取引先を狙う攻撃が自社の受注に響く理由。経営会議で確認する3つの依存関係

「うちは小規模だから、サイバー攻撃の標的にはならない」と考えていませんか。しかし、IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、サプライチェーンや委託先を狙った攻撃が組織向けの脅威として上位に挙げられています。

これは、セキュリティが手薄な取引先を「踏み台」にして、その先にいる大手企業や重要な業務プロセスを攻撃する手法が一般的になっていることを示しています。

取引先が攻撃を受けると、単に「相手のシステムが止まる」だけでは済みません。自社の受発注が止まり、商品の配送ができなくなり、結果として「信頼できない会社」とみなされて受注を失うリスクがあります。まずは、自社がどの業務において、どの取引先と、どのような仕組みでつながっているのかを整理することから始めてください。

経営会議では、以下の3つの依存関係に注目して、リスクの所在を確認しましょう。

取引先への攻撃が自社の業務を止める仕組みとは

受発注システムの停止が招く受注機会の喪失

多くの企業では、取引先と専用のシステムやメール、Webサイトを通じて注文のやり取りを行っています。もし、発注元となる取引先のシステムがサイバー攻撃によって停止した場合、自社へ注文が入らなくなるだけでなく、自社から出荷の通知を送ることすらできなくなります。これは単なる一時的な通信トラブルではなく、商流そのものが断絶することを意味します。

例えば、取引先がランサムウェア攻撃（データを暗号化して身代金を要求する攻撃）を受けた場合、その取引先の担当者がシステムにログインできなければ、自社への発注作業自体がストップします。このとき、自社が「システムが動いていないから待っています」と受動的に構えているだけでは、取引先は代替の仕入れ先を探し始めてしまいます。

システム上のつながりが、そのまま売上のつながりであることを認識しておく必要があります。

物流・配送網の混乱による納品遅延のリスク

製品を製造・販売していても、それを届ける物流網が攻撃を受ければ、自社の製品は顧客の手元に届きません。物流会社や配送管理システムがサイバー攻撃の対象になると、荷物の所在が分からなくなったり、配送ルートの指示が出せなくなったりします。

これは、自社のセキュリティが万全であっても、サプライチェーン（供給の連鎖）のどこか一箇所が壊れるだけで、自社の出荷業務が機能不全に陥ることを示しています。

具体的には、配送指示を出すためのサーバーがダウンしたり、配送車両の運行管理データが書き換えられたりするケースが考えられます。このような事態が起きると、顧客に対して「なぜ届かないのか」という説明が困難になり、契約違反や損害賠償の問題に発展する恐れもあります。

自社の製品が、どのようなルートを経て、どの会社の管理下で運ばれているのか、その経路の脆弱性を把握しておくことが重要です。

共有データの改ざんと信頼性の低下

取引先と共有している在庫データ、設計図面、顧客情報などのデジタルデータが、攻撃によって書き換えられたり、盗み出されたりするリスクがあります。データの改ざん（内容を勝手に書き換えること）は、気づきにくいという点で非常に厄介です。例えば、在庫数が実際よりも多く表示されるように書き換えられると、過剰な受注を受けてしまい、後から納品不能に陥るなどの混乱を招きます。

また、共有している機密情報が漏えいした場合、その責任の所在を巡って取引先との関係が悪化します。たとえ自社の過失ではなく、取引先の管理不足による漏えいであっても、「あそこは情報管理が甘い会社だ」というレッテルを貼られ、次回の契約更新で見送られる原因になり得ます。

データのやり取りにおいて、どの情報が、どの経路で、誰と共有されているのかを整理しておくことは、守りの対策だけでなく、取引継続のための必須条件です。

経営者が確認すべき3つの依存関係とリスクの所在

システム連携における情報の流れと停止の影響

経営会議では、まず「どのシステムが止まると、どの売上が止まるか」という視点で、ITのつながりを確認してください。これは、単に「パソコンが使えるか」という話ではなく、取引先との間で動いている「情報の血流」を確認する作業です。EDI（電子データ交換）などの仕組みを使って自動で注文を受けている場合、その接続ポイントがどこにあるのかを把握する必要があります。

担当者に対しては、「もし、主要な取引先A社のシステムが明日から1週間止まったら、当社の受注業務はどうなりますか？ 手動での代替手段はありますか？」と具体的に質問してみてください。この質問への回答が「何もできません」であれば、それは経営上の重大なリスクとして認識すべきです。

システムが止まった際の「業務継続計画（BCP）」が、紙ベースの注文書や電話対応といったアナログな手段を含めて検討されているかを確認しましょう。

物流ルートにおける外部サービスの依存度

次に、製品を届けるための「物理的なつながり」を確認します。自社で配送車両を持っていない場合、配送業務は外部の物流会社に完全に依存しています。この依存度が高いほど、物流業界全体のサイバーリスクが自社のリスクに直結します。物流会社のシステムが停止した場合、自社の出荷指示が届かず、倉庫に製品が滞留してしまうシナリオを想定しなければなりません。

確認すべきポイントは、配送指示の出し方と、配送状況の確認方法です。例えば、配送業者のWebサイトにログインして状況を確認している場合、そのサイトがダウンした際に、電話や別の手段で確実に状況を把握できる体制があるかを確認してください。

また、複数の配送業者を使い分けているか、あるいは特定の業者に一本化しているかといった「依存の偏り」も、リスク分散の観点から重要な判断材料となります。

データの共有範囲と管理責任の境界線

最後に、情報の「共有範囲」を確認します。自社が保有しているデータのうち、取引先とやり取りしているものはどれか、また、そのデータはどこに保存されているのかを整理します。クラウドサービスを利用して共同でファイルを編集している場合、そのクラウドサービスの管理責任はどちらにあるのか、また、アクセス権限は適切に管理されているのかを明確にする必要があります。

担当者には、「取引先と共有しているフォルダやクラウドサービスにおいて、退職した社員の権限はすぐに削除されていますか？」「取引先から送られてくるファイルにウイルスが含まれていた場合、自社内で検知できる仕組みはありますか？」といった質問を投げかけてみてください。

データの境界線を明確にすることは、トラブルが発生した際に「どこまでが自社の責任か」を判断するための、法務・経営的な防衛策にもつながります。

実践的な対策への進め方と役割分担

自社の現状を把握するための資産管理と棚卸し

対策の第一歩は、守るべき対象を明確にすることです。まずは「資産管理台帳」を作成しましょう。これは、会社が持っているパソコン、サーバー、ソフトウェア、そして「どのようなデータを持っているか」を一覧にしたものです。IPAのガイドラインでも、資産の把握はセキュリティ対策の基本として推奨されています。何があるかわからない状態では、適切な対策は打てません。

具体的には、社内のIT機器のリストアップだけでなく、「どの取引先と、どのようなデータ（見積書、図面、顧客名簿など）をやり取りしているか」という、業務フローに基づいた棚卸しを行ってください。この作業は、IT担当者だけでなく、営業部門や製造部門の協力が不可欠です。

現場の人間が「実際にはこうやって情報をやり取りしている」という実態を把握することで、実効性の高いリストが完成します。

外部との接点を守るための通信とアクセスの制御

次に、外部とのつながりを安全にするための技術的な対策を検討します。例えば、取引先とのネットワーク接続において、不要な通信を遮断する設定ができているか、あるいは外部から社内ネットワークへアクセスする際に、多要素認証（パスワードだけでなく、スマホへの通知などを組み合わせる認証）を利用しているかなどが挙げられます。

これらは、攻撃者が入り込む隙を減らすための「門番」の役割を果たします。

ただし、セキュリティを厳しくしすぎると、業務のスピードが落ちてしまうというジレンマがあります。そのため、対策を導入する際は「どの業務に、どの程度の厳格さが必要か」を、リスクの大きさに合わせて判断することが重要です。

例えば、機密性の高い設計図面を扱う部署には厳格な認証を、一般的な連絡用メールには標準的な対策を、といった具合に、メリハリをつけることが現実的な運用につながります。

異常に気づき、被害を最小限に抑えるための備え

どんなに強固な対策を講じても、攻撃を100％防げるわけではありません。そのため、攻撃を受けた後にどのように対応するかを事前に検討しておくことが重要です。具体的な備えとして、データのバックアップを定期的に安全な場所に保管すれば、データ損失が発生した際の復旧が可能になります。

バックアップの頻度や保管場所、暗号化の有無などは、利用するサービスや自社の要件に合わせてベンダーに確認し、復元テストを実施して実際に復旧できることを確認しておくことが推奨されます。

また、異常が発生した際の「インシデント対応（事故対応）」の手順を決めておくことも大切です。例えば、「ウイルス感染の疑いがあるパソコンを見つけたら、まずLANケーブルを抜く」「すぐに経営層とIT担当者に報告する」といった、迷わず動けるためのルールを定めておきます。

これらは、事前のシミュレーションを通じて、いざという時にパニックにならず、被害を最小限に食い止めるための「訓練」として実施することが望ましいです。

対策の判断基準と専門家への相談のタイミング

自社で対応すべき範囲と外注すべき範囲の切り分け

セキュリティ対策を進める際、すべての業務を自社だけで完結させる必要はありません。むしろ、専門知識が必要な領域は、外部の専門家やサービスを活用する方が、結果としてコストパフォーマンスが高く、安全性が向上する場合が多いです。判断の基準は、「その業務に高度な専門知識が必要か」と「継続的に管理し続けるリソースがあるか」の2点です。

例えば、社内のパソコンのウイルス対策や、基本的なパスワード管理などは、社内の担当者でも対応可能です。しかし、ネットワーク全体の監視や、高度なサイバー攻撃を受けた際の調査、複雑なシステムの構築などは、専門のITベンダーやセキュリティ会社に任せるべき領域です。

経営者は、自社のIT担当者が「作業」に追われているのか、「管理・判断」に時間を使えているのかを見極め、適切なリソース配分を指示してください。

導入検討時の比較ポイントとコストの考え方

新しいセキュリティ製品やサービスを導入する際は、単に価格の安さだけで選ばないように注意してください。比較すべき重要な基準は、「自社の業務フローに馴染むか」「運用にどれだけの工数がかかるか」「万が一の際にサポートが迅速か」の3点です。高機能であっても、使いにくくて社員がルールを無視して使ってしまうようでは、意味がありません。

例えば、新しい認証システムを導入する場合、「社員がログインする際の手間が、業務の効率を著しく下げないか」を事前に検証することが重要です。また、コストについては、単なる「出費」として捉えるのではなく、もし事故が起きた際の「損失（受注停止による損害や賠償金など）を防ぐための保険」として考える視点を持ってください。

投資対効果を考える際は、想定されるリスクの大きさと、対策にかかる費用を天秤にかける必要があります。

専門家へ相談すべき具体的なサインと準備

「いつ、どこに相談すればよいのか」という判断は、多くの経営者が悩むポイントです。まずは、自社の状況を客観的に知りたい場合や、新しいシステムを導入する計画がある段階で、早めに相談することをお勧めします。問題が起きてから相談するのではなく、問題が起きないための「設計図」を一緒に描いてもらうイメージです。

具体的に相談すべきサインとしては、「取引先からセキュリティ対策の状況を詳しく問いただされたとき」「社内のIT担当者が、技術的な判断に迷っている様子が見えたとき」「過去に一度でも、不審なメールやシステムトラブルが発生したとき」などが挙げられます。

相談の際には、自社の「業務の流れ（誰が、いつ、何を、どうしているか）」をまとめた資料を用意しておくと、専門家との対話がスムーズになり、より的確なアドバイスを得やすくなります。まずは、自社の現在のつながりを整理することから始めてみましょう。