サイバーリスク管理の要『サプライチェーンセキュリティリスク管理』の今 Part2 ～なぜ、取引先のセキュリティ管理は形骸化するのか？「3つの壁」と“数億円”の隠れリスク～（6/29)
「一度やれば終わり」という考え方が通用しない、変化し続けるサプライチェーンリスク管理の課題と最新の対策について、「サイバーリスク管理の要『サプライチェーンセキュリティリスク管理』の今」と題した連載でお届けしています。
連載の第2弾となる今回は、なぜ、取引先のセキュリティ管理は形骸化するのか？「3つの壁」と“数億円”の隠れリスクと題し、サプライチェーンセキュリティリスク管理で足かせとなりがちな代表的な問題点や放置した場合の影響を見ていきます。
はじめに：「連携」の裏に潜む死角
本連載の第1弾『AIが課題克服をサポートする未来のセキュリティ戦略』でも書いたように、現代のビジネスは、外部のパートナーやベンダー、業務委託先との密接な連携なくしては成り立ちません。クラウドサービスの活用、システムの保守運用、マーケティングデータの分析から、部品の調達、物流に至るまで、あらゆる業務がデジタルなサプライチェーンで結ばれており、このデジタルで強固に繋がった便利なサプライチェーンこそが、今、サイバー攻撃者の「絶好の標的」となっています。
攻撃者の視点に立てば、莫大なセキュリティ予算を投じて堅牢な防御壁を築いている大企業（ターゲット本丸）に正面から攻撃を仕掛けるのは、非常に効率が悪く困難です。そこで彼らは戦略を変え、ターゲット企業とデジタルに繋がっているものの、セキュリティ対策が手薄な関連会社や中小の取引先をまず狙い、そこを踏み台にして本丸のネットワークへ侵入するのです。
実際にサプライヤーのサイバー被害に起因した工場操業停止事案も発生しており、特に製造業においては事業継続に関わる致命的な経営リスクとして認識されています。この脅威に対抗するための強固な防衛線として、現在、「サプライチェーンセキュリティリスク管理」や「TPRM（サードパーティ・リスク・マネジメント）」の重要性が急速に高まっています。
しかし現実には、多くの日本企業において「取引先のセキュリティ管理の重要性は分かっているが、実際にはやりきれていない」「とりあえずルールはあるが、完全に形骸化している」という声が現場から絶えません。なぜ、日本のサプライチェーンセキュリティリスク管理は前に進まないのでしょうか？そこには、現場の実務担当者が直面する「3つの壁」が存在します。
日本企業に立ちはだかる「サプライチェーンセキュリティリスク管理」3つの壁
日本企業に立ちはだかる3つの壁
壁①：「Excelとメール」による手作業でのアセスメントの限界
本来、サプライチェーンセキュリティリスク管理は一度チェックして終わりではありません。取引の開始（オンボーディング）時の審査から、定期的なリスクの再評価、そして日々の継続的な監視に至るまで、ライフサイクル全体で一貫して管理を行う必要があります。しかし、日本には今なお「Excelとメール」というアナログな人海戦術に頼っている組織が少なくありません。数十から、場合によっては数百・数千にのぼる取引先に対し、何十～何百項目もあるExcelのセキュリティ質問票をメールで一斉送信し、担当者が手作業で回収・集計を行っているのです。
この手法には致命的な限界があります。まず、未回答の企業への督促や、曖昧な回答（例：「対策している」にチェックがあるが証跡がないなど）に関する確認のやり取りだけで、数ヶ月の工数が奪われます。「最新バージョンのファイルはどれか？」と社内が混乱することも珍しくありません。
さらに最大の問題は、数ヶ月かけてやっと回収し終えた頃には、取引先のセキュリティ状態がすでに変化しており、情報が陳腐化している点です。結果として「最新のサイバーリスクを防ぐ」という本来の目的は失われ、「監査用にアンケートを集めてファイルサーバに眠らせるだけ」という、完全な形骸化を招いてしまいます。
壁②：セキュリティ人材と予算不足
2つ目の壁は、組織における圧倒的なリソース不足です。
ランサムウェア、標的型攻撃、内部不正など、日々巧妙化・凶悪化するサイバー攻撃に対し、自組織内のセキュリティを維持・運用し、従業員への教育を行うだけでも、情報システム部門やセキュリティ部門は手一杯です。
IT人材不足が叫ばれる中、限られた人員と予算の枠内で「自組織のみならず、すべての取引先のセキュリティ状況まで継続的にチェック・指導せよ」と言われても、現場からすれば「物理的に不可能だ」というのが本音でしょう。
特に、取引先が利用しているオープンソースソフトウェアの脆弱性や、設定ミスなどを自社のIT部門が外部から正確に把握することは至難の業です。結果として、優先度の高い数社（Tier1）だけを形式的にチェックし、残りの大多数のサプライヤーは「性善説」で放置せざるを得ない、という危険な妥協が生まれています。
壁③：「取引先に強く言えない」関係性と取適法への懸念
欧米のドライな契約社会とは異なり、日本企業のサプライチェーン管理において避けて通れないのが「取引先（特に中小企業の下請事業者）との関係性」です。 「創業以来の付き合いだから」「こちらの無理な納期に応えてくれているから」といった心理的なハードルにより、厳しいセキュリティ監査を要求しづらいという文化的なジレンマがあります。
さらに近年、コンプライアンス担当者や調達部門の最大の足かせとなっているのが「取適法（中小受託取引適正化法）」（旧下請法）と呼ばれる、親事業者による下請事業者に対する優越的地位の濫用行為を取り締まるために制定された法律や独占禁止法によって規制されている「優越的地位の濫用」への法的な懸念です。
親事業者が自組織のセキュリティ基準を守らせるために、下請けの中小企業に対して一方的に高額なセキュリティツールの導入を強要したり、無償で膨大な工数がかかる監査対応（質問票への回答や証拠の提出）を義務付けたりすることは、取適法上の「不当な経済上の利益の提供要請」などに抵触するリスクをはらんでいます。「サプライチェーン全体のセキュリティを強化したいが、取適法違反のリスクや、取引先との関係悪化を恐れて強く要求できない」――この深刻な板挟み状態が、日本企業におけるサプライチェーンサイバーリスク管理の歩みを鈍らせる要因の一つとなっています。
放置した場合の代償：コンプライアンス違反と「数億円」の被害
「Excel管理で手一杯」「リソースがない」「言い出しづらい」と、これらの壁を理由に対策を先送りし、管理の「隙間」を放置した場合、組織はどのような代償を払うことになるのでしょうか。
代償1：グローバル基準・コンプライアンス違反リスク
現在、世界中の法規制や業界標準が「サプライチェーンの管理」を企業に強く求めています。
例えば、欧州のGDPR（EU一般データ保護規則）では、委託先（データ処理者）の適切な管理が義務付けられており、違反すれば最大2000万ユーロ（日本円で約37億円）と全世界年間売上高の4％までのいずれか高い方が制裁金として課される可能性があります。クレジットカード業界のセキュリティ基準であるPCI DSSでも、サードパーティのリスク評価は強化されている必須要件です。
さらに、世界中の企業がセキュリティ対策のバイブルとしているNIST CSF（サイバーセキュリティフレームワーク）は、2024年の「2.0」へのアップデートに伴い、「Govern（統治）」という機能が新設され、その中で「サプライチェーンセキュリティリスク管理」が経営層の果たすべき中核的な役割として、位置付けられました。ISO 27001などの認証においても同様です。
もはや、サプライチェーンセキュリティリスク管理による客観的な評価体制が確立されていなければ、これらの基準を満たすことはできず、グローバルな取引からの排除、認証の剥奪、ひいては事業継続性の喪失といった深刻な事態に直結します。
代償2：経営の根幹を揺るがす直接的な「経済的損失」
そして同様に恐ろしいのが、インシデントが発生した際の直接的なコストです。自組織が原因でなくとも、取引先経由で情報漏洩やシステム停止が起これば、責任は委託元である自組織に重くのしかかります。
JNSA（日本ネットワークセキュリティ協会）が発表した『インシデント損害額調査レポート別紙「被害組織調査」第2版』によると、国内企業がランサムウェアの被害に遭った場合の平均被害額は約6,000万円とされています。これには、フォレンジック調査費用、弁護士費用、顧客への損害賠償、システムの復旧費用などが含まれますが、システムの停止や業務中断による利益損失などの損害は含まれていません。
さらにIBMの『2025年データ侵害のコストに関する調査レポート』によれば、万が一機密データの大規模な侵害（情報漏洩）にまで至った場合、日本の平均コストは約5.5億円に達するという衝撃的なデータが示されています。
つまり、取引先管理の不備は、もはや「現場の事務手続きの課題」などではなく、ひとたび顕在化すれば経営を根底から揺るがす「数千万〜数億円の隠れリスク」そのものなのです。
まとめ：Excel管理からの脱却！次なる一手へ
もはや、人海戦術のアナログな管理手法や「長年の信頼関係」という言葉だけでは、高度化するサプライチェーン攻撃や、厳格化するグローバルなコンプライアンス要件には対応できません。
取引先に不当な負担を強いることなく、かつ自組織のセキュリティ担当者をExcelの事務作業から解放するためには、根本的な仕組みを変え、管理を「自動化・効率化（DX）」する時期に来ています。
次回（連載第3弾）は、この3つの壁を打ち破る具体的な解決策として、取適法違反のリスクを回避しつつ、効率的かつ正確に取引先のコンプライアンス状況やセキュリティリスクを可視化する「新時代のサプライチェーンサイバーリスク管理のアプローチ（専門プラットフォームの活用）」について、プラットフォームの実践的な導入ステップを交えて詳しく解説します。サプライチェーンの弱点をなくし、安全なビジネス基盤を構築するための次なる一手にご期待ください。
SOMPO CYBER SECURITYでは、こうした課題を解決し、効率的なサプライチェーンサイバーリスク管理を実現するために2種類のサプライチェーンセキュリティリスク管理サービスを提供しています。主な使い分けは、お客さまの組織が抱える委託先などの数に応じて、より適切なサービスをお勧めしています。
詳細はこちらのページにあるお問い合わせフォームからお気軽にお問い合わせください。
SOMPO CYBER SECURITYでは、コラムやお役立ち資料、セミナー情報などを随時メールマガジンにて配信しています。ご登録がまだの方は下記のボタンより是非ご登録ください。
