【日本】ガートナー、サプライチェーン全体でのサイバーリスク管理に警鐘。SCS評価制度

　ガートナージャパンは7月24日、サプライチェーンに起因するサイバーリスクの現状と今後の対策についての見解を発表した。国内企業の多くがサプライチェーン経由の脅威に直面しており、自社単体ではなくサプライチェーン全体を俯瞰したリスク管理への転換が急務となっていると警鐘を鳴らした。

　同社が2026年2月に実施した調査では、国内企業の約7割が過去1年以内に取引先や業務委託先から、情報漏洩やその可能性に関する報告を受けたことがあると回答。サプライチェーンの複雑化により、企業間のデータ連携やシステム接続が増加し、セキュリティ担当者が全体像を把握しきれなくなっていることが背景にあると分析した。

（出所）ガートナージャパン

　同社は、2030年までにサイバーセキュリティ・インシデントの60%以上がサードパーティやサプライチェーンに起因するものになると予測。近年のインシデントでは、サプライチェーン経由での侵入による被害拡大、システム停止による長期間の事業停止やブランド毀損が顕著になっているため、取引先のセキュリティ対策状況を確認することはこれからのスタンダードであり、サプライチェーン・サイバーリスク・マネジメントが必須の取り組みであることを強調した。

　今後の対策として、2026年度終盤に運用開始が予定されている経済産業省の「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」を重要なマイルストーンとして挙げた。同調査では、制度開始の1年前の段階で約25%の企業が取引先に同制度への対応を求める意向を示している。

【参考】【日本】政府、サプライヤーのサイバーセキュリティ強化でSCS評価制度開始へ。中小企業支援も（2026年3月28日）

　同社は、SCS評価制度の認証取得は目的ではなく、サプライチェーン・サイバーリスク・マネジメントの手段の一つであると強調した。同制度の留意点と利点を理解し、ステークホルダーへの開示や取引先の客観的評価のための武器として活用していくことが重要だと指摘した。 　 　具体的には、企業がすぐに行うべきアクションとして「トリアージ（リスク分類）」を開始することを挙げている。発注企業側は、情報漏洩やシステム停止によるビジネスインパクト等の基準を用いて取引先をトリアージし、各取引先のリスクレベルに応じた対応を検討する必要がある。受注企業側は、サプライチェーン上で取引先に影響を及ぼす対象システムをトリアージし、制度の適用スコープを特定することが求められる。

【参照ページ】Gartner、サプライチェーンに起因するサイバーリスクの拡大と国内企業の対応課題についての見解を発表

株式会社ニューラル サステナビリティ研究所