サイバー攻撃は、もはや大企業だけの問題ではない
企業や自治体などによる個人情報の漏えい、不正アクセス、ランサムウェア（身代金要求型ウイルス）によるシステム障害。こうしたニュースが毎日のように続いています。
「うちは大企業ではないから、狙われることはないだろう」
「顧客情報はそれほど多くないので、大丈夫だろう」
「セキュリティ対策は、ITに詳しい担当者に任せている」
もし、このように考えているとしたら、少し注意が必要です。
現在のサイバー攻撃は、特定の大企業だけを狙うものではありません。
むしろ、セキュリティ対策が十分でない中小企業や、取引先、業務委託先などが攻撃の入口として狙われるケースもあります。
そして、一度情報漏えいやシステム障害が発生すれば、顧客への対応、取引先への説明、事業の停止、損害賠償、信用の低下など、企業経営に大きな影響を及ぼす可能性があります。
これからの企業経営において、情報セキュリティ対策は、単なるIT部門の仕事ではありません。会社を守り、取引先との信頼関係を維持するための重要な経営課題です。
今回は、企業が知っておきたいサイバーセキュリティの基礎知識と、今後の企業間取引にも関係する「SCS評価制度」について、できるだけわかりやすく解説します。
1．企業を取り巻くサイバーセキュリティの脅威
まず、現在どのようなサイバー攻撃が企業を脅かしているのでしょうか。
IPA（独立行政法人情報処理推進機構）が公表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威として、次のような項目が挙げられています。
- ランサム攻撃による被害
- サプライチェーンや委託先を狙った攻撃
- AIの利用をめぐるサイバーリスク
- システムの脆弱性を悪用した攻撃
- 機密情報を狙った標的型攻撃
- 内部不正による情報漏えい
- ビジネスメール詐欺
特に注目したいのが、サプライチェーンや委託先を狙った攻撃です。
サプライチェーンとは、商品やサービスを提供するために関係する企業や組織のつながりを意味します。
例えば、ある企業が顧客管理や給与計算、システム運用などを外部の会社に委託していたとします。
その委託先のセキュリティ対策が不十分で、サイバー攻撃を受けた場合、委託元企業の情報まで漏えいする可能性があります。
つまり、自社が十分な対策をしていても、取引先や委託先を経由して被害を受けることがあるのです。
これが、現在のサイバーセキュリティ対策において、企業単独ではなくサプライチェーン全体での対策が求められている理由です。
2．企業が知っておきたいサイバーセキュリティの基礎知識
サイバーセキュリティという言葉を聞くと、高度な専門知識や複雑なシステムを思い浮かべる方も多いでしょう。
しかし、企業が取り組むべき基本的な対策には、日常業務の中で実施できるものもたくさんあります。
ここでは、特に重要な5つの対策を紹介します。
① パスワード管理と多要素認証
最も基本的な対策の一つが、パスワードの適切な管理です。
複数のサービスで同じパスワードを使い回していませんか？
一つのサービスからパスワードが漏えいすると、同じパスワードを使用している別のサービスにも不正アクセスされる危険があります。
次のような対策を実施しましょう。
- サービスごとに異なるパスワードを設定する
- 推測されにくい長いパスワードを使用する
- パスワード管理ツールを活用する
- 可能なサービスでは多要素認証を設定する
多要素認証とは、パスワードだけでなく、スマートフォンへの確認コードや認証アプリなど、複数の要素を組み合わせて本人確認を行う仕組みです。
万が一パスワードが漏れても、不正ログインを防ぎやすくなります。
② OSやソフトウェアを最新の状態に保つ
パソコンやスマートフォン、業務用ソフトウェアには、セキュリティ上の弱点（脆弱性）が見つかることがあります。
攻撃者は、こうした弱点を利用してシステムに侵入します。
そのため、OSやソフトウェアの更新プログラムを適切に適用することが重要です。
「更新すると仕事が止まるから」と、長期間アップデートを放置していないでしょうか。
更新の必要性や業務への影響を確認しながら、計画的に実施する仕組みを整えましょう。
③メールや添付ファイルに注意する
サイバー攻撃の入口として、電子メールが利用されることがあります。
取引先や金融機関、宅配業者などを装い、偽のメールを送りつけるフィッシング詐欺も代表的な手口です。
最近では、実在する取引先の名前や業務内容を利用した、巧妙なメールも見られます。
不審なメールを受信した場合には、次の点を確認してください。
- 送信元のメールアドレスは正しいか
- 不自然なURLが記載されていないか
- 添付ファイルを安易に開いていないか
- 緊急の支払いやパスワード変更を求めていないか
特に、振込先の変更や緊急の送金依頼については、メールだけで判断せず、別の連絡手段で本人確認を行うことが大切です。
④ 個人情報や機密情報を適切に管理する
企業には、顧客や取引先、従業員など、多くの個人情報や機密情報が蓄積されています。
氏名、住所、電話番号、メールアドレス、契約情報、取引履歴などは、適切に管理しなければなりません。
例えば、次のような対策が考えられます。
- 個人情報を保存する場所を明確にする
- 業務上必要な人だけが情報にアクセスできるようにする
- USBメモリなどへの無断コピーを防止する
- 不要になったデータを適切に削除する
- 外部サービスやクラウドサービスの利用ルールを定める
また、従業員による誤送信や情報の持ち出しなど、内部の不注意や不正行為による情報漏えいにも注意が必要です。
セキュリティ対策は、外部からの攻撃を防ぐだけではありません。社内の情報管理体制を整えることも重要です。
⑤ バックアップと緊急時の対応体制
サイバー攻撃を完全に防ぐことは、現実的には困難です。
そこで重要になるのが、被害を受けた場合に備えることです。
ランサムウェアに感染すると、パソコンやサーバー内のデータが暗号化され、業務に必要な情報を利用できなくなることがあります。
このような事態に備え、定期的にバックアップを取得しておきましょう。
ただし、バックアップデータまで同時に感染・暗号化されないよう、ネットワークから切り離した保管方法やアクセス制限なども検討する必要があります。
さらに、事故が発生した場合に備えて、次の事項を決めておくことが大切です。
- 誰に報告するのか
- 誰が初動対応を行うのか
- 外部の専門家にどのように連絡するのか
- 取引先や顧客にどのように説明するのか
- 事業をどのように復旧させるのか
日頃から対応手順を決めておくことで、万が一の際にも落ち着いて行動できます。
3．個人情報が漏えいした場合、企業にはどのような責任があるのか
情報漏えいは、単にデータが外部に流出したという問題だけではありません。
企業には、個人情報保護法に基づく適切な情報管理が求められています。
同法では、一定の要件に該当する個人データの漏えい等が発生した場合、個人情報保護委員会への報告と本人への通知が義務付けられています。
例えば、次のようなケースが対象となります。
- 要配慮個人情報が漏えいした場合
- 財産的被害が発生するおそれがある場合
- 不正な目的による漏えいが発生した場合
- 1,000人を超える個人データが漏えいした場合
対象となる事態については、原則として速やかな速報と、その後の確報が必要です。速報は概ね3～5日以内、確報は原則30日以内、不正な目的による漏えい等の場合は60日以内とされています。
また、事故が発覚した場合には、被害拡大の防止、事実関係の調査、影響範囲の特定、再発防止策の検討なども必要です。
ここで重要なのは、事故が起きてから慌てて対応するのではなく、平常時から対応体制を整備しておくことです。
情報セキュリティ対策は、技術的な問題であると同時に、企業の法令遵守や危機管理にも関係する問題なのです。
4．今注目されている「SCS評価制度」とは？
ここで、企業経営者にぜひ知っていただきたい制度があります。
それが、経済産業省と内閣官房国家サイバー統括室が制度構築を進め、IPA（情報処理推進機構）が運営する「サプライチェーン強化に向けたセキュリティ対策評価制度」、通称「SCS評価制度」です。
この制度は、企業のサイバーセキュリティ対策を一定の基準に基づいて評価し、取引先を含むサプライチェーン全体のセキュリティ水準を向上させることを目的としています。
なぜSCS評価制度が必要なのか？
これまで、企業間取引におけるセキュリティ対策は、取引先ごとに異なるチェックリストや独自の基準で確認されることが少なくありませんでした。
その結果、次のような問題が生じていました。
委託元企業の悩み
- 取引先がどの程度のセキュリティ対策を実施しているのかわからない
- 自社の情報を安心して預けられるか判断しにくい
- 取引先の対策を確認するための負担が大きい
委託先企業の悩み
- 取引先ごとに異なるセキュリティ要求を求められる
- 同じような質問に何度も回答しなければならない
- どの程度まで対策すればよいのか判断しにくい
こうした課題を解決するために、共通の評価基準を設けようというのがSCS評価制度の考え方です。
企業が一定の評価を取得することで、自社のセキュリティ対策の状況を取引先に示しやすくなります。
特に、セキュリティ担当者や専門部署を十分に確保できない中小企業にとって、目指すべき対策水準が明確になるというメリットがあります。
SCS評価制度の星による3段階評価
SCS評価制度では、セキュリティ対策の水準を星の数によって示す仕組みが採用されています。
2026年11月時点で公表されている内容を整理すると、次のとおりです。
★3（星3）
一般的なサイバー攻撃に対処するため、すべてのサプライチェーン企業が最低限実施すべきセキュリティ対策を示す段階です。
- 要求事項：26項目
- 有効期間：1年間
- 評価方法：自己評価に対する専門家の確認
まずは、企業が基本的なセキュリティ対策を整備するための目標となります。
★4（星4）
サプライチェーンに大きな影響を与える企業などを想定し、標準的に目指すべき、より高度なセキュリティ対策を示す段階です。
- 要求事項：43項目
- 有効期間：3年間
- 評価方法：第三者評価
文書確認だけでなく、実地審査や技術検証（脆弱性検査）も行われます。
★5（星5）
より高度なサイバー攻撃への対応を想定した段階です。
自社のリスクを適切に把握・管理し、ベストプラクティスに基づく対策を実施することが想定されています。
なお、2026年11月時点では、具体的な要求事項などは今後の検討事項となっています。
また、上位の段階は下位の段階の要求事項を包括する仕組みであり、★3を取得してからでなければ★4を取得できないという制度ではありません。
SCS評価制度で確認される7つの分野
SCS評価制度の要求事項は、大きく7つの分野に分類されています。
- ガバナンスの整備
- 取引先管理
- リスクの特定
- 攻撃等の防御
- 攻撃等の検知
- インシデントへの対応
- インシデントからの復旧
これを見ると、単にウイルス対策ソフトを導入したり、ファイアウォールを設置したりするだけでは不十分であることがわかります。
会社として情報セキュリティに関する責任者を定め、取引先を管理し、リスクを把握し、事故が発生した際の対応や復旧まで考えておく必要があるのです。
つまり、SCS評価制度は、企業の情報セキュリティ対策を経営管理の視点から見直す機会にもなるといえるでしょう。
5．中小企業はSCS評価制度にどう備えるべきか？
「うちは小さな会社だから、そこまでの対策は必要ない」
そう考える経営者もいるかもしれません。
しかし、これからは中小企業であっても、取引先から一定のセキュリティ対策を求められる可能性があります。
特に、大企業や自治体などと取引をしている場合、委託先のセキュリティ対策が契約や取引継続の条件に関係してくることも考えられます。
では、何から始めればよいのでしょうか。
ステップ1：自社が保有する情報を確認する
まず、自社がどのような情報を保有しているのか整理しましょう。
- 顧客情報
- 従業員の個人情報
- 取引先の情報
- 契約書や見積書
- 財務・会計情報
- 業務上の機密情報
これらの情報が、どこに保存され、誰がアクセスできるのかを確認します。
ステップ2：情報セキュリティの責任者を決める
専門的なIT担当者がいなくても、社内で責任者を決めることはできます。
重要なのは、何か問題が発生したときに、誰が判断し、誰に報告するのかを明確にしておくことです。
ステップ3：社内ルールを整備する
パスワード管理、メールの利用、データの保存、外部サービスの利用、情報の持ち出しなどについて、社内ルールを作成します。
難しい規程を作ることが目的ではありません。
従業員一人ひとりが、何をしてよいのか、何をしてはいけないのかを理解できることが大切です。
ステップ4：取引先との契約内容を確認する
情報セキュリティ対策は、契約関係とも深く結びついています。
例えば、業務委託契約において、個人情報や機密情報の管理方法、事故発生時の報告義務、再委託の条件、契約終了後のデータの取扱いなどが適切に定められているでしょうか。
契約書の内容と実際の業務運用が一致しているかどうかも確認する必要があります。
ステップ5：SCS評価制度の要求事項を確認する
いきなり評価取得を目指す必要はありません。
まずはIPAが公表している★3・★4の要求事項や評価基準、解説書を確認し、自社の現状と比較してみましょう。
どの対策ができていて、どの対策が不足しているのかを把握することが第一歩です。
そのうえで、自社の事業規模や取引先から求められる水準に応じて、段階的に対策を進めることをおすすめします。
6．情報セキュリティは、企業の信頼を守るための経営課題
ここまで、サイバーセキュリティの基礎知識とSCS評価制度について解説してきました。
最後に、特にお伝えしたいことがあります。
それは、情報セキュリティ対策を、単なる費用や負担として考えないでいただきたいということです。
企業が保有する情報には、お客様の個人情報、取引先との契約情報、従業員の情報など、多くの人から預かった大切な情報が含まれています。
その情報を適切に管理することは、企業としての責任であり、信頼関係の基本でもあります。
また、情報セキュリティ対策を適切に実施していることは、取引先に対する安心材料にもなります。
これからの企業間取引では、商品やサービスの品質、価格、納期だけでなく、
「この会社に安心して情報を預けられるか」
という視点も重要になっていくでしょう。
SCS評価制度は、そうした時代の変化に対応するための一つの指標です。
特に中小企業にとっては、自社の情報管理体制を見直し、取引先との信頼関係を強化するよい機会になると考えます。
まずは、できることから始めましょう
サイバー攻撃や個人情報漏えいは、どの企業にも起こり得る問題です。
大切なのは、被害を完全に防ぐことだけではありません。
日頃から情報を適切に管理し、リスクを把握し、万が一の事態に備えることです。
今回ご紹介した内容を、ぜひ自社の情報セキュリティ対策を見直すきっかけにしてください。
- パスワードやアクセス権限は適切に管理されているか
- ソフトウェアの更新は実施されているか
- 個人情報や機密情報の保管場所は明確か
- 従業員への情報セキュリティ教育は行われているか
- 事故が発生した場合の対応手順は決まっているか
- 取引先との契約で情報管理の責任が明確になっているか
一つひとつは小さな取り組みでも、積み重ねることで企業の安全性と信頼性を高めることができます。
「情報を守ることは、会社の未来を守ること」
これからの時代、情報セキュリティ対策は、企業の規模を問わず取り組むべき重要な経営課題です。
まずは自社の現状を確認し、できることから一歩ずつ始めてみませんか。
参考情報
本記事の制度解説は、2026年11月時点の公表情報を参考にしています。
- IPA「情報セキュリティ10大脅威 2026」
- IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
- IPA「SCS評価制度 要求事項・評価基準」
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
※制度の要求事項や運用方法は変更される可能性があります。実際の評価取得を検討する場合は、IPAの最新公表資料をご確認ください。
