セキュリティ

自社は無傷でも事業は止まる。サードパーティリスク管理が、点検項目の先頭に来た

自社のサーバーは無事でした、と言える事故が増えています。侵害されたのは委託先、使っていたSaaS、あるいは部品を納めているメーカー。それでも事業は止まり、顧客への説明責任は自社に来る。この記事では、サードパーティ起因のインシデントがどこで自社の問題に変わるのかを、公表されている事例と制度の動きから整理します。

点検項目として名指しされた

金融庁は2026年10月9日、「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」という注意喚起を公表しました。宛先は「金融機関等」です。

1点目に挙げられているのが、内閣官房国家サイバー統括室の注意喚起等を踏まえ、「サードパーティリスク管理やインシデントが起きた場合の対応態勢も含めたサイバーセキュリティ対策について、点検すること」という要請です。不十分な点があれば、リスクに応じて速やかに措置するよう求めています。

2点目は非対面の本人確認について。本人確認書類の画像と顧客の容貌の画像に不自然な点がないか、改めて確認を徹底すること。3点目は、犯罪収益移転防止法施行規則の改正により本人確認書類の画像送信による方法が廃止され、ICチップ情報の読取に原則一本化されること（施行日は令和9年4月1日）、そして「施行日を待たず、可及的速やかな対応を図ること」。

2点目・3点目はディープフェイクを含む本人確認の突破を念頭に置いた内容と読めます。サードパーティリスクと本人確認が同じ文書で並んでいること自体が、攻撃の入口が「自社の外」に移っていることを示しています。

委託先1社が止まると、何が起きるか

規模感のわかる例を3つ挙げます。

• 装置サプライヤ（2023年2月）／半導体製造装置の部材を手がけるMKS Instrumentsがランサムウェア攻撃で操業を妨害。顧客であるApplied Materialsに四半期で約2.5億ドルの影響があったとする推定が複数の報道で引用されている（同社の開示文書では未確認）
• ソフトウェア更新経由（2025年7月）／CloudSEKのレポートによれば、改ざんされたソフトウェアアップデートを経由して複数の台湾のチップメーカーに侵入し、設計データとプロセスデータが窃取された。被害企業名は非公表
• 預けた実行環境（2026年10月）／GMO「お名前.com デスクトップクラウド」への不正アクセスで、顧客から取引口座での不正操作の報告。GMOは取引所・証券会社に対し、本サービス経由のアクセス遮断と全アクティブセッションの強制切断を要請した

3つに共通するのは、被害の発生場所と、損害が出る場所が違うことです。自社のセキュリティ投資をいくら積んでも、この構造そのものは変わりません。

どこで「自社の問題」に変わるのか

委託先の事故が自社の事故になる経路は、おおむね4つに分類できます。

1. 可用性：委託先が止まると自社のサービスが止まる。SaaS、決済、認証基盤、CDN。代替手段がなければ、復旧時刻を自社で決められない
2. データ：預けたデータが持ち出される。自社が通知義務を負うのは、多くの場合データの管理者である自社側
3. 踏み台：委託先経由で自社の環境に入られる。VPN、運用委託の管理者アカウント、ソフトウェア更新の経路
4. 信頼：自社の名前で顧客に説明する立場になる。「委託先の問題です」は、顧客から見れば調達の判断の問題

4つとも、事故が起きてから分類していては遅い。契約の時点で、どの経路が開いているかを数えておくのが、この領域の仕事の実体です。

契約と設計でできること

実務でできることを、契約側と設計側に分けます。

契約側

• 報告の期限／インシデント認知から何時間で連絡が来るか。自社が法令上30日以内に詳報を出す立場なら、委託先の報告期限はそれより十分短くなければ意味がない
• 調査への協力／ログの提供範囲、保持期間、フォレンジックへの協力義務
• 再委託の可視化／誰にどこまで再委託されているか。再委託先の事故も同じ経路で自社に届く
• 終了時の出口／契約終了・事業者側の停止時に、データを取り出せるか、どの形式で、何日以内に

設計側

• 権限の最小化／委託先に渡しているアカウントの権限範囲。運用委託に本番の全権を渡していないか
• 経路の限定／委託先からのアクセス元IP、接続時間帯、踏み台の有無
• セッションの失効／委託先起因で緊急遮断する場合に、発行済みトークンを一括で失効させられるか
• 切り戻し先／主要な外部依存それぞれについて、止まったときに何時間で代替に移れるか。移れないなら、それが実質的な事業の停止時間

義務は、契約を通じて下へ流れる

法令上の義務は、直接の名宛人だけで止まりません。契約条項の形で委託先へ流れます。サイバー対処能力強化法を例に、流れ方を追ってみます。

• 名宛人／基幹インフラ15分野の約258事業者（特別社会基盤事業者）。電気48、金融64、港湾32、ガス25、水道23、石油18、電気通信10など
• 課される義務／特定重要電子計算機の届出（導入から4月以内、施行時点で導入済みのものは令和9年3月31日まで）と、特定侵害事象等の報告
• 報告の期限／速報は「速やかに」、詳報は30日以内と報じられている
• 罰則／報告を行わず是正命令にも従わない場合は200万円以下の罰金

ここで、名宛人が自社で完結できない部分を考えます。届出の対象は「導入している機器」ですが、運用を委託していれば、何が入っているかを知っているのは委託先です。報告の起点は「認知」ですが、監視を委託していれば、最初に気づくのも委託先です。

したがって義務は、次の形で降りてきます。

1. 資産情報の提供義務：どの機器のどのOS・ミドルウェア・アプリが入っているかを、定期的に報告させる条項
2. インシデント通知の期限：発注元が30日以内に詳報を出すなら、委託先の報告期限はそれより十分短くなければ成立しない
3. 調査協力義務：ログの提供範囲、保持期間、フォレンジックへの協力
4. 再委託の可視化：再委託先の事故も同じ経路で発注元に届く

委託先の側から見れば、法律の対象でなくても、契約の対象にはなる。「うちは義務の対象外です」で済まないのは、この構造があるからです。

製造業では、すでに調達要件になっている

サードパーティリスク管理を契約条件に落とし込む動きは、半導体の製造現場で先に進んでいます。

• SEMI E187／Specification for Cybersecurity of Fab Equipment（2022年1月）。Windows／LinuxがインストールされたFab装置のコンピューティングデバイスが対象で、OSサポート・ネットワークセキュリティ・エンドポイント保護・セキュリティ監視の4領域
• 調達要件化／TSMCは2023年、E187をウェハfabの調達契約の要件とした
• SEMI E188／Specification for Malware Free Equipment Integration（2022年2月）。納入・設置・保守の過程でマルウェアを持ち込まないプロセスを規定
• 改訂の方向／E187はIEC 62443との整合を目的に大改訂が進行中。SL1（Baseline）／SL2（Enhanced）／SL3（Comprehensive）の3段階のセキュリティレベルを導入する方向

「セキュリティ要件を満たさない装置は買わない」という形に落ちると、サプライヤ側にとっては売上の条件になります。点検のお願いが調達の要件に変わった瞬間に、セキュリティは投資判断の対象から外れる——この分野で実際に起きている、数少ない転換の例です。

評価の疲弊と、標準化の試み

サードパーティリスク管理が制度として広がると、次に起きるのは評価疲れです。顧客ごとに違うチェックシートが届き、同じことを少しずつ違う表現で何十回も答えることになる。

これに対する業界側の答えが、評価の標準化です。半導体では、SMCC（Semiconductor Manufacturing Cybersecurity Consortium）がSSCA（Standardized Semiconductor Cyber Assessment）を公開しました。

• カバー範囲／cyber resilience、intellectual property protection、product security（セキュアSDLCの設問を含む）
• ベース／TISAXをベースに、NIST CSF 2.0に整合。CMMIベースの成熟度モデルを使用
• 言語／英語版・韓国語版が提供済み。中国語版・日本語版を予定

「1回答えれば、複数の顧客に使える」形にするのが狙いです。日本語版がまだ予定段階であることは、国内のサプライヤにとっては当面個別対応が続くことを意味します。

受け取る側（発注元）にとっても、評価の設計には論点があります。

1. 質問の数と、読む体制が釣り合っているか。200問集めても読む人がいなければ、回答は形式化し、嘘を見抜けない
2. 回答の検証をどこまでやるか。自己申告のままか、証跡を求めるか、第三者認証を求めるか
3. 評価の頻度。年1回か、契約更新時か、事故があったときか
4. 不合格だった場合に何をするか。取引を止めるのか、改善期限を設けるのか。ここを決めずに始めると、評価が形骸化する

4番目が最も重要です。落ちたときに何も起きない評価は、満たさなくてもよい要件と同じ。TSMCがSEMI E187を調達契約の要件にしたことが効くのは、満たさなければ買わないという帰結があるからです。

出典

• 金融庁／「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」（令和8年10月9日）
• GMOインターネットグループ／「お名前.com デスクトップクラウドサービスに対するサイバー攻撃について」第4報・第7報（2026年10月）
• CRN Asia（2025年8月19日）／CloudSEKレポート "Silicon Under Siege" を引用した報道／MKS Instruments起因のApplied Materialsへの影響推定、APT41による台湾企業への侵入
• GovInfoSecurity／Ransomware Attack Disrupts Operations at MKS Instruments
• SEMI／Semiconductor Cybersecurity — Standards（E187・E188・E191）
• SEMI Standards Watch／How SEMI E187 and E188 Standards Elevate Cybersecurity（2024年3月7日）、E187 Major Revision: Tiered Security Levels（2026年8月20日）

本記事は2026年10月27日時点で公開されている情報に基づいています。Applied Materialsへの影響額は報道が引用する推定であり、同社の開示文書では確認できていません。E187改訂版のバージョン番号・公開予定日は公表されていません。