サプライチェーン攻撃に備える中小企業の取引先セキュリティ審査基準の作り方

「うちの取引先がやられた」と気づいたときには、自社のシステムにも侵入されていた——こうしたサプライチェーン攻撃の被害が中小企業にも広がっています。大手企業への侵入経路として真っ先に狙われるのは、セキュリティ対策が手薄な中小の取引先です。

この記事では、サプライチェーン攻撃から自社を守るために中小企業が整えるべき「取引先セキュリティ審査基準」の作り方を、5ステップで解説します。審査対象の分類から審査項目の設計・評価基準の設定・継続運用の仕組みまで一気通貫でカバーします。

サプライチェーン攻撃とは何か：中小企業が被害に遭う仕組み

サプライチェーン攻撃とは、標的とする企業を直接狙わず、その企業と取引関係にある業者・委託先・ソフトウェアベンダーを経由して侵入する攻撃手法です。大手企業は自社のセキュリティに多額の投資をしているため正面から攻撃しても突破しにくい一方で、その大手と取引している中小企業は対策が手薄なことが多く、攻撃者にとって「裏口」として機能します。

独立行政法人情報処理推進機構（IPA）が発表した「情報セキュリティ10大脅威 2024」では、「サプライチェーンの弱点を悪用した攻撃」が組織部門で3年連続の上位にランクインしています。これは単なる流行ではなく、攻撃者が確立した手法として定着していることを意味します。

中小企業が狙われる具体的な理由は3点です。

第一に、セキュリティ対策の投資規模の差です。大企業がファイアウォール・EDR・SOCを整備している一方、中小企業は「ウイルス対策ソフトを入れてある」程度の対策に留まることが多く、攻撃者にとって突破が容易です。IPA「2023年度中小企業における情報セキュリティ対策の実態調査」によると、情報セキュリティ対策を「十分に行っている」と回答した中小企業は全体の22%にとどまっています。

第二に、大手との接続経路があることです。受発注システム・請求書の電子送受信・リモートサポートなど、中小企業と大企業の間にはデジタルの接続経路が存在します。この経路を通じてマルウェアが大手のネットワークへ侵入します。攻撃者は、大手に比べてセキュリティ水準が低い中小の協力会社を「足がかり」にすることを標準的な手口として用いています。

第三に、ソフトウェアの更新遅延です。中小企業では「今動いているからいい」という理由でOSやソフトウェアの更新を後回しにするケースが多く、既知の脆弱性が長期間放置されます。攻撃者はその脆弱性を突いてシステムに侵入し、バックドアを仕掛けた上で機密情報を窃取します。

国内の代表的な事例として、2022年にトヨタ自動車の部品サプライヤーへのランサムウェア攻撃があります。この攻撃により、トヨタの国内14工場28ラインが一時稼働停止に追い込まれました。攻撃者は直接トヨタを狙わず、セキュリティ対策が手薄な部品メーカーを踏み台にしたのです。この事例が示すように、中小企業は自社が被害を受けるだけでなく、取引先への加害者になり得るという二重のリスクを抱えています。取引先審査基準の整備は、この認識から出発する必要があります。

中小企業が取引先セキュリティ審査を整えるべき3つの理由

取引先のセキュリティを審査することは、かつては大企業だけが行うものと考えられていました。しかし現在は、中小企業でも整えなければならない明確な理由が3つあります。

理由1：大手取引先からの審査要求が増加しているため。国内の大手企業は自社のリスク管理強化の一環として、取引先・委託先のセキュリティ水準の確認を始めています。製造業では親会社・元請けからセキュリティチェックシートへの回答を求められる事例が2023年以降急増しており、回答できなければ取引停止・新規案件の失注につながるリスクがあります。

さらに経済産業省「サイバーセキュリティ経営ガイドライン Ver.3.0」では、サプライチェーン全体のセキュリティ確保を経営者の重要課題として位置づけています。2025年度からは政府の調達要件にセキュリティ基準を含める動きが本格化しており、対応できない中小企業は公共調達から排除されるリスクが生じます。取引先審査の整備は、取引を守る守備的な経営施策です。

理由2：自社が加害者になるリスクを防ぐためです。自社がセキュリティ侵害を受け、その経路を通じて取引先に被害が波及した場合、損害賠償の対象になりえます。民法上の善管注意義務の観点から、委託先として最低限のセキュリティ対策を講じていなかったことが過失認定につながるケースがあります。攻撃の「踏み台」になること自体が経営リスクであり、取引先への影響を遮断するためにも自社のセキュリティ基準を整えることが必要です。

理由3：個人情報保護法上の委託先管理義務があるためです。士業事務所・医療機関・介護事業所など個人情報を大量に取り扱う企業では、委託先への個人情報提供に対して委託先の監督義務（個人情報保護法第24条）が課されています。委託先がセキュリティ上の問題を抱えていた場合、委託元も行政指導・課徴金の対象になりえます。自社だけ対策しても、委託先から情報が漏洩すれば委託元の責任は免れません。取引先セキュリティ審査は、個人情報保護コンプライアンスの観点からも不可欠な経営課題です。

取引先セキュリティ審査基準の5ステップ作成手順

1. 審査対象の取引先を3層に分類する

すべての取引先を同じ深度で審査しようとすると、コストと工数が大きくなりすぎます。まず取引先を「リスク分類」し、審査の深度を変えることが現実的です。分類の基準は「自社の重要情報・重要システムへのアクセス有無」と「取引の依存度・影響範囲」の2軸が基本です。

・高リスク（Tier 1）: 自社のシステムに直接アクセスする取引先（ITベンダー・クラウドサービス事業者・リモートサポート業者）、個人情報を委託している業者（アウトソーシング先・コールセンター）。詳細審査を実施する。
・中リスク（Tier 2）: 見積書・発注書・請求書をデジタルで送受信する取引先、メールで業務上の機密情報を共有する取引先。簡易審査を実施する。
・低リスク（Tier 3）: 紙やFAXが中心でデジタル接続がほとんどない取引先。自己申告書の提出のみ。

Tier 1に分類される取引先は、多くの中小企業では5社以下に絞られます。Tier 1に集中して詳細審査を行い、Tier 2以下は簡易対応とすることで、審査の工数を現実的な範囲に収められます。

2. 審査項目を「技術・管理・物理」の3分野で設計する

審査項目は「技術的対策」「管理的対策」「物理的対策」の3分野から構成するのが標準的です。Tier 1とTier 2で項目数を変え、取引先への負担も調整します。

Tier 1向けの主要審査項目：

・技術的対策: ウイルス対策ソフトの導入と定義ファイルの自動更新設定、OSおよびソフトウェアのセキュリティパッチ月次適用、多要素認証（MFA）の導入有無、通信の暗号化（TLS1.2以上）対応状況
・管理的対策: 情報セキュリティポリシーの策定と最終改定年、従業員へのセキュリティ研修の年1回以上の実施と記録、インシデントレスポンスプランの有無と訓練実績、再委託先への管理体制
・物理的対策: サーバー室・機器の施錠管理と入退室管理の実施状況

Tier 2向けの主要審査項目（5項目程度に絞る）：

・ウイルス対策ソフトの導入: 有無と更新状況の確認
・OS・ソフトウェアの更新: 定期的なアップデートの実施有無
・パスワード管理: 推測困難なパスワードの設定と定期変更ルール
・不審メール対応: フィッシングメールへの対応教育の実施有無
・情報共有のルール: 自社からの機密情報を第三者に渡さない誓約

3. 審査の実施方法を決める

Tier 1（高リスク）の審査方法は、自己申告書（チェックシート）の提出に加え、対面またはWeb会議でのヒアリングを組み合わせます。ISO 27001・Pマーク・SOC2等の第三者認証を取得している取引先は、証明書の写しをもって一部の審査項目の代替とすることが可能です。これにより、認証取得済みの取引先との審査工数を大幅に削減できます。

Tier 2（中リスク）の審査方法は、メールまたはフォームで送付するシンプルなチェックシートへの自己申告のみとします。回答に不明点があった場合のみ追加確認を行います。

審査の実施時期は「新規取引開始前」と「既存取引先の年1回定期見直し」の2パターンを設定します。新規取引先は契約締結前に審査を完了させることを条件とし、既存取引先は契約更新のタイミングに合わせて定期見直しを行います。審査時期を契約更新に合わせることで、審査結果を取引継続の条件として明示できるメリットがあります。

4. 評価基準と合否ラインを明文化する

審査結果の判定基準を事前に決めておかないと、担当者によって判断がブレます。特に「グレーゾーン」の取引先をどう扱うかが現場で問題になりやすいため、評価の基準を3段階で明文化することを推奨します。

合格：必須項目の95%以上に対応できている。または残り5%以下も6ヶ月以内に対応予定が計画として具体的に示されている状態。

条件付き合格：必須項目に未対応箇所があるが、3ヶ月以内の対応計画書を提出できる。取引を継続しながら改善を求め、3ヶ月後に再確認する。

不合格：必須項目の半数以上が未対応で改善計画が具体的でない。または過去1年以内に重大なセキュリティインシデントを起こしており対応策が不明確。この場合は新規取引を見合わせるか、取引範囲を機密情報を含まない業務に限定することを経営判断として検討します。

判定基準を文書化しておくことで、担当者が変わっても一貫した審査が実施でき、取引先に対しても「恣意的な判断ではなく基準に基づいた審査である」と説明できます。

5. 継続的な審査サイクルを構築する

取引先のセキュリティ状況は変化します。一度審査を通過した取引先が、担当者の退職・システム変更・財務状況悪化などにより水準が低下することは珍しくありません。年1回の定期更新審査に加え、以下のケースでは随時審査を実施します。

・取引先が重大なセキュリティインシデントを起こした場合: 報道発表・直接連絡等で把握した時点で随時審査を実施する
・取引範囲が拡大した場合: 新しいシステムへのアクセスを付与する際は再審査を条件とする
・取引先の組織変更（M&A・代表者変更等）があった場合: セキュリティ管理体制が変わっている可能性があるため速やかに確認する

継続的に審査を回すためには、担当者と審査スケジュールを管理台帳に記録し、定期的なカレンダー通知を設定することが有効です。年1回の審査が「形式的な義務」ではなく「実質的なリスク管理」として機能するよう、審査結果の改善状況を追跡する仕組みも合わせて整えます。

委託先のセキュリティレベルを一目で比較する審査項目表

以下の表は、Tier 1（高リスク）とTier 2（中リスク）の審査項目と不合格基準をまとめたものです。自社の審査チェックシート設計の参考としてください。

審査カテゴリ	Tier 1（高リスク）必須項目	Tier 2（中リスク）確認項目	不合格基準
ウイルス対策	ウイルス対策ソフト導入・定義ファイル自動更新	導入の有無	未導入
パッチ管理	セキュリティパッチの月次適用と記録	定期更新の実施有無	半年以上未適用
認証管理	多要素認証（MFA）の導入と権限台帳整備	パスワード複雑性ルール	重要システムのMFA未導入
通信暗号化	TLS1.2以上での通信暗号化	—	業務データの平文送受信
インシデント対応	インシデントレスポンスプランの策定と年1回訓練	不審メール時の連絡先把握	手順書なし・重大インシデント未解決
教育・研修	年1回以上のセキュリティ研修と実施記録	研修実施有無	3年以上実施なし
第三者認証	ISO 27001・Pマーク・SOC2等（代替可）	—	取得済みは一部審査省略可
再委託先管理	再委託先の審査実施と契約上の制限	再委託の有無と情報共有範囲	再委託先の管理体制なし

よくある質問

Q1. 取引先が審査への協力を断った場合はどうすればよいですか？

まず、審査への協力を求める目的を丁寧に説明することが先決です。「自社のリスク管理ルールとして義務化されている」「取引先の機密情報を守るためでもある」という文脈で伝えると協力を得やすくなります。それでも断られる場合は、取引先がセキュリティ水準に自信がない可能性があります。その場合は取引範囲を機密情報を含まない業務に限定するか、取引継続の可否を経営判断として検討します。取引先が上場企業・大企業の場合は、公開しているセキュリティ方針・CSRレポートで代替確認するという現実的な対応もあります。

Q2. 専任のセキュリティ担当者がいない中小企業でも審査を実施できますか？

実施できます。Tier 2向けの簡易チェックシートは「はい/いいえ」で答えられる形式にすることで、担当者に専門知識がなくても回収・集計が可能です。Tier 1の詳細審査については、IT顧問やセキュリティ専門家に依頼することを推奨します。費用の目安は、顧問契約であれば月額3万円～10万円程度（2026年時点）で、定期的な審査サポートを含めてもらえる場合があります。「チェックシートの設計と合否判定は専門家に任せ、送付・回収は社内で対応する」という役割分担が、コストを抑えながら品質を確保する現実的な方法です。

Q3. どの取引先から優先して審査を始めればよいですか？

「自社のシステムやネットワークへのアクセス権を持つ取引先」から始めてください。具体的には、社内システムの保守・運用を委託しているITベンダー、リモートでのサポート権限を持つ業者、クラウドサービス上の自社データへのアクセス権を持つ業者が該当します。次に、個人情報を委託している業者を優先します。これらの取引先は侵害が発生した場合の影響が最大であるため、最優先で審査を進める必要があります。まず5社以下に絞って始め、運用に慣れてから対象を広げるステップが現実的です。

Q4. 審査基準は何を参考に作ればよいですか？

基本的なフレームワークとして、IPAが公開している「中小企業の情報セキュリティ対策ガイドライン」および「情報セキュリティ5か条」を参照することを推奨します。より詳細な基準が必要な場合は、NIST Cybersecurity Framework（日本語訳あり）を参照します。大手との取引がある場合は、大手が提示するセキュリティチェックシートの項目をそのまま自社の審査基準のベースにすることが最も実務的です。大手の要求水準は業界の標準的な審査水準を反映しているため、それに合わせる形で審査基準を整えると過不足が少なくなります。

取引先セキュリティ審査を始める前のチェックリスト

以下の9項目を確認してから審査基準の策定に入ることを推奨します。準備が不十分なまま審査を始めると、途中でフローが止まったり担当者が判断に迷ったりする原因になります。

・自社の重要情報資産の洗い出し完了: どの情報が最も重要か（顧客情報・営業秘密・財務データ等）を整理している
・取引先の一覧化完了: 現在の取引先を網羅したリストがある（会社名・取引内容・担当者・連絡先を含む）
・Tier分類の完了: 各取引先を高リスク/中リスク/低リスクに振り分けており、Tier 1が5社以下に絞られている
・審査担当者の決定: 社内で審査を主管する担当者と最終判定の責任者が決まっている
・審査スケジュールの設定: 年1回の定期審査の実施時期がカレンダーに登録されている
・チェックシートの準備: Tier 1用（詳細・20項目程度）とTier 2用（簡易・5項目程度）の雛形が用意されている
・評価基準の明文化: 合格・条件付き合格・不合格の判定基準が文書化されており、担当者が迷わず判定できる
・結果の管理台帳の作成: 審査結果を一元管理するファイル（ExcelまたはGoogleスプレッドシート）が準備されており、改善状況を追跡できる
・経営層への報告ラインの確立: 不合格取引先が出た場合の経営者への報告フローと意思決定の流れが決まっている

本記事のまとめ

サプライチェーン攻撃は「大企業だけの問題」ではなく、中小企業こそが攻撃者にとって最も狙いやすい経路として利用されています。取引先セキュリティ審査基準の整備は、自社を守るだけでなく、取引先への加害を防ぐ責任という観点からも、すべての中小企業に求められる経営課題です。

まず取引先をTier 1～3に分類し、高リスク先から審査を始めることで、工数を抑えながら最大のリスク低減効果が得られます。一度に完璧な体制を目指す必要はありません。「Tier 1の5社以下に簡易チェックシートを送る」ところから始めるだけで、自社が抱えるセキュリティリスクの全体像が見えてきます。その結果をもとに基準を改善し、少しずつ精緻化していくことが現実的なアプローチです。

社内での取り組みに限界を感じている場合や、審査基準の設計から伴走支援まで必要な場合は、当社へご相談ください。