事業継続の鍵を握るサプライチェーンのレジリエンス　企業の信頼を守り抜く「サードパーティーリスクマネジメント」とは

経済産業省が進める
サプライチェーン全体のサイバーセキュリティ対策

委託先が抱えるリスクを多面的に評価し、自社や業務の存続を脅かしかねないリスクを最小化することがサプライチェーン全体の安全性を確保する上で重要となる。その管理を徹底するためには、委託元が相応のリソースを投入して、委託先のリスク対応状況を継続的に調査しなければならない。

しかし、「調査のための予算や人員などのリソースには限界があり、評価やモニタリングが思うように行き届かないのが実情だと言えます」と語るのは、経済産業省 商務情報政策局 サイバーセキュリティ課 課長補佐の大久保佐太郎氏である。

実のところ、こうした委託先への調査は、調査を受ける委託先側にも相当な負担を強いている。経済産業省が、あるコンソーシアムに参加している大手企業23社にアンケートを行ったところ、約7割の大手企業が、委託先に対してセキュリティ対策評価のための調査を実施していると回答した。これほど多くの大企業が調査を行っているということは、委託先も複数企業からの調査の要請に応えている可能性が高いということだ。

「複数の取引先から様々な対策を要求されることは、中堅・中小企業も多い委託先にとって過分な負担となっています。そこで経済産業省では、発注側と受注側双方にとって『共通のものさし』となるセキュリティ対策の評価制度づくりを進めており、2026年度末ごろに運用を開始する予定です」と大久保氏は語る。

これは、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」と呼ばれるもので、サプライチェーンを構成する企業等のIT基盤（クラウドを含む）に適切なセキュリティ対策が講じられているかどうかを可視化するための制度だ。

経済産業省は、サプライチェーン間の結びつきが強固で複雑な製造業や、流通、金融業等で優先的にこの制度の利用を促進する方針であり、「金融業界のTPRMを高度化、効率化する効果も期待できると考えます」と大久保氏は説明する。

SCS評価制度では、サプライチェーン企業のセキュリティ対策について、「ガバナンスの整備」「取引先管理」「リスクの特定」「攻撃等の防御」「攻撃等の検知」「インシデントへの対応」「インシデントからの復旧」の7項目を評価。対応状況に応じて星（★）の数で可視化を行う。「★3」は「全サプライチェーン企業が最低限実装すべき対策」、「★4」は「標準的に目指すべき対策」と定義されている。

大久保氏は、制度の普及に向けた具体的な支援策とコスト負担の考え方についても言及した。「中小企業が円滑に★を取得できるよう、現状診断からITツールの導入、専門家による人的支援までをパッケージ化した『サイバーセキュリティお助け隊サービス（新類型）』の枠組みを構築中です」。

さらに、多くの企業が懸念するコスト負担については、「公正取引委員会と連携し、対策費用を適切に価格交渉・合意するための想定事例及び解説を整備しました。セキュリティ対策経費は物件費や人件費と同様の間接経費として計上され得るものであり、発注者と受注者がパートナーシップを築いて円満に費用負担を解決できる環境づくりを推進しています。こうした仕組みを最大限に活用し、サプライチェーン全体の安全性を共に高めていただきたい」と締めくくった。

デロイト トーマツ×ServiceNowで実現する
TPRMプラットフォームの可能性

TPRMを高度化させるためには、委託先への調査を含めて多大なリソースが不可欠となる。国内外共に限られたリソースの中で、効率化と高度化を両立するために最新技術の活用が加速している。

「海外の取り組み事例の中には、日本の金融機関や金融業界の参考になるものがいくつもあります」と語るのは、デロイト トーマツのシニアマネジャーの大関 聡氏である。

例えば英国では、政府が定めたサイバーセキュリティ認証制度である「Cyber Essentials」（以下、CE制度）を、政府調達のみならず民間企業においても調達要件等に採用する動きが広がっている。

「『Cyber Essentials』の認証取得をサプライヤー選定や取引の条件とすることで委託先にも一定の対策を促し、自社のTPRMを高度化する取り組みが実施されています。日本においても経済産業省が制度化を進めている『SCS評価制度』のような認証制度を活用・参照することで、日本の金融機関のTPRMにも応用できる可能性があります」

続けて、大関氏は北米の金融機関において、個社の対応による「自助」だけではない「共助」によるTPRM高度化の事例を紹介した。

「金融機関同士が『共助』している例を挙げ、調査項目の標準化や評価結果のシェアを推進しています。業界全体で重複作業を排除し、コスト削減とリスク低減を両立しています」

また、中小企業のサプライチェーンサイバーリスク管理においては、サイバー保険やASM（Attack Surface Management：攻撃対象領域管理）がサプライチェーンサイバーセキュリティに活用されているという。

「米国では大企業がASMツールを用いて委託先のセキュリティ対策を評価するほか、サイバー保険の加入を取引上義務付けることが一般化しています。サイバー保険会社もASMを用いて引き受け審査を行っており、保険加入が企業そのもののセキュリティの信頼性を示しているほか、早期のインシデント対応にも寄与しています。

英国のCE制度においても、中小企業の認証取得企業には24時間365日のインシデントホットラインとサイバー保険が提供されています」

大関氏は、「最新テクノロジーによるTPRMプラットフォームやASMツール・サイバー保険の活用は、単に予防をするだけではなく、何かが起きたときにレジリエンス（回復力）を高めるための有効な手段の一つだと言えます」と評価する。

そうしたTPRMプラットフォームは、デロイト トーマツも提供している。ServiceNowを基盤とし、海外の取り組み事例を参考にしながら、国内金融業界のTPRMの高度化、効率化に寄与するものだ。

「委託先集中リスクや地政学リスクの分析、再委託先を含む包括的なリスク管理など、広範囲にわたるサードパーティリスクを管理できるTPRMプラットフォームです。他のツールが個別に対応する機能をすべて包括的に有しており、金融業界の運用課題をこれ１つで全方位的に解決できることをコンセプトとしています」と説明するのは、デロイト トーマツ シニアマネジャーの田中允崇氏である。

デロイト トーマツが提供しているTPRMプラットフォームはServiceNowを基盤としながら、日本の金融業界の企業が使いやすいよう、国内の業務慣行に合わせて事前に設定がされており、早期に利用を開始できるという。

「これにより、発注元から再委託先までのやり取りも、メールやエクセルを使わずプラットフォーム上で迅速かつスムーズに完結します。さらに、日本の金融機関の業務目線に立ち、AIエージェントによる自動化やリスク評価の高度化をすでに機能として取り入れており、今後もさらなる業務負荷削減と管理態勢の強化に向けて、継続的に投資・強化していきます」

このほかデロイト トーマツは、専門知見を生かして金融機関のTPRMのオペレーションや委託先のアセスメント、リスク評価チェック項目の更新などを支援するマネージドサービスも提供している。

田中氏は、「専門人材不足がボトルネックとなって、高度なTPRMを実現できていない金融機関も少なくありません。デロイト トーマツは、TPRMプラットフォームの構築までトータルに支援できますので、お気軽にご相談ください」と呼び掛けた。

最後に大関氏は、「デロイト トーマツは、個々の金融機関の解決策を提案し、伴走支援をするだけでなく、日本の金融業界全体としてTPRMを高度化させるための業界団体への支援や課題解決を手掛けていきます。ぜひ、ご期待ください」と語った。