自社のセキュリティ対策を強化するだけでは、情報漏洩を防ぎきれない。取引先や業務委託先を含む「サプライチェーン」のサイバーリスクが、日本企業にとって無視できない問題になっています。Gartnerが2026年7月24日に発表した見解によると、2026年2月に実施した国内調査で、調査対象者の約7割が過去1年以内に、取引先や業務委託先から「情報漏洩、またはその可能性」について報告を受けた経験があると回答しました。ここで注意したいのは、「約7割の企業で実際に情報漏洩が発生した」という意味ではないことです。取引先などから情報漏洩、またはその可能性について報告を受けた経験を示した数字です。
約7割が取引先などから「情報漏洩またはその可能性」の報告を経験
企業の事業活動では、取引先や業務委託先など多くの企業が関わります。そこで問題になるのが、自社以外の企業を経由して生じるサプライチェーン・サイバーリスクです。Gartnerの調査結果からは、多くの企業がすでに取引先などに関係するセキュリティ上の問題に直面している状況がうかがえます。
サプライチェーンを構成する企業の一社でセキュリティ上の問題が発生すれば、その影響が取引関係にある別の企業へ及ぶ可能性もあります。Gartnerのシニア プリンシパル アナリストである木村陽二氏は、サプライチェーン・サイバーリスクについて、IT部門やセキュリティ部門だけが対応する問題ではなく、事業継続や企業価値に直結する「ビジネス・リスク」であると指摘しています。
2030年に向け、サードパーティーのリスクはさらに重要に
こうしたリスクは、今後さらに重要性を増すとみられています。Gartnerは、2030年までに、企業が経験するサイバーセキュリティ・インシデントの60％以上が、サードパーティーとの関係やサプライチェーンに起因するようになると予測しています。取引先などで発生したセキュリティ上の問題が自社にも波及すれば、情報漏洩だけではなく、業務やシステムの停止など事業そのものに影響する可能性があります。
そのため、自社のセキュリティ対策だけを見るのではなく、「どの取引先にどのようなリスクがあるのか」を把握し、サプライチェーン全体を意識した管理が重要になります。
約4社に1社が取引先に「SCS評価制度」への対応を求める意向
日本でも、サプライチェーン全体のセキュリティ強化に向けた動きが進んでいます。経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の検討を進めており、2026年度終盤からの運用開始が予定されています。Gartnerが2026年2月に実施した調査では、制度の運用開始前の段階ですでに、調査対象者の約25％が取引先にSCS評価制度への対応を求める意向を示しました。
今後、取引先を選定・管理する際には、価格や品質、納期といった従来の条件に加え、「どの程度のセキュリティ対策を実施しているのか」という観点の重要性が高まる可能性があります。
「自社が安全なら大丈夫」ではなくなる
Gartnerは企業に対し、情報漏洩やシステム停止などが発生した場合の影響を基準として取引先をリスク分類し、それぞれのリスクレベルに応じた対策を講じることを推奨しています。サプライチェーン・サイバーリスクへの対応は、情報システム部門やセキュリティ担当者だけに任せるものではなくなりつつあります。経営や調達なども含め、企業全体で取引先との関係をどう管理するかが問われます。
「自社のセキュリティ対策は十分だから大丈夫」ではなく、自社とつながる企業まで含めてリスクを考える。サプライチェーン全体を前提としたセキュリティ対策が、日本企業に求められています。
詳しくは「Gartner」の公式ページまで。レポート／DXマガジン編集部
