必要な考え方

「完璧防御」ではなく「被害最小化」

現在のサイバー攻撃は高度化しており、「100％防ぐ」ことは現実的ではありません。
だからこそ重要なのは、「早く気づく→被害を広げない→すぐ復旧する」という考え方です。

まとめ｜セキュリティ対策は“経営課題”の時代へ

サイバー攻撃は、もはやIT部門だけの問題ではありません。
事業継続、企業信用、取引継続、顧客保護に直結する、重要な経営課題です。

セキュリティ対策評価制度とは、企業を縛るための制度ではなく、将来の取引と信頼を守るための制度です。
今後は、「どの程度セキュリティ対策を実施しているか」が、企業選定基準になる可能性があります。
その中で、経済産業省が進める「セキュリティ対策評価制度」 は、企業にとって重要な指標になると考えられます。

※記事作成ご協力：キャノンマーケティングジャパン