取引先から広がるサプライチェーン攻撃への備え：攻撃はどのように始まるか

取引先、保守会社、委託先のアカウントやソフトウェアを経由して侵入する攻撃です。外部業者の遠隔保守用IDや共有フォルダが、想定以上の権限を持っているケースがあります。

想定される被害

自社の対策だけでは防ぎ切れず、顧客情報の漏えい、サービス停止、取引先への説明や復旧調整が必要になることがあります。

中小企業が優先して行う対策

• 外部接続先と権限を棚卸しする

• 委託先にも個人別IDと多要素認証を求める

• 一時的な作業権限は期限を設ける

• 事故時の連絡方法・責任分担を契約や手順に明記する

今週確認すること

社外の人が使えるID、VPN、共有フォルダを一覧にして、不要な権限を外しましょう。

まとめ

サイバーリスクは、特別な技術だけでなく、日々の確認手順、権限管理、連絡体制の積み重ねで下げられます。まずは自社で実行できる一項目から着手し、定期的に見直しましょう。

参考：IPA「情報セキュリティ10大脅威 2026」「中小企業の情報セキュリティ対策ガイドライン」