--- title: サプライチェーン攻撃のリスク評価とは？ 自社の対策だけではカバーしきれないのはなぜ？ サプライチェーン攻撃へのリスク評価を分かりやすく解説 description: サプライチェーン攻撃のリスク評価方法と具体的な対策を解説。信頼性確保のための重要な手法を紹介します。 image: https://cybersecurity.gftd.co.jp/hubfs/AI-Generated%20Media/Images/The%20image%20features%20a%20modern%20office%20workspace%20illuminated%20by%20soft%20natural%20light%20filtering%20through%20large%20windows%20A%20sleek%20wooden%20desk%20is%20positioned%20in%20th-1.png --- [Skip to content](https://cybersecurity.gftd.co.jp/ja/blog/supply_chain_risk_assessment#main-content) Close - [情報セキュリティ監査](https://cybersecurity.gftd.co.jp/informationsecurityaudit) - [WEB脆弱性診断](https://cybersecurity.gftd.co.jp/ja/vulnerabilityscan) - [レポート](https://cybersecurity.gftd.co.jp/ja/blog) - [問い合わせ](https://cybersecurity.gftd.co.jp/ja/contactus) - [我々について（IRサイトへ）](https://gftd.co.jp/about) [お問い合わせ](https://cybersecurity.gftd.co.jp/ja/contactus?hsLang=ja) [![logo](https://cybersecurity.gftd.co.jp/hs-fs/hubfs/gftd._logo.png?width=80&height=80&name=gftd._logo.png "logo")](https://cybersecurity.gftd.co.jp/?hsLang=ja) [![gftd\_security\_logo\_w@2x](https://cybersecurity.gftd.co.jp/hs-fs/hubfs/gftd_security_logo_w@2x.png?width=96&height=60&name=gftd_security_logo_w@2x.png)](https://cybersecurity.gftd.co.jp/?hsLang=ja) - [情報セキュリティ監査](https://cybersecurity.gftd.co.jp/informationsecurityaudit) - [WEB脆弱性診断](https://cybersecurity.gftd.co.jp/ja/vulnerabilityscan) - [レポート](https://cybersecurity.gftd.co.jp/ja/blog) - [問い合わせ](https://cybersecurity.gftd.co.jp/ja/contactus) - [我々について（IRサイトへ）](https://gftd.co.jp/about) [お問い合わせ](https://cybersecurity.gftd.co.jp/ja/contactus?hsLang=ja) ![Image of Supply Chain Risk Assessment](https://cybersecurity.gftd.co.jp/hs-fs/hubfs/AI-Generated%20Media/Images/The%20image%20features%20a%20modern%20office%20workspace%20illuminated%20by%20soft%20natural%20light%20filtering%20through%20large%20windows%20A%20sleek%20wooden%20desk%20is%20positioned%20in%20th-1.png?width=575&name=The%20image%20features%20a%20modern%20office%20workspace%20illuminated%20by%20soft%20natural%20light%20filtering%20through%20large%20windows%20A%20sleek%20wooden%20desk%20is%20positioned%20in%20th-1.png) [河崎純真](https://cybersecurity.gftd.co.jp/ja/blog/author/junkawasaki) 2025/10/03 11:42:08 7 min read # サプライチェーン攻撃のリスク評価とは？ 自社の対策だけではカバーしきれないのはなぜ？ サプライチェーン攻撃へのリスク評価を分かりやすく解説 [Previous Post](https://cybersecurity.gftd.co.jp/ja/blog/attack-with-ai?hsLang=ja) [Next Post](https://cybersecurity.gftd.co.jp/ja/blog/remort-work?hsLang=ja) # サプライチェーン攻撃のリスク評価とは？ 自社の対策だけではカバーしきれないのはなぜ？ サプライチェーン攻撃へのリスク評価を分かりやすく解説 安定したサプライチェーンを維持していくうえで、サプライチェーン攻撃に対するリスク評価を行うことが重要になります。本記事ではサプライチェーン攻撃に対するリスク評価について分かりやすく解説します。 目次 - [そもそも、サプライチェーン攻撃とは何か？](https://cybersecurity.gftd.co.jp/ja/blog/supply_chain_risk_assessment#supply_chain_risk_assessment1) - [サプライチェーン攻撃に対するリスク評価とは？](https://cybersecurity.gftd.co.jp/ja/blog/supply_chain_risk_assessment#supply_chain_risk_assessment2) - [サプライチェーン攻撃に対するリスク評価について、その具体的な手法](https://cybersecurity.gftd.co.jp/ja/blog/supply_chain_risk_assessment#supply_chain_risk_assessment3)   ## そもそも、サプライチェーン攻撃とは何か？ サプライチェーン攻撃とは、組織が利用する外部の製品・サービス・パートナー企業を経由して侵入や攻撃を仕掛ける手口のことです。自社が直接管理していない部分（開発委託先、ソフトウェア更新、ハードウェア製造工程など）を狙うため、防御が難しいのが特徴です。   ### サプライチェーン攻撃の流れ 攻撃者はまず、ターゲット企業そのものではなく、取引先や委託先を狙う ↓ そこに不正なプログラムや改ざんを仕込み、最終的にターゲットへ侵入 ↓ ターゲット企業は「信頼できるはずのもの」を利用しているため、攻撃に気づきにくい   ### サプライチェーンの攻撃事例 ソフトウェア系への攻撃 - 不正なアップデートを行い、ソフト更新プログラムにマルウェアを混入 - OSSや外部ライブラリ改ざんし、依存するパッケージに悪意あるコードを挿入 - ビルドプロセスに改ざんを仕掛け、CI/CD環境の侵害する ハードウェア系への攻撃 - 製造段階でチップや基板に不正回路を混入するなど、バックドアを埋め込む - 輸送中の改ざんや偽造部品の挿入 - ファームウェアを改ざんし、不正なコードを導入させる   ### **チェーンサプライ攻撃による被害例**   - 大規模な情報漏えい（顧客データ、知財） - インフラや重要システムの停止 - 取引先全体へ連鎖的な影響（サプライチェーン全体に波及） - 事件事故による、ブランド・信用失墜   ## サプライチェーン攻撃に対するリスク評価とは？ サプライチェーン攻撃は何よりも「**信頼して使っているはずのものが攻撃経路になる**」ことが最大の脅威になるため、前もってリスク評価をしておくことが重要になります。 リスク評価の方向性としては、外部から調達する製品・サービスを通じてセキュリティが侵害される可能性を分析し、その影響度と発生可能性を見積もります。組織が直接管理できないサプライヤーや委託先を経由して攻撃が仕掛けられるため、従来のセキュリティ対策より広範で複雑な評価が必要になります。   ## サプライチェーン攻撃に対するリスク評価について、その具体的な手法   ### リスク評価の目的と方向性   - ソフトウェア/ハードウェア調達に伴う潜在的な脅威の洗い出し - 攻撃成功時の事業継続への影響度の把握 - 優先度をつけた対策計画の策定   ### ソフトウェアにおけるリスク評価 想定されるリスクの例 - サードパーティ製ライブラリやOSSにマルウェアが混入 - ソフトウェア更新（アップデート）経路の改ざん - CI/CDパイプラインや開発者アカウントの乗っ取り 評価観点 - 依存関係（ライブラリ・モジュール）の透明性（SBOM管理） - 開発プロセスのセキュリティ（コード署名、アクセス管理） - ベンダーの脆弱性対応能力・公開姿勢   ### ハードウェアにおけるリスク評価 想定リスク - チップやファームウェアに不正な回路やバックドアの埋め込み - サプライヤー段階での改ざん・偽造品の混入 - 保守・リペア時の不正部品交換 評価観点 - サプライヤーの信頼性（調達元の国・企業・認証状況） - 製造・輸送・保管過程での改ざん耐性 - ファームウェア更新のセキュリティ（署名・暗号化）   ### 共通の評価プロセス   1. 資産の特定：調達しているソフトウェア・ハードウェアのリスト化 2. 脅威の特定：不正アップデート、改ざん、偽造、内部不正など 3. 脆弱性の特定：依存関係の不透明さ、ベンダー管理体制の弱さ、輸送経路のセキュリティ 4. 影響度評価：機密情報漏えい、サービス停止、法令違反、ブランド毀損 5. 発生可能性評価：サプライヤーの信頼性、過去の事例、攻撃者の能力 6. リスクレベル算出：影響度と発生可能性を考慮して、優先順位付け 7. 対策方針策定：サプライヤー監査、契約条項（セキュリティ要件）、多層防御、検知体制   ### リスクの回避、低減策の例   - ソフトウェア：SBOM導入、コード署名の必須化、自動脆弱性スキャン - ハードウェア：信頼できる調達元からの購入、ハードウェア真正性検証（TPM・PUF利用）、輸送時の改ざん検知シール - 共通：サプライチェーン強化に向けたセキュリティ対策評価制度（経済産業省が策定した評価制度）、インシデント発生時の情報共有方法の策定   サプライチェーン攻撃は自社で直接管理できない領域が標的となるため、自社単独の対策だけではカバーしきれない部分が存在します。そのため、リスク評価を行う際には、どの製品やサービスが攻撃の経路となり得るかを把握し、各々の影響度や発生可能性を数値化して優先順位を設定し、効果的な対策を講じることが重要です。   経済産業省が策定した、サプライチェーン強化に向けたセキュリティ対策評価制度については、以下の記事をご参照ください。 「サプライチェーン強化に向けたセキュリティ対策評価（格付け）制度」とは？　経済産業省の最新ガイドラインを基にわかりやすく解説 [https://cybersecurity.gftd.co.jp/ja/blog/supply-chain-evaluation-system-summary](https://cybersecurity.gftd.co.jp/ja/blog/supply-chain-evaluation-system-summary?hsLang=ja)   弊社へのお問い合わせは、下記の著者画像横のメールアイコンから ![avatar](https://app.hubspot.com/settings/avatar/492ae079fe50daf7b8a803616770e86c) #### [河崎純真](https://cybersecurity.gftd.co.jp/ja/blog/author/junkawasaki) [mailto:j.kawasaki@gftd.co.jp](mailto:j.kawasaki@gftd.co.jp) ## RELATED ARTICLES Button Title ### [河崎純真 2024/12/25 10:41:46 9 min read XZ Utils バックドア：歴史上最も洗練されたサプライチェーン攻撃 はじめに 技術が主導する現代において、最近のサイバー攻撃は世界中に不安を広げ、サプライチェーンリスク管理における深刻な脆弱性を浮き彫りにしています。（サプライチェーンリスクについて詳しく読む: ... Start Reading](https://cybersecurity.gftd.co.jp/ja/blog/xz-utils-backdoor-the-most-sophisticated-supply-chain-attacks-in-history?hsLang=ja) ### [河崎純真 2025/04/19 16:47:45 6 min read 「サプライチェーン強化に向けたセキュリティ対策評価（格付け）制度」とは？　経済産業省の最新ガイドラインを基にわかりやすく解説 「サプライチェーン強化に向けたセキュリティ対策評価（格付け）制度」とは？ 経済産業省の最新ガイドラインを基に分かりやすく解説 Start Reading](https://cybersecurity.gftd.co.jp/ja/blog/supply-chain-evaluation-system-summary?hsLang=ja) ### [Gftd Works株式会社 2026/05/25 11:11:18 6 min read サプライチェーンの可視化が必要なのはなぜ？ SBOM（ソフトウェア部品構成表）があれば何ができる？ SBOMについて分かりやすく解説 サプライチェーンの可視化が必要なのはなぜ？ SBOM（ソフトウェア部品構成表）があれば何ができる？ サプライチェーンの可視化とSBOMについて分かりやすく解説 Start Reading](https://cybersecurity.gftd.co.jp/ja/blog/sbom?hsLang=ja) [![gftd\_security\_logo\_w@2x](https://cybersecurity.gftd.co.jp/hs-fs/hubfs/gftd_security_logo_w@2x.png?width=96&height=60&name=gftd_security_logo_w@2x.png)](https://cybersecurity.gftd.co.jp/?hsLang=ja) Well-being Tech Company - [情報セキュリティ監査](https://cybersecurity.gftd.co.jp/informationsecurityaudit) - [WEB脆弱性診断](https://cybersecurity.gftd.co.jp/ja/vulnerabilityscan) - [レポート](https://cybersecurity.gftd.co.jp/ja/blog) - [問い合わせ](https://cybersecurity.gftd.co.jp/ja/contactus) - [我々について（IRサイトへ）](https://gftd.co.jp/about) ©️Gftd Japan株式会社 All rights reserved - [個人情報保護に関する基本方針](https://gftd.co.jp/g1nSERUt/privacypolicy) - [情報セキュリティ方針](https://gftd.co.jp/g1nSERUt/securitypolicy) # 日本で最も信頼できるサイバーセキュリティの情報を発信します。 ```json { "@context" : "http://schema.org", "@type" : "Organization", "address" : { "@type" : "PostalAddress", "addressCountry" : "日本", "addressLocality" : "千代田区", "addressRegion" : "東京都", "postalCode" : "1006611", "streetAddress" : "グラントウキョウサウスタワー11F" }, "email" : "hello@power.com", "knowsLanguage" : "ja", "logo" : { "@type" : "ImageObject", "url" : "https://42189574.fs1.hubspotusercontent-na1.net/hubfs/42189574/gftd._logo.png" }, "name" : "Gftd Japan株式会社", "telephone" : "+49 (0) 89 123 456", "url" : "https://cybersecurity.gftd.co.jp/ja/blog/supply_chain_risk_assessment" } ``` ```json { "@context" : "http://schema.org", "@type" : "BlogPosting", "abstract" : "サプライチェーン攻撃のリスク評価方法と具体的な対策を解説。信頼性確保のための重要な手法を紹介します。", "author" : { "@type" : "Person", "name" : "河崎純真" }, "dateModified" : "10月 3, 2025 2 午前", "datePublished" : "10月 3, 2025 2 午前", "headline" : "サプライチェーン攻撃のリスク評価とは？ 自社の対策だけではカバーしきれないのはなぜ？ サプライチェーン攻撃へのリスク評価を分かりやすく解説", "image" : "https://42189574.fs1.hubspotusercontent-na1.net/hubfs/42189574/AI-Generated%20Media/Images/The%20image%20features%20a%20modern%20office%20workspace%20illuminated%20by%20soft%20natural%20light%20filtering%20through%20large%20windows%20A%20sleek%20wooden%20desk%20is%20positioned%20in%20th-1.png", "inLanguage" : "ja", "keywords" : "[サイバーセキュリティ, サプライチェーン, IT用語解説]", "mainEntityOfPage" : { "@type" : "WebPage" }, "name" : "サプライチェーン攻撃のリスク評価とは？ 自社の対策だけではカバーしきれないのはなぜ？ サプライチェーン攻撃へのリスク評価を分かりやすく解説", "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://42189574.fs1.hubspotusercontent-na1.net/hubfs/42189574/gftd._logo.png" }, "name" : "Gftd Japan株式会社" }, "text" : "サプライチェーン攻撃のリスク評価とは？ 自社の対策だけではカバーしきれないのはなぜ？ サプライチェーン攻撃へのリスク評価を分かりやすく解説 安定したサプライチェーンを維持していくうえで、サプライチェーン攻撃に対するリスク評価を行うことが重要になります。本記事ではサプライチェーン攻撃に対するリスク評価について分かりやすく解説します。 目次 そもそも、サプライチェーン攻撃とは何か？ サプライチェーン攻撃に対するリスク評価とは？ サプライチェーン攻撃に対するリスク評価について、その具体的な手法 そもそも、サプライチェーン攻撃とは何か？ サプライチェーン攻撃とは、組織が利用する外部の製品・サービス・パートナー企業を経由して侵入や攻撃を仕掛ける手口のことです。自社が直接管理していない部分（開発委託先、ソフトウェア更新、ハードウェア製造工程など）を狙うため、防御が難しいのが特徴です。 サプライチェーン攻撃の流れ 攻撃者はまず、ターゲット企業そのものではなく、取引先や委託先を狙う ↓ そこに不正なプログラムや改ざんを仕込み、最終的にターゲットへ侵入 ↓ ターゲット企業は「信頼できるはずのもの」を利用しているため、攻撃に気づきにくい サプライチェーンの攻撃事例 ソフトウェア系への攻撃 不正なアップデートを行い、ソフト更新プログラムにマルウェアを混入 OSSや外部ライブラリ改ざんし、依存するパッケージに悪意あるコードを挿入 ビルドプロセスに改ざんを仕掛け、CI/CD環境の侵害する ハードウェア系への攻撃 製造段階でチップや基板に不正回路を混入するなど、バックドアを埋め込む 輸送中の改ざんや偽造部品の挿入 ファームウェアを改ざんし、不正なコードを導入させる チェーンサプライ攻撃による被害例 大規模な情報漏えい（顧客データ、知財） インフラや重要システムの停止 取引先全体へ連鎖的な影響（サプライチェーン全体に波及） 事件事故による、ブランド・信用失墜 サプライチェーン攻撃に対するリスク評価とは？ サプライチェーン攻撃は何よりも「信頼して使っているはずのものが攻撃経路になる」ことが最大の脅威になるため、前もってリスク評価をしておくことが重要になります。 リスク評価の方向性としては、外部から調達する製品・サービスを通じてセキュリティが侵害される可能性を分析し、その影響度と発生可能性を見積もります。組織が直接管理できないサプライヤーや委託先を経由して攻撃が仕掛けられるため、従来のセキュリティ対策より広範で複雑な評価が必要になります。 サプライチェーン攻撃に対するリスク評価について、その具体的な手法 リスク評価の目的と方向性 ソフトウェア/ハードウェア調達に伴う潜在的な脅威の洗い出し 攻撃成功時の事業継続への影響度の把握 優先度をつけた対策計画の策定 ソフトウェアにおけるリスク評価 想定されるリスクの例 サードパーティ製ライブラリやOSSにマルウェアが混入 ソフトウェア更新（アップデート）経路の改ざん CI/CDパイプラインや開発者アカウントの乗っ取り 評価観点 依存関係（ライブラリ・モジュール）の透明性（SBOM管理） 開発プロセスのセキュリティ（コード署名、アクセス管理） ベンダーの脆弱性対応能力・公開姿勢 ハードウェアにおけるリスク評価 想定リスク チップやファームウェアに不正な回路やバックドアの埋め込み サプライヤー段階での改ざん・偽造品の混入 保守・リペア時の不正部品交換 評価観点 サプライヤーの信頼性（調達元の国・企業・認証状況） 製造・輸送・保管過程での改ざん耐性 ファームウェア更新のセキュリティ（署名・暗号化） 共通の評価プロセス 資産の特定：調達しているソフトウェア・ハードウェアのリスト化 脅威の特定：不正アップデート、改ざん、偽造、内部不正など 脆弱性の特定：依存関係の不透明さ、ベンダー管理体制の弱さ、輸送経路のセキュリティ 影響度評価：機密情報漏えい、サービス停止、法令違反、ブランド毀損 発生可能性評価：サプライヤーの信頼性、過去の事例、攻撃者の能力 リスクレベル算出：影響度と発生可能性を考慮して、優先順位付け 対策方針策定：サプライヤー監査、契約条項（セキュリティ要件）、多層防御、検知体制 リスクの回避、低減策の例 ソフトウェア：SBOM導入、コード署名の必須化、自動脆弱性スキャン ハードウェア：信頼できる調達元からの購入、ハードウェア真正性検証（TPM・PUF利用）、輸送時の改ざん検知シール 共通：サプライチェーン強化に向けたセキュリティ対策評価制度（経済産業省が策定した評価制度）、インシデント発生時の情報共有方法の策定 サプライチェーン攻撃は自社で直接管理できない領域が標的となるため、自社単独の対策だけではカバーしきれない部分が存在します。そのため、リスク評価を行う際には、どの製品やサービスが攻撃の経路となり得るかを把握し、各々の影響度や発生可能性を数値化して優先順位を設定し、効果的な対策を講じることが重要です。 経済産業省が策定した、サプライチェーン強化に向けたセキュリティ対策評価制度については、以下の記事をご参照ください。 「サプライチェーン強化に向けたセキュリティ対策評価（格付け）制度」とは？　経済産業省の最新ガイドラインを基にわかりやすく解説 https://cybersecurity.gftd.co.jp/ja/blog/supply-chain-evaluation-system-summary 弊社へのお問い合わせは、下記の著者画像横のメールアイコンから", "url" : "https://cybersecurity.gftd.co.jp/ja/blog/supply_chain_risk_assessment", "wordCount" : "993" } ```