中小企業のサプライチェーン攻撃対策｜データ保護の現実解

取引先の大手企業から「セキュリティチェックシートに回答してほしい」「対策基準を満たしてほしい」と求められ、対応に頭を抱えている経営者・担当者は少なくありません。その背景にあるのは、サプライチェーン攻撃の広がりです。とはいえ、多くの中小企業にとって、大企業と同等の高価なセキュリティ製品一式をそろえることは困難です。

本記事では、サプライチェーン攻撃の実態と、限られた予算でも優先すべき対策、そして大企業と同水準のデータ保護を月額数千円規模で実現する方法について解説します。

サプライチェーン攻撃とは？中小企業が「侵入口」にされる理由

サプライチェーン攻撃とは、守りの堅い大企業を正面から狙わず、取引先や委託先、利用中のソフトウェアなど、手薄なところを経由して侵入する手口です。この攻撃は、IPAの「情報セキュリティ10大脅威 2026」でも、組織向け脅威で4年連続2位に選ばれています。なぜ規模の小さい企業ほど狙われるのか、まずはそこから見ていきましょう。

参照：「情報セキュリティ10大脅威 2026」解説書［組織編］｜IPA

攻撃者は「最も弱い環」を探している

攻撃者にとって重要なのは、企業の規模ではなく侵入のしやすさです。取引先とVPNやファイル共有でつながっている企業は、この点を意識しておく必要があります。侵入した攻撃者は、そこで手に入れたIDやパスワードを使い、正規の利用者になりすまして取引先のシステムへ入り込むからです。

攻撃者に自社の情報を盗まれるだけでなく、自社が取引先に被害を広げるきっかけにもなる。これがこの脅威の厄介なところです

被害はすでに中小企業に集中している

警察庁の集計によると、2025年（令和7年）のランサムウェア被害報告は226件に上りました。組織の規模別に見ると、前年と同様に中小企業が約6割を占めています。「うちは小さいから狙われない」という思い込みは、中小企業にとって大きなリスクといえるでしょう。

参照：令和７年における サイバー空間をめぐる脅威の情勢等について｜警察庁サイバー警察局

「予算がない」は取引先への説明にならない

予算が確保できないという社内事情は、取引先の判断材料にはなりません。取引先が見ているのは「セキュリティにかける予算の有無」ではなく、必要な対策が取られているかどうかです。

2026年度末に始まるSCS評価制度

「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」は、経済産業省と内閣官房国家サイバー統括室が進めている新しい制度です。サプライチェーンを構成する企業の対策状況を共通の基準で評価・可視化し、委託元・委託先双方の負担を減らしながら、全体の水準を底上げすることを狙っています。

この制度が想定しているのは、2社間の取引契約などで、委託元が委託先に適切な段階（★）を提示し、対策を促したうえで実施状況を確認するという使われ方です。

★3・★4の申請は、2026年度末頃に受付が開始される予定です。多くの中小企業にとって、まずは「★3」が現実的な取得目標となるでしょう。

参照：「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（SCS評価制度の構築方針）を公表しました｜経済産業省

求められているのは「高額な製品」ではない

経済産業省によると、この制度の評価基準を満たすために、特定のセキュリティ製品を導入する必要はありません。必要なのは、リスクに見合った対策を実際に行い、それを説明できる状態にしておくことです。これからは予算の大きさではなく、優先順位の付け方がますます重要になるといえるでしょう。

少額予算でも効果が大きい対策の優先順位

何から手を付けるか迷ったら、「被害が起きたときに事業を止めないもの」から固めていくのが基本です。費用を抑えつつ効果を得やすい対策を、優先度順に並べました。

このうち優先度1のバックアップは、SCS評価制度★3の要求事項にも含まれています。まずはここから着手するのが現実的です。

なぜ「普通のバックアップ」では足りないのか

ネットワークに侵入した攻撃者は、重要なデータだけでなくバックアップデータも探し出したうえで、復旧を妨害するために両方まとめて暗号化します。つまりNASや共有フォルダに置いただけのバックアップは、本番データと一緒に暗号化されかねません。また、バックアップをクラウドに自動同期しているだけでは、暗号化された状態で正常なデータが上書きされる危険があります。

重要なのは「バックアップを取っているか」ではなく、「バックアップが消されない場所にあるか」です。

オブジェクトロックなら大企業と同等の保護が月額数千円から

バックアップを「消せない場所」に置く手段が、オブジェクトロックです。かつては大企業向けの高価な仕組みでしたが、クラウドストレージの普及によって、中小企業でも手の届くコストになりました。仕組みと費用、導入時の注意点を順に見ていきます。

オブジェクトロックの仕組み

オブジェクトロックは、保存したデータを一定期間、変更も削除もできない状態にする機能（イミュータブルストレージ）です。Wasabiでは次のような保護が利用できます。

• ガバナンスモード：ルートユーザーなど、特別な権限を持つユーザーだけが保持期間を短縮できる

• コンプライアンスモード：管理者を含め誰も上書きできず、保持期間を短くすることもできない

• リーガルホールド：解除するまで、修正も削除も無期限で禁止する

コンプライアンスモードで守ったバックアップは、たとえ管理者アカウントを乗っ取られても消せません。これは、大企業が高額なシステムで実現しているデータ保護と同じ考え方です。

コストは月額数千円規模から

Wasabiは、保存した容量に対してのみ料金がかかるシンプルな体系です。下り転送料もAPIリクエスト料金もかからず、イミュータブル機能を使っても料金は通常のストレージと変わりません。数TB規模のバックアップであれば、月額数千円規模で運用できます。

導入前に押さえたい4つの注意点

オブジェクトロックは強力な仕組みですが、後から設定を変えられない項目や、料金体系に関わる仕様があります。運用を始めてから慌てないよう、次の4点を事前に確認しておきましょう。

1. 有効化はバケット作成時のみ

オブジェクトロックの有効化は、バケットの作成時にしか行えません。すでに運用中のバケットに対して、後からオブジェクトロックを適用することはできないため、既存データを保護したい場合は、ロックを有効にした新しいバケットを作成してデータを移す手順が必要です。

2. 最低料金と最低保存期間がある

従量課金では、保存量が1TBに満たなくても1TB分の月額料金がかかります。保存から90日たつ前に削除した場合も、残りの日数分が課金されます。短いサイクルで入れ替えるデータより、一定期間しっかり保管するバックアップやアーカイブに向いた料金体系です。

3. 保持期間とモードは目的から決める

コンプライアンスモードは保持期間中の削除を完全に禁じます。そのぶん、設定を誤ると不要なデータを抱え続け、保存料金もかかり続けます。まずは業務上必要な復旧可能期間（たとえば直近3か月分の日次バックアップなど）を決め、そこから保持日数とモードを選ぶと良いでしょう。

4. 保存できても、復旧できるとは限らない

データが残っていても、実際に元の状態へ戻せなければ意味がありません。ロックしたバックアップからきちんとリストアできるか、定期的な訓練を運用に組み込んでおきましょう。この訓練の記録は、取引先へ対策状況を説明する際の材料としても役立ちます。

まとめ

サプライチェーン攻撃への対応は、大企業だけの課題ではありません。SCS評価制度が始まれば、取引先から対策状況を聞かれる場面はさらに増えます。中小企業に求められているのは、高価な製品を買うことではありません。優先度の高い対策から順に実行し、説明できる状態にしておくことです。

その最初の一手が、バックアップを消せない場所に置くことです。オブジェクトロックを使えば、管理者アカウントを乗っ取られてもバックアップは守られます。大企業が高額なシステムで実現している保護と、考え方は変わりません。

Wasabiなら、保存した容量だけの明快な料金で、この保護を始められます。下り転送料もAPIリクエスト料金もかからず、イミュータブル機能に追加費用は発生しません。まずは無償トライアルで、自社のバックアップを消せない場所に移す一歩を試してみてください。