サプライチェーンのセキュリティ保護の鍵は連携

記事内容

社会情勢が求めるセキュリティ強化の必然性

昨今、サイバーセキュリティ対策が不十分な中小企業がサイバー攻撃に狙われ、サプライチェーン全体に問題が波及する事態が常態化しています。

一社の対策不足による供給途絶はビジネスパートナー全体の事業停止を招き、社会基盤を揺るがす脅威となっています。セキュリティはもはや個社の問題ではなく、サプライチェーンに関わる全ての組織が一丸となって取り組むべき「共同防衛」のフェーズに入っています。

これを受け、経済産業省と公正取引委員会は、中小企業におけるセキュリティ対策の強化に向けた方向性を示しています。その中核となるのが以下の指針です。なお、当指針は2025年12月に最新の事例解説などが補足・更新されています。

「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」
https://www.meti.go.jp/policy/netsecurity/partnership2.html
（2026/7/9 引用）

なお、当コラムでは、当指針の趣旨を踏まえつつ、関係法令の改正などの情報も反映した形で整理を行います。

当指針は、特に発注事業者に向けた提言となっており、サプライチェーンの保護に向けて取引先のサイバーセキュリティ対策の強化を促しつつ、取引先とのパートナーシップ構築を目指すよう求めています。具体的には、以下の内容で構成されています。

• 中小企業等におけるサイバーセキュリティ対策に関する支援策の紹介
• 取引先への対策の支援・要請に係る関係法令（独占禁止法・取適法）の適用関係についての整理

サイバーセキュリティ対策に関する支援策

サイバーインシデントによってサプライチェーンが分断されないよう、中小企業等の対策を支援する具体的な施策が整備されています。政府は、民間取引においても発注事業者が取引先にこれらの施策の活用を促すことを期待しています。

［１］サイバーセキュリティお助け隊サービス

中小企業等に対するサイバー攻撃への対処として不可欠なサービス（見守り、駆付け、保険など）を安価に提供します。2026年度からは、後述するSCS評価制度の取得支援を目的とした「新類型」のサービスも創設予定です。

参考「中小企業向けセキュリティサービスの制度化」

［２］セキュリティアクション（SECURITY ACTION）

中小企業等が自ら情報セキュリティ対策に取り組むことを自己宣言する制度です。デジタル化・AI導入補助金（旧IT導入補助金）の申請要件にもなっており、取引の条件として活用することも期待されています。

参考「SECURITY ACTION制度の活用で信頼向上」

［３］中小企業の情報セキュリティ対策ガイドライン

全業種の中小企業等を対象に、経営者が認識すべき指針や、社内で対策を実践する際の手順をまとめたものです。最新版では、SCS評価制度で求められる要求事項を網羅できるよう内容が整理されています。

参考「中小企業の情報セキュリティ対策ガイドラインを活用」

［４］サプライチェーン・サイバーセキュリティ・コンソーシアム（SC3）

産業界が一体となってサプライチェーン全体の対策を推進するために設立されました。中小企業支援、脅威情報共有、人材育成、官民連携など、サプライチェーンの安全性を高めるための多面的な活動を継続しています。

「サプライチェーン・サイバーセキュリティ・コンソーシアム」
https://sc3.jp/
（2026/7/9 引用）

［５］パートナーシップ構築宣言

発注者が取引先との共存共栄を進めることを宣言するもので、その中で取引先へのセキュリティ対策の助言・支援を行うことが期待されています。

「パートナーシップ構築宣言」
https://www.biz-partnership.jp/index.html
（2026/7/9 引用）

サイバーセキュリティ対策の要請に係る独占禁止法・取適法の考え方

発注事業者が取引先に対して対策を要請することが、独占禁止法や2026年１月に施行された「中小受託取引適正化法（取適法）」（旧下請法）に抵触しないか、考え方が整理されています。

まず強調されているのは、「サプライチェーン全体の対策強化は重要な取り組みであり、実施を要請すること自体が直ちに問題となるものではない」という点です。

ただし、要請の方法によっては問題となるケースがあり、当指針では以下の３つが例示されています。

［１］取引の対価の一方的決定（買いたたき）

取引先に生じるコスト上昇分（人件費やシステム費用）を考慮せず、一方的に低い対価を定めたり、価格交渉の協議に応じないまま代金を据え置いたりする行為。

［２］セキュリティ対策費の負担の要請

発注者の要請で発生した費用について、算出根拠や直接的な利益などを勘案せず、取引先に一方的な負担を強いる行為。

［３］購入・利用強制

合理的な必要性がないにもかかわらず、自社の指定する高価なセキュリティ製品やサービスの購入・利用を強制する行為。

例示されたように、サイバーセキュリティ対策の内容や費用負担の在り方を一方的に決定したり強制することは、独占禁止法や取適法における違反行為と見なされます。

違反行為を未然に防止する観点からは、取引の相手方と十分に協議を行うことを疎かにしてはいけません。例えば積極的に価格交渉の機会を設けるなど、合意して決定するプロセスを踏むことが望まれます。

連携したサイバーセキュリティ対策でサプライチェーン全体を保護

サプライチェーンは、企画から販売までの複雑なプロセスと組織群で成り立っています。デジタル化が進み、全てがITで繋がる現代において、サプライチェーン全体の強度は「最も弱い部分」で決まってしまいます。

自社の対策が強固であっても、委託先の対策が不十分であれば、そこを踏み台に侵入を許したり、委託先での供給途絶が自社事業の停止を招いたりする恐れがあります。

こうしたリスクを組織的に管理するサプライチェーン・リスクマネジメント（SCRM）^[1]の重要性が高まっています。しかしながら、これまでSCRMは実践の難易度が高いことが課題とされてきました。

2026年３月に構築方針が公表され、2026年度末の本格開始を目指した新制度である「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」は、この課題を解決する手段となります。

SCS評価制度は、「共通の物差し（★３・★４）」で企業の対策状況を可視化することで、委託元・委託先双方の確認負担を軽減し、サプライチェーン全体の水準底上げを図ります。例えば、発注元は取引先のリスクに応じて★の段階を提示し、取引先はそれに基づき自社の対策水準を客観的に証明できるようになります。

これにより、個別のチェックリストによる煩雑なやり取りから解放され、客観的な指標に基づいた効率的なセキュリティ連携が可能になります。

なお、別のコラムで「SCS評価制度」にフォーカスした整理をおこないました。宜しければご覧ください。

参考「サプライチェーンをSCS評価制度で連携して防衛」

関係法令（取適法など）に留意しつつ、新しい制度の動向を注視しながらパートナーシップを構築することが、サプライチェーン全体を保護するための基盤となります。