サプライチェーン攻撃
さぷらいちぇーんこうげき ／ Supply Chain Attack ／ 攻撃と事故の種類
サプライチェーン攻撃とは、標的の組織を直接ねらうのではなく、取引先、委託先、利用しているソフトウェアやサービスの提供元などを経由して侵入・攻撃する手口です。
英語：Supply Chain Attack
「サプライチェーン攻撃」の概要
狙った会社を直接攻撃するのではなく、その会社の取引先や委託先、使っているソフトウェアの提供元などを経由して攻撃する手口です。
サプライチェーンとは、製品やサービスが届くまでにかかわる会社のつながりのことです。大企業や病院は対策が進んでいても、つながっている中小の取引先や保守業者の対策が手薄なことがあり、そこが入口として狙われます。委託先で起きた事故でも、委託した側が説明や報告を求められることがあります。
要点
- IPAの「情報セキュリティ10大脅威（組織編）」で、上位に挙げられています。
- セキュリティ対策が比較的手薄な中小の取引先が、入口としてねらわれることがあります。
- 委託先で起きた事故でも、委託元が個人情報保護委員会への報告や本人通知を行う必要が生じることがあります。
主な類型
| 類型 | 例 |
|---|---|
| 取引先・関連会社を経由する | 取引先のネットワークから、接続している本社のネットワークに侵入する |
| 委託先を経由する | システムの保守会社の遠隔保守の経路から、病院のシステムに侵入する |
| ソフトウェアを経由する | 正規のソフトウェアの更新プログラムに、不正なコードを埋め込む |
委託先で事故が起きた場合
個人データの取扱いを委託している場合、委託先での漏えい等でも、委託元が報告義務を負うことがあります。委託先から速やかに連絡を受けられるよう、契約で連絡の期限と方法を定めておく必要があります。
実務のポイント
- 委託先との契約に、事故発生時の連絡の期限と方法を入れます。
- 外部から接続できる保守用の経路を一覧にし、管理します。
- 主要な委託先とは、連絡体制を共同で確認します。
GuardPlanでできること
GuardPlanは、委託先や外部の専門家を、必要な範囲に限った権限で招待し、事故の情報を共有することを支援します。委託先で起きた事故でも、委託元としての報告や説明に必要な経緯を記録できます。
関連用語
参考資料
執筆：GuardPlan編集部 最終更新日：2026年11月4日