ソリトンシステムズは、10月21日から23日に開かれたイベント「Security Days Fall 2026 Tokyo」で、企業のセキュリティ戦略に関わる意思決定層約1000人に行ったアンケートの結果を紹介した。サプライチェーンに起因するインシデントで被害を受けた企業は、そうでない企業より多要素認証やゼロトラストなどの対策の実施率が高く、取引先や経営層との調整が課題になっている実態が見えてきた。講演した同社エバンジェリストの荒木粧子氏は、新たに始まるサプライチェーン対策の評価制度（SCS評価制度）への向き合い方も解説した。
事案の詳細
INTERNET Watchの報道によると、調査は4月に実施され、回答者は1034人。取引先などの故意や過失に起因するインシデントについて回答した188人のうち、18.2％が「被害あり」、25.8％が「インシデントは発生したが被害なし」と答えた。インシデントの原因として最も多かったのは、従業員の故意や過失による内部不正だった。
被害を受けた企業は、SCS評価制度への対応の着手、多要素認証の導入、シングルサインオンの導入、ゼロトラストの実装の4項目すべてで、インシデントがなかった企業より実施率が20ポイント以上高かった。ただし、対策を被害の前に強化したのか、被害の後に強化したのかは、この調査からは判断できないとしている。
「より運用しやすい多要素認証に見直す」と答えた割合は、被害を受けた企業で70.4％、インシデントがなかった企業で44.4％だった。対策を進めるうえでのボトルネックでは、「取引先・委託先との調整」「業務要件との両立」「コンプライアンス対応」「経営層・関係部門との調整」で両者の差が大きく、「コスト」や「人材不足」にはほとんど差がなかった。
影響と背景
荒木氏は、SCS評価制度について、認定の取得をゴールにしないよう注意を促した。★3は専門家の確認を経た自己適合宣言で、宣言するのは経営層。★4では経営層のさらに深い関与が求められ、いずれも毎年の更新が必要になる。同氏は、経営に情報が届き、経営が判断する仕組みそのものが要求事項になっている点を重視すべきだとした。
対応の進め方としては、対象となる取引を整理し、施策を仮に決め、コストと期限を確認したうえで経営が判断し、取引先と対話する流れを示した。そのうえで、事業・調達部門と「何を守るか」を整理する、経営層に判断が必要な事項を伝える、取引先や委託先に必要な水準を説明して対話する、という3つの「会話」が重要だと締めくくった。
対策・今後の展望
- 取引先との対話を早めに始める：対策の壁は技術やコストより、取引先や社内の調整にある。求める水準と期限を早めに伝え、相手の状況を聞く。
- 経営が判断できる材料をそろえる：守るべき取引や情報、必要な対策、費用と期限を整理し、経営層が判断できる形で報告する。
- 運用しやすい認証を選ぶ：多要素認証は、強さだけでなく利用者と管理者の負担も考えて選ぶ。
- 内部不正にも備える：インシデントの原因で最も多いのは内部不正だった。権限の見直しや操作記録の確認も対策に含める。
CSRIからの現場アドバイス
【現場で何が起きているか】取引先からセキュリティ対策の状況を問う質問票が届いても、誰が答えるか、どこまで対策すべきかを社内で決められずに止まっている中小企業は多い。対策の必要性は分かっていても、経営層に判断を求める段取りがないことが壁になっている。
【平易な解説】サプライチェーン対策は、取引先と一緒に行う防犯訓練のようなものだ。自社の鍵を強くするだけでなく、お互いにどの扉をどう守るかを話し合わないと、いちばん弱い扉から入られてしまう。
【中小企業が今週中にできること】主要な取引先と委託先を一覧にし、それぞれとどんな情報やシステムをやり取りしているかを整理する。そのうえで、SCS評価制度の★3の要求事項に目を通し、経営層に「どこまで、いつまでに対応するか」を判断してもらう場を設ける。
参照: INTERNET Watch：懸念が高まる「サプライチェーン攻撃」、被害企業はその後どう動いた？【Security Days Fall 2026】