取引先から広がるサイバーリスク｜製造業・建設業が知っておきたい対策

サイバー攻撃というと、自社のパソコンや社内システムが被害を受ける場面を想像するかもしれません。しかし、もう一つ知っておきたいのが、取引先を経由してリスクが広がる可能性です。

製造業であれば部品や製品の供給、建設業であれば図面・工程管理・協力会社との連絡など、企業の仕事は多くの取引先や外部サービスとつながっています。そのため、自社のシステムに直接問題が起きていなくても、取引先の被害によって業務に影響が出ることがあります。

この記事では、製造業・建設業の中小企業が知っておきたいサプライチェーンのサイバーリスクと、平時に確認しておきたい対策を解説します。

取引先からサイバーリスクが広がるとは？

サプライチェーンとは、原材料の調達、製造、物流、販売、工事、保守など、商品やサービスを届けるまでにつながる企業や業務の連鎖を指します。

企業間でデータやシステムを共有している場合、取引先のサイバー事故が、自社の業務や情報管理に影響する可能性があります。例えば、取引先のメールアカウントが不正利用され、偽の請求書や振込先変更の連絡が送られてくるケースも考えられます。

また、取引先が使うシステムや外部サービスに障害が起きれば、自社の受発注や業務処理が滞ることもあります。自社だけを守れば十分とは言い切れない点が、サプライチェーンのリスクです。

製造業で考えられる3つの影響

1. 受発注や生産管理が止まる

受発注システムや生産管理システムが利用できなくなると、注文内容の確認、部品の手配、生産計画の調整などに支障が出る可能性があります。紙や電話で代替できる範囲には限界があり、復旧までの間、納期に影響することも考えられます。

2. 取引先とのデータ共有に影響する

図面、仕様書、見積書、品質関連資料などを電子データでやり取りしている場合、ファイルの利用停止や情報流出が業務に影響する可能性があります。どの情報を誰と共有しているかを把握しておくことが大切です。

3. 納期遅延や取引関係への影響

自社の生産が正常でも、仕入先や物流会社の業務が停止すれば、材料の調達や製品の出荷に影響することがあります。代替の仕入先や連絡手段を事前に検討しておくことが、事業継続の備えになります。

建設業で考えられる3つの影響

1. 図面・工程管理・現場連絡への影響

図面や工程表、施工関連資料をクラウドで管理している場合、システム障害やアカウントの不正利用によって必要な情報を確認できなくなる可能性があります。現場で必要な資料の保管方法や、緊急時の代替手段を確認しておきましょう。

2. 協力会社との連絡や手配が滞る

協力会社のメールや業務システムに問題が発生すると、作業日程、資材の手配、人員調整などに影響することがあります。緊急時に電話など別の手段で連絡できる体制も重要です。

3. 工期や顧客対応への影響

情報システムの停止が長引けば、工程の調整や関係者への説明が必要になる場合があります。事故の原因や契約関係によって責任の所在は異なりますが、顧客や発注元への報告・対応に備えておくことが大切です。

取引先に関係するリスクを減らすための5つの確認

• 取引先と共有している情報を把握する：図面、個人情報、見積書、アカウント情報など、共有する情報と権限を整理する。
• アカウントを適切に管理する：多要素認証の利用、退職者や不要なアカウントの削除、共有IDの見直しを進める。
• バックアップと復旧手順を確認する：バックアップがあるだけでなく、必要なデータを復元できるか定期的に確認する。
• 緊急時の連絡手段を用意する：メールやシステムが使えない場合の連絡先、社内の判断担当者、取引先への連絡方法を整理する。
• 取引先と必要な対策を話し合う：一方的に要求するのではなく、共有する情報や業務上の重要性に応じて、無理のない対策を相談する。

情報処理推進機構（IPA）も、サプライチェーン上の中小企業への攻撃が、取引先の事業や情報にも影響する可能性を指摘しています。まずは自社の業務と取引関係を整理し、実行できる対策から始めることが重要です。

参考：IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」

サイバー保険で確認したいこと

サイバー保険は、サイバー事故に伴う損害賠償や事故対応費用などに備える選択肢の一つです。ただし、取引先が被害を受けた場合の自社の損失や、事業中断による利益損失が必ず補償されるわけではありません。

補償の対象となる事故、被保険者の範囲、費用の種類、事業中断の条件、免責事項、支払限度額などは、商品や契約内容によって異なります。自社が被害を受けた場合だけでなく、取引先の事故が自社に影響した場合に、どのような補償が対象となるのかを保険会社や取扱代理店に確認しましょう。

サイバー保険5社の比較も参考に

サイバー保険は、保険料だけでなく、事故対応費用、損害賠償、事業中断などの補償内容や契約条件を確認することが大切です。複数の商品を比較する際は、各社の補償範囲や特約、免責事項を確認し、自社の業務に合う内容を検討しましょう。

中小企業向けサイバー保険5社を比較！補償内容と選び方を解説

まとめ：自社と取引先のつながりを見直す

サイバーリスクは、自社のシステムだけで完結するとは限りません。製造業では部品調達や生産管理、建設業では図面・工程管理・協力会社との連絡など、取引先とのつながりが業務を支えています。

まずは、どの取引先とどの情報を共有しているか、業務が止まったときに何ができなくなるか、代替手段があるかを確認してみましょう。そのうえで、技術的な対策、業務継続の準備、保険による備えを組み合わせて考えることが重要です。

サイバー保険はすべての損失を補償するものではありません。自社の事業内容と契約条件を照らし合わせ、必要な備えを整理しておきましょう。