トップ ＞ 取引先経由の攻撃：小さな会社が先に決めておくこと
取引先経由の攻撃：小さな会社が先に決めておくこと
結論まず、IPAの5分診断で自社の対策状況を知り、結果を取引先に説明できる形にしておくことです。2026年の「10大脅威」組織編で、サプライチェーンや委託先を狙った攻撃は第2位でした。
なぜ小さな会社も関係あるのですか
守りの固い大きな会社の代わりに、取引先や委託先など守りが弱いところから入り込む攻撃があるためです。
自社が小さくても、取引先への入り口として狙われることがあります。
先に決めておくこと
① 自社診断：IPAの「5分でできる情報セキュリティ自社診断」で、いまの状況を把握します。
② 宣言：診断を実施すると「SECURITY ACTION」の二つ星を宣言できます。取引先に取り組みを示す材料になります。
③ 連絡先：取引先に何かあったとき、誰がどこへ連絡するかを決めておきます。
迷ったら
対策の判断に迷うときは、委託先のIT会社や、JPCERT/CC などの公的な窓口に相談してください。
用語をやさしく確認する
サプライチェーン攻撃守りの固い会社ではなく、取引先や委託先など、守りが弱いところから入り込む攻撃です。SECURITY ACTION（セキュリティ・アクション）中小企業が、自社の情報セキュリティ対策に取り組むことを宣言する、IPAの制度です。ランサムウェアパソコンやサーバーの中のデータを使えなくして、元に戻す代わりにお金を要求する不正なプログラムです。ソフトの更新（アップデート）見つかった欠陥を直した最新の状態にして、そこから入られないようにするためです。脆弱性（ぜいじゃくせい）ソフトやシステムにある、攻撃者に悪用されうる「欠陥」のことです。
出典（確認日 2026/11/07）
- IPA「情報セキュリティ10大脅威 2026」：組織編の順位（2026年1月29日発表）
- IPA「5分でできる！情報セキュリティ自社診断」：中小企業の情報セキュリティ対策ガイドライン（付録3）
- IPA「SECURITY ACTION 二つ星」：自己診断（25項目）と基本方針の公開を宣言する制度
一般的な情報です。個別の状況への助言ではありません。被害に遭ったときや判断に迷うときは、委託先のIT会社や、JPCERT/CC などの公的な窓口に相談してください。