【サイバーセキュリティ】「うちは狙われない」という思い込みがなくなる ― サプライチェーン攻撃と中小企業の正しい備え方

「うちみたいな小さな会社が、サイバー攻撃のターゲットになるんですか？」

アクセルパートナーズがセキュリティ対策の相談を受ける中で、経営者から最も多く返ってくる反応がこの言葉です。「大企業が狙われるのはニュースで見るけれど、うちの会社を攻撃しても何も得られないでしょう」。この認識は、残念ながら大きな誤りです。

IPAの「情報セキュリティ10大脅威2025」では、サプライチェーンの弱点を悪用した攻撃が組織向け脅威の第2位にランクインしています。攻撃者は大企業を直接攻撃するのではなく、セキュリティ対策が手薄な取引先の中小企業を「踏み台」にして、大企業のネットワークに侵入するのです。

このコラムを読み終えたとき、あなたは「自社がサプライチェーン攻撃の標的になるリスク」を正しく理解し、コストを抑えた現実的な防衛策を立てられる状態になっています。

この記事でわかること

「うちは狙われない」と考える企業が陥っている4つの思い込み
サプライチェーン攻撃から身を守っている中小企業の共通点
取引先からのセキュリティ要求に対応する「信頼構築×技術対策×運用改善」フレームワーク
明日から始められる具体的な防衛ステップ

1. 良かれと思ってやっている「4つの危険な思い込み」

サプライチェーン攻撃という言葉を聞いたことがある経営者は増えています。しかし、「うちには関係ない」と判断してしまうケースがまだまだ多いのが現実です。

ここでは、多くの中小企業が良かれと思って抱いている4つの思い込みをご紹介します。あなたの会社にも当てはまるものがないか、確認してみてください。

思い込み①：良かれと思って「大企業だけが狙われる」と安心している

「サイバー攻撃のニュースに出てくるのは大企業ばかりだから、うちは大丈夫」。この認識は、攻撃の「見え方」と「実態」の違いから生まれています。

大企業が攻撃を受ければニュースになりますが、中小企業への攻撃はほとんど報道されません。しかし、実態は大きく異なります。

警察庁の「令和5年におけるサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア被害を受けた企業のうち、中小企業が約52%を占めています。つまり、被害の半数以上が中小企業で起きているのです。

なぜ中小企業が狙われるのか。その理由は明確です。大企業はセキュリティ投資を年間数億円規模で行い、専門チームを配置しているため、正面から攻撃するのは困難です。一方、中小企業はセキュリティ専任担当者がいないことが多く、対策も限定的です。攻撃者にとって、中小企業は「鍵のかかっていない裏口」なのです。

そして、攻撃者の最終的な目標は中小企業そのものではなく、中小企業のネットワークを経由して、その取引先である大企業に侵入することです。これがサプライチェーン攻撃の本質です。

思い込み②：良かれと思って取引先チェックシートを形だけ埋めている

最近、取引先（特に大企業）から「セキュリティチェックシート」の提出を求められる中小企業が増えています。チェックシートに「はい」を並べて提出すれば、取引関係は維持できる ―― そう考えていませんか。

しかし、チェックシートに「はい」と回答したことが、実態と異なる場合、それ自体がリスクになります。

2024年には、サプライチェーン攻撃をきっかけに取引先のセキュリティ体制が調査され、チェックシートの回答と実態の乖離が発覚して取引停止に至ったケースが複数報告されています。

経済産業省の「サイバーセキュリティ経営ガイドラインVer3.0」では、サプライチェーン全体のセキュリティ確保を経営者の責任として明記しています。取引先もこのガイドラインに基づいてチェックシートを運用しているため、形式的な回答は長期的に見て取引リスクを高めます。

チェックシートは「面倒な書類」ではなく、自社のセキュリティ状況を見直す貴重な機会として活用すべきです。

思い込み③：良かれと思って「VPNを入れているから外部攻撃は防げる」と考えている

VPN（Virtual Private Network：仮想プライベートネットワーク）を導入していることで、「外部からの攻撃は防げている」と安心している企業は少なくありません。

しかし、実はVPN機器そのものが攻撃の入口になっているケースが急増しています。IPAの「情報セキュリティ10大脅威2025」の解説では、VPN機器の脆弱性（セキュリティの弱点）を悪用した侵入が、ランサムウェア攻撃の主要な侵入経路のひとつとして挙げられています。

警察庁の調査によると、ランサムウェア被害に遭った企業の侵入経路は、VPN機器からの侵入が約63%を占めています。VPN機器のファームウェア（制御ソフトウェア）を最新版に更新していない場合、攻撃者は公開されている脆弱性情報を使って簡単に侵入できてしまいます。

VPN自体が悪いのではなく、VPN機器を「導入して終わり」にしていることが問題です。定期的なファームウェアの更新、不要なアカウントの削除、接続ログの監視 ―― これらの運用が伴っていなければ、VPNは「安全な通信手段」ではなく「攻撃者への入口」になりかねません。

思い込み④：良かれと思って「自社の情報には価値がない」と判断している

「うちには個人情報も機密技術もないから、攻撃されても被害は小さい」。この判断は、攻撃者の目的を誤解しています。

サプライチェーン攻撃において、攻撃者が中小企業から狙っているのは「その企業の情報」だけではありません。以下のようなものすべてが攻撃者にとっての「価値」です。

攻撃者が狙うもの	具体例
取引先の連絡先情報	メールアドレス、担当者名、組織図
取引先への接続経路	VPN接続情報、共有システムのID/パスワード
メール送信の踏み台	自社のメールアカウントを使って取引先にフィッシングメールを送信
ランサムウェアの身代金	業務データを暗号化し、復旧と引き換えに金銭を要求
取引先への影響力	「この会社がやられたから、取引先の情報も漏洩した可能性がある」という事実

自社の情報に価値がなくても、自社のネットワークを「踏み台」に使えること自体に価値があるのです。

2022年に発生した大阪急性期・総合医療センターのランサムウェア被害事例では、病院に給食を納入していた業者のVPN機器の脆弱性が侵入経路となりました。給食業者自体が攻撃の最終標的ではなく、その業者を経由して病院のシステムが侵害されたのです。

自社の規模や業種にかかわらず、取引先との接点を持っている限り、サプライチェーン攻撃の標的になりうる ―― この認識が出発点です。

2. サプライチェーン攻撃に備えている中小企業の3つの共通点

では、サプライチェーン攻撃のリスクを理解し、効果的に備えている中小企業は何が違うのでしょうか。アクセルパートナーズがこれまで支援してきた企業の中から、共通する3つの特徴をお伝えします。

焦点：「自社だけ」ではなく「取引関係全体」のリスクに目を向けている

サプライチェーン攻撃に備えている企業は、セキュリティを「自社のIT環境を守ること」だけでなく、「取引先との信頼関係を守ること」として捉えています。

具体的には、以下の3つの視点でリスクを評価しています。

視点	確認事項
自社→取引先方向のリスク	自社が侵害された場合、取引先にどのような影響が出るか
取引先→自社方向のリスク	取引先が侵害された場合、自社にどのような影響が出るか
共有リソースのリスク	取引先と共有しているシステム・データ・アカウントは何か

この3つの視点を持つことで、「自社のために対策する」のではなく、「取引関係を守るために対策する」という経営判断ができるようになります。

そして、この視点の転換は、取引先へのアピールにもなります。「うちはサプライチェーンリスクを理解し、対策を講じています」と説明できることが、取引継続や新規取引獲得の競争力につながるのです。

行動：「チェックシート」を受動的な書類ではなく「改善のきっかけ」にしている

取引先からのセキュリティチェックシートを「面倒な義務」と捉えるのではなく、自社のセキュリティ状況を定期的に見直す仕組みとして活用しているのが、うまく対策している企業の特徴です。

ある建設業の中小企業（従業員約30名）では、元請企業からのセキュリティチェックシートを受け取ったことをきっかけに、以下のような改善を段階的に実施しました。

時期	チェックシートの質問	実施した対策
初回	「パスワードポリシーはあるか」	8文字以上・英数記号混在ルールを策定
半年後	「多要素認証を導入しているか」	Microsoft 365のMFAを全社有効化
1年後	「セキュリティ教育を実施しているか」	四半期に1回のフィッシング訓練を開始
1年半後	「インシデント対応手順はあるか」	インシデント対応マニュアルを策定

チェックシートの項目に「いいえ」と正直に回答し、「現時点では対応できていないが、改善計画がある」と伝えること。この姿勢が取引先からの信頼を高めます。「完璧な回答」よりも「誠実な回答と改善の意思」のほうが、取引関係においてはるかに価値があるのです。

量：「一度に全部」ではなく「できるところから確実に」進めている

サプライチェーン攻撃に備えている中小企業は、最初から完璧な対策を目指していません。限られた予算と人員の中で、最もリスクの高い箇所から優先的に対策するというアプローチを取っています。

経済産業省の「サイバーセキュリティ経営ガイドラインVer3.0」付録の「サイバーセキュリティ体制構築・人材確保の手引き」では、中小企業のセキュリティ対策を3段階で進めることを推奨しています。

段階	対策内容	費用目安
第1段階：最低限の対策	OS・ソフトのアップデート、パスワード管理、バックアップ	無料〜年間数万円
第2段階：組織的な対策	セキュリティポリシー策定、教育訓練、多要素認証導入	年間10万〜50万円
第3段階：高度な対策	EDR導入、ログ監視、インシデント対応体制構築	年間50万〜200万円

すべての企業が第3段階まで到達する必要はありません。自社の取引関係と業種に応じた「適切な段階」を見極め、その段階の対策を確実に実施することが重要です。

3. 「信頼構築×技術対策×運用改善」のサプライチェーン防衛フレームワーク

ここからは、サプライチェーン攻撃に備えるための実践フレームワークをご紹介します。このフレームワークは、「取引先との信頼構築」「技術的対策」「運用の改善」の3軸で構成されています。

第1軸：取引先との信頼構築 ―― セキュリティを「取引の基盤」にする

サプライチェーン攻撃への備えは、技術的な対策だけでは完結しません。取引先との間で、セキュリティに関する共通認識と協力体制を築くことが不可欠です。

対策3-1：セキュリティチェックシートへの「誠実な対応」

取引先からのセキュリティチェックシートに対して、以下の3つのステップで対応します。

ステップ1：現状を正直に把握する

チェックシートの各項目について、「実際にやっていること」と「やっていないこと」を正直に区分します。「やっているつもり」の項目については、実態を確認します。たとえば「パスワードポリシーがある」と回答する前に、本当に全従業員がポリシーに従っているかを確認します。

ステップ2：未対応項目について改善計画を作る

「いいえ」の項目については、「いつまでに」「何をして」対応するかの改善計画を作成します。この計画をチェックシートに添付して提出することで、取引先に対して「改善の意思がある」ことを示します。

ステップ3：定期的に進捗を報告する

改善計画の進捗を、取引先に定期的に報告します。半期に1回、あるいはチェックシートの再提出のタイミングで、「前回の未対応項目のうち、これだけ対応できました」と報告します。

対策3-2：「セキュリティ対応力」を取引先への差別化要因にする

多くの中小企業がセキュリティ対策を「コスト」と捉えている中、セキュリティ対応力を「営業上の強み」に転換するのがこの対策です。

具体的には、以下のような情報を取引先に積極的に開示します。

SECURITY ACTION（セキュリティ対策自己宣言）の取得
情報セキュリティ基本方針の策定・公開
セキュリティ教育の実施実績（年間回数、受講率）
インシデント対応手順の整備状況

SECURITY ACTIONは、IPAが推進する中小企業向けのセキュリティ自己宣言制度です。一つ星・二つ星の2段階があり、自社のセキュリティ対策状況を対外的に示すことができます。取得は無料で、申請手続きもWebで完結します。

取引先の調達担当者が複数の仕入先を比較検討する際、セキュリティ対策の状況は選定基準のひとつになりつつあります。「同じ品質・価格なら、セキュリティがしっかりしている企業と取引したい」というのは自然な判断です。

第2軸：技術的対策 ―― 「踏み台」にされないIT環境を作る

サプライチェーン攻撃において、中小企業が「踏み台」にされるのは、IT環境に攻撃者が侵入できる弱点があるからです。ここでは、中小企業がコストを抑えながら実施できる技術的対策を紹介します。

対策3-3：VPN機器・ネットワーク機器のファームウェア管理

前述の通り、VPN機器の脆弱性は中小企業への侵入経路として最も多く悪用されています。対策は明確で、VPN機器のファームウェアを常に最新版に保つことです。

今すぐ確認すべきことは以下の3つです。

自社で使っているVPN機器のメーカーと型番を把握する（わからなければ、導入業者に確認する）
現在のファームウェアバージョンを確認する（管理画面で確認できる場合が多い）
メーカーのWebサイトで最新バージョンを確認し、未更新なら更新する（自社で対応が難しければ、導入業者に依頼する）

特に注意が必要なのは、Fortinet、Pulse Secure（現Ivanti）、Citrix、SonicWallなどの主要VPNメーカーの製品です。これらの製品の脆弱性は攻撃者に広く知られており、未更新の機器は格好の標的になります。

VPN機器のファームウェア更新は基本的に無料です（保守契約の範囲内で提供される場合がほとんど）。導入業者に更新作業を依頼する場合でも、数万円程度の費用で対応できます。

対策3-4：アクセス制御と権限管理の見直し

サプライチェーン攻撃において、攻撃者が中小企業のネットワークに侵入した後、最初に行うのは「より高い権限を持つアカウント」の探索です。

確認項目	対応策
管理者権限を持つアカウントの数	必要最小限に絞る（理想は2〜3名）
退職者・異動者のアカウント	速やかに無効化する
共有アカウントの使用	個人アカウントに切り替える
パスワードの強度	12文字以上、英数記号混在を必須にする
多要素認証の導入	管理者アカウントは必ずMFAを有効化する

特に「退職者のアカウントが残っている」問題は、中小企業で非常に多く見られます。退職者のアカウントが有効なまま放置されていると、そのアカウントが攻撃者に悪用される可能性があります。

対策3-5：バックアップの「3-2-1ルール」の実施

サプライチェーン攻撃の中でも、ランサムウェア攻撃を受けた場合の最後の砦はバックアップです。しかし、バックアップの方法が適切でなければ、バックアップごと暗号化されてしまいます。

業界標準の「3-2-1ルール」は以下の通りです。

3：データのコピーを3つ保持する（本番データ＋バックアップ2つ）
2：2種類の異なるメディアに保存する（例：クラウド＋外付けHDD）
1：1つはオフサイト（社外・ネットワーク外）に保管する

特に重要なのは「1つはネットワークから切り離す」ことです。ランサムウェアはネットワーク上のすべてのドライブを暗号化しようとするため、ネットワークに接続されていないバックアップがなければ、すべてのデータを失う可能性があります。

サービス	費用目安	特徴
Microsoft 365 バックアップ（Veeam等）	1ユーザーあたり月額300〜500円	Microsoft 365データ専用
Acronis Cyber Protect	1台あたり月額500〜1,000円	PC・サーバー両対応
AWS S3 + バージョニング	使用量に応じた従量課金	大容量データに適する

第3軸：運用の改善 ―― 「やりっぱなし」から「回し続ける」仕組みへ

技術的な対策を導入しても、運用が伴わなければ効果は持続しません。第3軸は、セキュリティ対策を一時的なプロジェクトではなく、日常業務の一部として継続する仕組みを作ることです。

対策3-6：月次セキュリティチェックの導入

月に1回、以下の項目を確認する「セキュリティチェック日」を設けます。所要時間は30分〜1時間程度です。

確認項目	確認方法
OS・ソフトウェアの更新状況	Windows Update、各ソフトの更新確認
VPN機器のファームウェア	メーカーサイトで最新版を確認
退職者・異動者のアカウント処理	人事情報との突合
バックアップの正常動作	最新のバックアップデータの復元テスト
不審なログインの有無	クラウドサービスのログイン履歴確認

このチェックを毎月の定例会議のアジェンダに組み込むことで、忘れずに継続できます。特別な担当者を置く必要はありません。総務担当者や情シス兼務者が、月に1回30分を確保するだけです。

対策3-7：インシデント発生時の初動対応手順の策定

サプライチェーン攻撃を受けた場合、最も重要なのは初動対応の速さです。「何が起きているか」「誰に連絡するか」「何を止めるか」を事前に決めておくことで、被害を最小限に抑えることができます。

ステップ1：検知・報告（発生から30分以内）

異常を検知した従業員は、速やかに情報システム担当（または経営者）に報告する。報告内容：「いつ」「何が起きた」「どの端末・システムで」

ステップ2：初動対応（報告から1時間以内）

被害が疑われる端末をネットワークから切断する。被害の範囲を暫定的に把握する。外部の専門家（導入業者、セキュリティ会社）に連絡する。

ステップ3：取引先への連絡（初動対応から24時間以内）

影響を受ける可能性がある取引先に、事実を正確に伝える。「何がわかっていて、何がわかっていないか」を明確にする。今後の対応予定と連絡スケジュールを伝える。

ステップ4：復旧と再発防止（1週間〜1か月）

バックアップからのシステム復旧。侵入経路の特定と対策。再発防止策の策定と実施。

特に重要なのはステップ3（取引先への連絡）です。サプライチェーン攻撃の場合、自社だけでなく取引先にも被害が及ぶ可能性があります。取引先への連絡が遅れれば、被害が拡大するだけでなく、信頼関係が致命的に損なわれます。

4. 取引先からのセキュリティ要求への具体的な対応方法

取引先（特に大企業）から求められるセキュリティ要件は年々厳しくなっています。ここでは、中小企業がコストを抑えながら、取引先の要求に応えるための具体的な方法をお伝えします。

よく求められる要件と対応策の一覧

取引先からの要求	最低限の対応策	費用目安
セキュリティポリシーの策定	経済産業省のテンプレートを活用して策定	無料
従業員教育の実施	IPAの無料教材を使った年2回の研修	無料
多要素認証の導入	Microsoft 365/Google WorkspaceのMFA有効化	無料
アクセスログの管理	クラウドサービスの標準ログ機能を活用	無料〜月額数千円
インシデント対応手順の策定	前章のテンプレートをベースに策定	無料
定期的な脆弱性診断	無料の脆弱性スキャンツール（Nessus Essentials等）を活用	無料〜年間数万円
SECURITY ACTIONの取得	IPAのWebサイトから申請	無料

上記の通り、取引先から求められる多くの要件は、無料または低コストで対応できます。

SECURITY ACTION（セキュリティ対策自己宣言）の活用

段階	内容	取得要件
一つ星	「情報セキュリティ5か条」に取り組むことを宣言	5か条の内容を理解し、取り組みを開始
二つ星	「5分でできる！情報セキュリティ自社診断」を実施し、情報セキュリティ基本方針を策定・公開	自社診断の実施＋基本方針の策定・公開

SECURITY ACTIONの取得は完全に無料で、Webから申請すれば数日で完了します。取得後は、自社のWebサイトや名刺にロゴマークを表示でき、取引先に対するセキュリティ対応のアピールになります。

さらに、SECURITY ACTIONの取得はデジタル化・AI導入補助金の申請要件のひとつにもなっています。将来的にセキュリティ製品の導入を検討している場合、この段階で取得しておくことで、補助金申請がスムーズになります。

情報セキュリティ基本方針の策定（テンプレート活用）

取引先から「セキュリティポリシーはありますか？」と聞かれたときに、A4用紙1枚で示せる「情報セキュリティ基本方針」を持っておくと、信頼度が大きく変わります。

経済産業省のサイバーセキュリティ経営ガイドラインおよびIPAのテンプレートをベースに、以下の項目を記載します。

基本理念（なぜセキュリティが重要か）
適用範囲（対象となる情報と従業員）
実施する対策の概要（技術・人・ルールの3分野）
従業員の責務
インシデント発生時の対応方針
改定・見直しの方針
制定日と代表者の署名

策定にかかる時間は半日〜1日程度です。一度作成すれば、年に1回の見直しで維持できます。

5. コストを抑えた現実的な防衛策 ―― 段階的導入ロードマップ

最後に、中小企業がサプライチェーン攻撃への備えを段階的に、無理なく進めるためのロードマップをお伝えします。

第1フェーズ（1〜2か月目）：基盤整備【費用：無料】

施策	作業時間	費用
SECURITY ACTION一つ星の取得	30分	無料
クラウドサービスの多要素認証（MFA）有効化	1〜2時間	無料
退職者・不要アカウントの棚卸し・削除	1〜2時間	無料
VPN機器のファームウェアバージョン確認	30分	無料
パスワードポリシーの策定と周知	1時間	無料

第1フェーズの施策はすべて無料です。合計で半日程度の作業で完了します。

第2フェーズ（3〜4か月目）：組織体制の整備【費用：無料〜数万円】

施策	作業時間	費用
情報セキュリティ基本方針の策定	半日〜1日	無料
インシデント対応手順の策定	半日	無料
月次セキュリティチェックの開始	月30分〜1時間	無料
IPAの教材を活用した従業員教育（第1回）	1〜2時間	無料
VPN機器のファームウェア更新	1〜2時間（業者依頼の場合は数万円）	無料〜数万円

第3フェーズ（5〜6か月目）：防御力の強化【費用：年間10万〜50万円】

施策	作業時間	費用
SECURITY ACTION二つ星の取得	2〜3時間	無料
模擬フィッシング訓練の導入（年4回）	導入1日＋四半期1時間	年間10万〜30万円
バックアップの3-2-1ルール導入	1日	月額数千〜数万円
取引先へのセキュリティ対応状況の報告	半日	無料

第4フェーズ（7か月目〜）：継続的な改善【費用：年間50万〜200万円】

施策	作業時間	費用
EDR（Endpoint Detection and Response）の導入	導入1〜2日	1台あたり月額500〜1,500円
ネットワーク監視の導入	導入1日	月額1万〜5万円
脆弱性診断の定期実施（年2回）	1日/回	年間20万〜50万円
セキュリティポリシーの改定	半日	無料

補助金を活用した費用軽減

上記の有料対策については、デジタル化・AI導入補助金を活用することで実質負担を大幅に軽減できます。

補助金	補助率	上限額	対象
デジタル化・AI導入補助金（セキュリティ対策推進枠）	1/2〜4/5	最大100万円〜最大150万円	セキュリティ製品・サービス
各自治体のサイバーセキュリティ対策助成金	自治体による	自治体による	セキュリティ対策全般