株式会社インターネットイニシアティブ
サービスプロダクト推進本部 営業推進部
セキュリティソリューション課
西川 礁太氏
サプライチェーン攻撃がますます深刻化している。国内でも取引先の中小企業が狙われ、工場の操業停止や製品の出荷停止に追い込まれた事案が多数発生した。「サプライチェーン攻撃は自社の事業継続だけでなく、関連企業や一般の消費者にまで影響が及ぶ可能性を含んでいます。社会全体に与えるインパクトは非常に大きい」とインターネットイニシアティブ（以下、IIJ）の西川 礁太氏は指摘する。
こうしたことから産業界では各社のセキュリティー対策状況の把握に努めている。しかし、ここに課題がある。「対策状況の確認には一般にチェックリストが使われますが、現状では標準といえるような対策基準が定まっていないのです」と西川氏は語る。
その結果、受注企業は複数の発注企業から異なる対策水準を要求される。発注企業も明確な基準がないままチェックリストを作成し評価しなければならないため、取引先の対策状況を正確に把握できずにいる。
そこで経済産業省が策定を進めているのが「サプライチェーン強化に向けたセキュリティ対策評価制度」（以下、セキュリティ対策評価制度）だ。取引先のセキュリティー対策状況を標準的な基準で客観的に評価し、それを可視化できるようにする。企業間でのセキュリティー対策状況の共有や、適切なセキュリティー対策の実施を促すことで、サプライチェーン全体のセキュリティー強化を目指す。
発注企業は取引先に求めるセキュリティー対策の内容や水準の決定、実施状況の把握が容易になる。受注企業は発注企業に対して、自社のセキュリティー対策状況を客観的かつ正確に示すことができる。
ただし、受注企業に対して求める対策レベルが、発注企業の“選定基準”として活用される可能性もある。対策レベルを満たせなければ、ビジネスへの影響も懸念される。チェックを受ける受注企業は制度対応を重要事項と位置付ける必要があるだろう。
