イベントレポート
Security Days Fall 2026
懸念が高まる「サプライチェーン攻撃」、被害企業はその後どう動いた？ 1000社アンケートから浮かび上がった実像、そして「SCS評価制度」との向き合い方
2026年10月28日 06:00
企業狙いのサイバー攻撃は悪質化の一途を辿っている。特に最近は、取引のある企業間でネットワークが相互接続している点を悪用し、防御の弱い企業から侵入、さらに別の企業のサーバーなどを掌握する「サプライチェーン攻撃」への懸念が高まっている。
サイバーセキュリティ専門イベント「Security Days Fall 2026」で講演した株式会社ソリトンシステムズの荒木粧子氏（ITセキュリティ事業部 エバンジェリスト）によれば、サプライチェーン攻撃で実際に被害を受けた企業は、セキュリティ意識が低かったわけではないという。いったいどういうことなのか？ 同社が実施した1000社規模のアンケートの結果を紐解きつつ、国が推進する新制度「SCS評価制度」にどう対応していくかとあわせて解説した。
多発する「サプライチェーン攻撃」。その影響
ソリトンシステムズは1979年設立（社史によれば実質的創業は1983年）。当初はマイコン向けのミドルウェア、LSI設計用ツールの開発を手掛けていた。その後、LAN関連製品などに事業領域を広げ、現在ではITセキュリティが主力事業の1つとなっている。
荒木氏による今回の講演は、サイバー攻撃によって実際に被害を受けてしまった企業関係者の声をもとに、より実地的・実践的な対応策を探っていくという内容だ。ただし講演当日は、プログラミング言語であるPHPに重大な脆弱性が発見されたとして、IT業界的にも社会的にもまさに大わらわというタイミング。今ここで急にセキュリティの重要性を啓発するというよりも、「どうすれば今まさに対策を進められるのか」という視点で、プレゼンテーションを進めていった。
ITセキュリティを巡る喫緊の課題の1つが、サプライチェーンだ。製品製造やサービス供給にあたっては、企業がそれぞれ独自運用していたITシステムを相互接続させることで効率化を図っている。だがそれは、ある1つの企業がサイバー攻撃を受けると、サプライチェーンネットワーク全体に侵入され、被害が拡大する恐れもある。
この課題に対処すべく、経済産業省やIPA（情報処理推進機構）主導のもとで「SCS評価制度」が推進されている。一定のセキュリティ水準を満たしているか第三者視点でも分かりやすくなるため、企業間でシステムを相互接続させる前段階の負担が減ると期待されている。だが、荒木氏は「SCS評価制度の点を取ることがゴールではない」と注意を呼び掛ける。
「私の理解では、セキュリティ事故によってビジネスを止めない、そしてサイバー攻撃による社会活動への悪影響を防ぐ。これがサプライチェーンセキュリティに取り組むべき理由です。今や自社だけ対策して『ここから先はお取引先の責任です』と切り分けるのも難しくなってきました。システムもデータも人も、組織の境界を越えて仕事をしています。だからこそ、このサプライチェーンのセキュリティの問題には、組織の枠を超えて向き合っていく必要があると思っています。」
サプライチェーン攻撃で被害が発生した企業は、セキュリティ意識が高い？ 低い？
ソリトンシステムズはこの4月、企業のセキュリティ戦略に関する意思決定層1034人を対象にアンケート調査を行った。個別のインシデントに対し、被害経験があるかないか、実際に被害が出たかを問う設問では、「従業員の故意・過失によるインシデント（内部不正）」が最も回答割合が高かった。
これに次いだのが「サプライチェーンの故意・過失」で、該当者は188人、割合にして18.2％が「被害あり」と回答した。なお、インシデントは発生したが被害なしに終わったとの回答も25.8％あった。
サプライチェーン経由で被害を受けたという188人への追加設問で浮かび上がってきたのは、「被害は受けたが、セキュリティ対策が遅れていたわけではない」という実態だ。SCS評価制度への対応に着手しているか、MFA（多要素認証）導入済みか、SSO（シングルサインオン）導入済みか、ゼロトラスト実装を進めているかの4点について聞いたところ、そのいずれも、被害発生企業の方が、事案なしと回答した企業よりも実施率が20％以上高かった。
調査方式の性格上、回答者が「被害を受ける前から対策強化していた」「被害を受けた後に対策強化した」のどちらであるかは断言できない。だが、荒木氏は「少なくとも、サプライチェーン経由の被害経験者は、セキュリティ対策に無関心ではない、とだけは言えるでしょう」と補足する。
被害企業ほど「運用のしやすさ」を重視。なぜ？
サプライチェーンを組む企業間では「自社システムを他社と共有する」というシーンがよく出てくる。そのためには、自社の社員とは別枠で組織外ユーザーを管理しなければならない。そして、本来なら自社ネットワーク内だけで運用しているシステムに、外部からアクセスするための入り口を設けることになるので、アタックサーフェス（攻撃対象領域）は増える。よってユーザー認証を強化する必要があり、その手段として現在メジャーなのがMFAだ。
前述のアンケートでは、サプライチェーン攻撃被害企業がMFAの導入見直しにおいて重視したことについても質問した。その結果、フィッシング耐性がより強いMFAを求めるというよりは、運用のしやすさを重視するという姿勢が見受けられたという。
具体的には、「より運用しやすいMFAに見直す」と回答したのは、被害あり企業において70.4％であるのに対し、インシデントなし企業では44.4％と、その差は26.0ポイントにもなった。被害未経験企業ではなく、あくまで“実際に被害を受けた企業”が、そう答えた点に留意したい。
「MFAの課題を聞く設問では、さらに大きな差が出ていて、被害企業は管理者側の運用負担だったり、人材・スキル不足を課題とする割合が高くなりました。被害を受けた企業ほど、認証強度というよりは、無理なく運用できるかに注目されているようです。」
MFAの“運用”と一口に言っても、さまざまなフェーズがある。入社に伴うユーザー登録、生体情報の登録、証明書の更新、デバイスの故障に伴う交換、そして退職時のユーザー登録解除などだ。
だが、これだけでは終わらない。端末の盗難や紛失、それに伴うセッションの終了、パスワード変更、代替機の準備など、“有事”対応も、運用には含まれる。
「例えば、Windows Hello for Businessで普段は顔認証ログインしているとします。ある日、そのカメラが壊れて管理者権限が使えなくなった。PINでサインインできるけど、当人は『PINなんて忘れた』と言っている。もし忘れてもスマートフォンなどを使えば再度本人確認してPINを再設定できますが、それももし使えなかったら？ そういったことをやるのが“運用”です。利用者をどうやって安全に業務へ戻すのか、復旧させるのか、（突き詰めて）考えないといけません。」
加えて現在は、その復旧手段すら攻撃者に悪用されかねない。どれだけフィッシング耐性が高いMFAがあったとしても、復旧手段を悪用されたら元も子もない。運用のしやすさが求められるのは、まさにこういった理由からなのだろう。
現場任せではダメ。SCS評価制度は「経営層の意識」こそ重要に
サプライチェーンのセキュリティを高めるためのボトルネックは何か。被害発生企業と被害未経験企業との回答差で顕著だったのが「取引先・委託先との調整」「業務要件との両立」「コンプライアンス対応」「経営層・関係部門との調整」だった。逆に「コスト」「人材・スキル不足」ではほとんど差がない。つまり「セキュリティ対策を進めるためのコストや人材は多くの企業に共通の難題だが、被害を実際に受けた企業ほど、部門間・企業間調整を課題だと感じている」ことになる。
これに関連して荒木氏がアンケートから拾い上げたのが、社内の部署・部門によるインシデント発生率の差異だ。情報システム部門、管理部門、事業部門の意思決定者が「被害あり」と回答した割合はおおむね50％前後だったが、経営・経営企画部門ではこれが32％と低かった。これをもって荒木氏は、果たして経営層は、現場のセキュリティ意識を共有できているのかと疑問を投げ掛ける。
「とはいえ、『もっと経営層に説明しましょう』というだけでは結局、現場の負担が増えるだけです。経営層との意識共有は欠かせず、どうやって巻き込んでいくかを考える必要がある。そこでSCS評価制度の出番です。」
SCS評価制度ではいくつかの段階的に対応度を判定するが、★3では、専門家の確認を経て組織が自己で適合宣言を行う仕組みとなっている。この宣言主体となるのは経営層だ。さらに★4では、経営層のさらなる関与を求めている。なお、★3・★4のどちらとも一度取得して終わりの制度ではなく、年次更新が発生する。
「SCS評価制度は、経営に情報が届き、経営が判断するプロセスそのものを要求事項にしているとも言えます。ここは制度としてかなり重要なポイントではないでしょうか。」
SCS評価制度が、社内のセキュリティ施策を後押し？
SCS評価制度が本格化していけば、今後は取引先企業にSCS評価制度への対応を求めたり、逆に取引先から求められるケースが増えるだろう。「★3をいつまでに取得してほしい」と要請したり、「うちはこれだけやっているが、取引先にはどのくらいのセキュリティ基準を求めるべきか、考えなければ」といった具合だ。
求めるにせよ求められるにせよ、荒木氏によれば出発点はまず、「どんな取引を対象とするか、具体的にはどんな内容か」を整理するところだ。例えば情報システム部門単独では、事業部門の取引実態を詳細には把握できない。よって綿密な確認・調整が必要になり、そうすることで初めて、どんなリスクに警戒すべきかがハッキリしていく。そのうえで、どんな施策を取るべきか仮判断し、さらにコストや対応に必要な期限の確認、そして経営判断を経て取引先と具体的に対話するというのが、大枠の流れになってくるという。全体を見ても、非常に長大な行程である。
「ただ注意点として、これらのステップは、セキュリティ担当者が一人で全部やる仕事ではありません。事業部門、調達部門、経営層、それから取引先を巻き込んでやっていくプロセスです。」
一般論として、ITセキュリティに関する実務は、専任の担当者や部門が単独で推進し、それに対する同意を後から取り付けていく。この際、他部門の理解不足から要求が通りにくいケースは往々にしてあるとされる
しかしSCS評価制度は国として整備が進められており、かつ、取引先から対応が求められることになる。特定部署に押し付けない、全社的なITセキュリティを考えるための後押し要因、ドライバー（駆動源）としてSCS評価制度が機能するのではないか。情報システム部門が経営層や他部門と調整を進めるうえで有力な材料になるのではないか──荒木氏は期待感を示す。
他部門・取引先との会話を“当たり前”とする体制作りを
講演のまとめとして、SCS評価制度対応を進める際には以下の“3つの会話”を意識してほしいと荒木氏は助言した。
- 事業・調達部門と「何を守るか」を整理する
- 経営層に「判断が必要なもの」を明確に伝える
- 取引先・委託先には「必要な水準」を説明・対話する
MFA導入における運用の重要性は講演前半ですでに指摘されたが、セキュリティ対策は実際に続けられるかたちで実装されなければ意味がない。それには当然、社内外の協力が欠かせず、となれば継続的に関係者間で会話・対話していける体制自体をあらかじめ設計しておくべきと荒木氏は説く。
例えば、社外ユーザーにMFAを求めたいとする。だが、これは情報システム部門単独で成立させられるものではない。先の“3つの会話”に当てはめるなら、事業部門とは「どの取引をMFAの対象とするか？」、経営層とは「例外・残存リスクはあるか？」、取引先とは「認証できない場合はどうする？」というように、各所との相談・調整が発生する。MFAという比較的身近な施策1つをとっても、これだけの手順を踏むことになる点を忘れてはならない。
荒木氏は最後に、セキュリティ対策では何かツール類を単に導入するだけでなく、どうすれば本当に続けられるか、実効性のある対策になるかを考えることが重要だとあらためて強調。そのうえで、SCS評価制度対応に関する実務をソリトンシステムズとしてもサポートしていきたいと述べ、講演を締めくくった。
