自社がしっかり守っていても、取引先や、使っているサービスが破られれば、自社の顧客の情報が漏れます。反対に、自社が破られれば、取引先に迷惑をかけます。会社どうしが仕事とデータでつながっている以上、守りも 1 社では完結しません。
この回では、取引先から「どこまで対策していますか」と聞かれたときに備えて、何から始めればよいかを書きます。結論を先に言うと、最初の一歩は、無料でできる自己宣言の制度「SECURITY ACTION」です。そのうえで、国が用意している新しい評価制度の「星 3 つ（★3）」に向けて、自社を点検していきます。
サプライチェーン攻撃と、なぜ今なのか
サプライチェーン攻撃は、狙った会社を直接攻めるのではなく、その会社とつながっている取引先・委託先・使っているサービスを足がかりにする攻撃です。守りの固い大企業より、つながっている先の小さな会社や、多くの会社が使うサービスのほうが入りやすい、という考え方です。
2026 年は、この形の被害が目立ちました。第 0 回で書いたとおり、予約や EC の仕組みを多くの店舗に提供するサービスが破られ、数千店舗分の顧客の情報が一度に漏れる事案が続いています。10 月には、FAQ のシステムの管理画面に入られ、同じサーバーにあった利用企業 5 社のデータが取得された可能性がある、と公表された例もありました。世界の侵害を分析した Verizon の 2026 年版の調査では、委託先などの第三者が関わる侵害が全体の 48% になり、前の年の 30% から大きく増えています。
発注する側から見ると、自社の対策だけでなく、取引先の対策も、自社の顧客を守れるかどうかを左右します。10 月 9 日の IPA の注意喚起も、使っている外部のサービスを洗い出すよう求めていました。これからは、取引先から対策を確かめられる場面が増えます。国も、その確かめ方をそろえる新しい制度を用意しています。