関連するソリューション
セキュリティサービス
セキュリティ製品
サイバー・セキュリティ・ソリューション部
テクニカルスペシャリスト 輿石 香豪 
こんにちは。梅雨明けを感じる暑い日々が続き、夏本番を迎えようとしています。暑い日が続くこの時期は、通勤や外出だけでも汗ばむ日が増え、冷たい飲み物やアイスが欲しくなる季節となりました。
先日、全国展開するコーヒーチェーンで期間限定の桃の果肉がごろごろ入ったソーダを注文したときに店員が話しかけてきました。
「去年も販売していた商品で、今年も出ました。シナモンを追加でトッピングするとクラフトコーラみたいな感じになっておいしいですよ」と言っていました。
（桃の炭酸にシナモン？麦茶に牛乳的なものか？？と少し考えながら）
「あぁ、そうなんですね。今度試してみますー」と社交辞令的なお返事をしました。
シトラスも入っているので、クラフトコーラ的な感じになるのかなと思いつつ、ぜひ試してみたいですが、なかなか試す機会が訪れないものですね。とても参考になりました。
アイスもチキンも届かない日 ― 相次ぐサプライチェーンへの攻撃
もっとも、このような何気ない飲み物や食事を私たちが当たり前のように楽しめるのは、多くの企業や物流業者に支えられ、サプライチェーンが正常に機能しているからでもあります。普段は意識することはないかもしれませんが、店舗に商品が並び、オンラインで注文した商品が予定どおり届くという日常の裏で、食品メーカー、物流業者、小売業者など、多くの企業が一体となってサプライチェーンを支えています。
しかし近年、その当たり前の日常を支えるサプライチェーンが、サイバー攻撃によって大きな影響を受ける事例が相次いでいます。
2025年9月には、アサヒグループホールディングスがランサムウェア攻撃を受け、受注・出荷業務やコールセンター業務に影響が発生しました。その後の調査では、顧客情報や従業員情報などを含む約191万件に影響が及ぶ可能性が公表され、情報漏えいだけでなく、生産や物流、企業ブランドにまで影響が及ぶ大規模なインシデントとなりました。さらに、一部商品の供給や新商品への施策にも影響が生じるなど、サイバー攻撃が企業活動そのものに直結することを示す事例となりました。
2026年7月8日の決算会見では、事業利益への影響が約200億円、システム復旧費用や販促キャンセル費用などが約170億円に上り、合計で400億円弱の損失が見込まれることも明らかにしました。
2025年10月には、アスクルがランサムウェア攻撃を受け、受注・出荷業務の停止を余儀なくされました。アスクルは通販事業者として知られていますが、その実態は多くの企業の物流を支える重要な物流基盤でした。
この影響はアスクル単体に留まらず、物流業務を委託していた無印良品やロフトなどのネット販売にも波及し、一社への攻撃が複数企業のサービス停止につながるという、サプライチェーンリスクの現実を強く印象付ける出来事となりました。
2026年7月3日の決算発表では特別損失としてシステム障害対応費用51億円を計上、物流システムの停止により稼働できなかった設備やソフトウェアに係る減価償却費を約13億円計上しており、これらを合わせた損失額は約64億円に達しました。
そして2026年7月13日には、ニチレイグループで発生した不正アクセスによるシステム障害が大きく報じられました。
ニチレイ社への不正アクセスにより、ニチレイロジグループ各社の冷蔵倉庫の入出庫業務やニチレイフーズ社の冷凍食品出荷業務に影響が発生し、その結果、日本ケンタッキー・フライド・チキン（KFC）は各店舗において商品の一部品切れや販売メニューの制限、営業時間の短縮、一時休業の可能性を公表する事態となりました。
KFC自身が攻撃を受けたわけではありませんが、物流委託先のシステム障害によって商品の供給が滞り、自社の事業活動に直接的な影響を受ける結果となりました。
さらに影響はKFCだけではありませんでした。
報道によれば、イオンでは一部商品の供給に影響が生じたほか、回転ずしのくら寿司では一部食材の調達に影響が発生する可能性が発表されました。冷凍食品やあずきバーなどのアイスを取り扱う井村屋においても物流面で影響が生じるなど、サプライチェーン上で発生した不正アクセスによるシステム障害が複数の企業へ連鎖的に波及する事態となりました。
これらの企業に共通しているのは、自社の情報システムが攻撃を受けたわけではない点です。にもかかわらず、物流を支える重要なインフラが停止したことによって、商品供給や店舗運営、販売活動に影響が及びました。
サイバー攻撃は「情報漏えい」を問題として語られることが多いですが、近年は、物流停止、出荷停止、店舗運営への影響、売上機会の損失など、企業活動そのものに直結する経営リスクへと変化しています。
サプライチェーン全体で備える「SCS評価制度」
こうした状況を受けて、近年注目されているのが、経済産業省が推進する「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」です。
SCS評価制度は、自社だけではなく取引先や委託先を含めたサプライチェーン全体のセキュリティレベル向上を目的としており、企業が実施するセキュリティ対策を一定の基準で評価・可視化する仕組みです。従来のように各社が個別に対策を進めるだけではなく、サプライチェーン全体として一定水準以上の対策を確保することを目指しています。
アサヒグループホールディングス、アスクル、ニチレイの事例が示すように、現在のサイバー攻撃による被害は一社だけで完結するものではありません。攻撃やシステム障害の影響は取引先や委託先、顧客企業へと連鎖的に波及し、最終的には我々消費者の日常生活に影響を及ぼします。そのため、自社のセキュリティ対策だけを考える時代から、サプライチェーン全体のレジリエンスを高める時代へと変化してきています。
「情シスの仕事」から「経営課題」へ ― 問われる組織体制
そして、近年では情報システム部門とは別に、経営層直下またはリスク管理部門配下でサイバーセキュリティを統括する組織を設置する企業も増えています。
CISO（Chief Information Security Officer：最高情報セキュリティ責任者）を中心としたサイバーセキュリティ推進組織や、サイバー統括室、サイバーリスク管理部、CSIRT（Computer Security Incident Response Team：シーサート）といった専門組織です。
もちろん、すべての企業が大規模な専門部署を設置できるわけではありません。
しかし、「サイバーセキュリティは情報システム部門の仕事」という考え方から、「経営課題として組織横断で取り組むテーマ」へと捉え方を変えることは、企業規模に関係なく可能です。
自社にサイバーセキュリティ推進組織のようなセキュリティを専門とする組織は存在するでしょうか。あるいは、その役割を担う責任者や会議体は設置されているでしょうか。
SCS評価制度においても、技術的なセキュリティ対策だけではなく、組織体制やガバナンスの整備が重要な評価項目として位置付けられています。
例えば、★3の要求事項No.「1-2-1」では
- セキュリティ推進活動を担当する部署、役員及び従業員を決定し、責任及び権限を割り当てること。
としており、その評価基準は、
| 評価基準No. | 評価基準 |
|---|---|
| 1-2-1-1 | セキュリティを統括する役員（例えば、CISOを設置する会社の場合は、当該CISO）及びセキュリティ担当部署の役割・責任を定めること。 |
| 1-2-1-2 | 平時のセキュリティ推進活動に必要な役員（例えば、CISOを設置する会社の場合は、当該CISO）及びセキュリティ担当部署の連絡先リストを定めること。 |
| 1-2-1-3 | 年1回以上の頻度でNo.1-2-1-1及びNo.1-2-1-2にて定めた平時の体制について点検すること。 |
IPA（情報処理推進機構） ★3・★4 要求事項・評価基準シートより
となっています。
★4では「ガバナンスの整備」、「取引先管理」、「リスクの特定」、「攻撃の防御」など、さらに包括的な対策が求められており、サイバーセキュリティを情報システム部門だけの課題ではなく、経営・事業部門を含めた全社的な取り組みとして位置付けています。
つまりSCS評価制度は、単にファイアウォールやEDRを導入しているかではなく、『誰が責任者で、どの部署が推進し、どのような体制で継続的に運営しているか』まで評価対象としています。
脅威を知り、資産を可視化し、全体で底上げする
こうしたSCS評価制度や組織体制の整備を進める上で重要になるのが、自社や取引先を取り巻く脅威を正しく把握することです。
前回のコラムでは、サイバー攻撃者の動向や攻撃キャンペーン、悪用されている脆弱性、漏えいした認証情報などを収集・分析し、自社を取り巻く脅威を把握する「脅威インテリジェンス（Threat Intelligence）」についてご紹介しました。
脅威インテリジェンスは、組織が直面する可能性のあるリスクをいち早く察知するためのサイバーリスクの早期警戒システムとも言える存在です。
しかし、脅威を把握することと、その脅威にさらされている資産を把握することは別の課題です。
そこで注目されているのが、ASM（Attack Surface Management：アタックサーフェスマネジメント）です。ASMは、自社が把握していないIT資産やインターネット公開資産を発見し、攻撃者と同じ視点でリスクを確認する考え方です。企業が利用するクラウド環境や外部公開システムは年々増加しており、管理が行き届いていないシステムや設定不備が攻撃の入口となるケースも少なくありません。
ASMは自社のみならずグループ企業や関係会社を含めた外部公開資産を継続的に監視し、脆弱性や設定不備の早期発見につなげる管理ソリューションとして注目されています。
しかし、脅威インテリジェンスによって脅威を把握し、ASMによって自社のリスクを可視化できたとしても、それだけでサプライチェーン全体の安全が確保されるわけではありません。アサヒグループホールディングス、アスクル、ニチレイの事例が示すように、サプライチェーンを構成する一社のセキュリティ対策が不十分であれば、その影響は取引先や顧客企業へと連鎖的に波及します。
そのため、脅威インテリジェンス、ASM、そしてSCS評価制度は、それぞれが独立した取り組みではなく、サプライチェーン全体のサイバーレジリエンスを高めるための相互補完的な仕組みとして活用することが重要です。
脅威インテリジェンスによって外部の脅威を把握し、ASMによって自社やグループ企業のリスクを可視化し、さらにSCS評価制度によって取引先を含めたサプライチェーン全体のセキュリティレベルを底上げする――。これらを連携させることで、より実効性の高いサイバーセキュリティ対策が実現し、変化し続ける脅威へのレジリエンス強化にもつながるでしょう。
最後に
サイバー攻撃の手法や標的は日々変化しており、企業を取り巻くリスクも複雑化・高度化しています。その一方で、セキュリティ対策に万能な解決策や特効薬は存在しません。重要なのは、自社の事業特性やリスク環境を踏まえ、セキュリティ施策の優先順位を定めながら組織・人・技術・予算の各側面を考慮し、継続的な改善を重ねていくことです。
また、近年のインシデントが示しているように、サイバーリスクはもはや一社だけの問題ではありません。自社のセキュリティ対策に加え、取引先や委託先を含めたサプライチェーン全体のレジリエンスを高めていくことが、企業活動を継続するうえでますます重要になるでしょう。
桃のソーダやアイス、フライドチキンを私たちが当たり前に楽しめるのも、多くの企業や物流事業者、そしてその裏側を支えるシステムが正常に機能しているからこそです。
それでは、また次回お会いしましょう！
弊社サービス紹介
・脅威インテリジェンス活用支援サービス
最新の攻撃動向や脅威情報を収集・分析し、組織に影響を与えるリスクの早期把握を支援いたします。
https://www.idnet.co.jp/service/Intelligence.html
・セキュリティ診断サービス（脆弱性診断）
Webサイトやシステムの脆弱性を発見し、サイバー攻撃の入口となるリスクの低減を支援いたします。
https://www.idnet.co.jp/service/assessment.html
・ID-Ashura
インターネット上に公開された資産や潜在的なリスクを可視化し、攻撃対象領域の継続的な管理を支援いたします。
https://www.idnet.co.jp/service/id-ashura.html
当サイトの内容、テキスト、画像等の転載・転記・使用する場合は問い合わせよりご連絡下さい。
エンジニアによるコラムやIDグループからのお知らせなどを
メルマガでお届けしています。
