「自社のセキュリティ対策は、取引先からどう見えているのか？」
製造業を中心に、いま多くの企業がこの問いに向き合っています。
経済産業省と内閣官房国家サイバー統括室は、サプライチェーン強化に向けたセキュリティ対策評価制度について、2026年3月に制度構築方針を公表しました。
本記事では、制度の現在地を整理しながら、取引継続や信頼確保の土台となるID管理の重要性を解説します。
1. サプライチェーン対策評価制度の現在地
経済産業省が公表している資料では、企業のセキュリティ対策状況を共通の基準で評価し、段階的に示す仕組みが検討されています。
この制度は、サプライチェーンを構成する企業の対策状況を可視化し、委託元・委託先の双方が必要な水準を確認しやすくすることを目的としています。
- 評価の段階としては、★3・★4が示されており、★5は今後検討とされています。
- ★3・★4は2026年度末頃の制度開始（申請受付開始）を目指す整理です。
現時点で重要なのは、単に「評価を受ける」ことではなく、自社の資産、権限、認証、委託先管理をどこまで可視化し、継続的に運用できているかを見直すことです。
特に、取引先からセキュリティ要件を求められる可能性がある企業ほど、形式的なチェックではなく、実際の運用体制まで含めた整備が必要になります。
2. 狙われやすいのは「人」と「ID」
サプライチェーン攻撃では、メール、認証情報、委託先アカウント、設定不備などが最初の侵入口として悪用されることがあります。
そのため、対策の出発点はネットワーク機器や個別システムだけではなく、「誰にアクセス権を与え、どう管理しているか」を見直すことです。
特に、次の3点は基本として押さえておくべき項目です。
- アカウントの棚卸し：退職者や休職者のIDが残っていないかを定期的に確認する。
- 認証の強化：IDとパスワードだけに頼らず、多要素認証（MFA）を取り入れる。
- ログの確認：いつ、誰が、どのシステムにアクセスしたかを追跡できるようにする。
これらは、制度対応のためだけでなく、日々の情報漏えい対策としても極めて有効です。
3. SSO（シングルサインオン）が役立つ理由
中堅・中小企業では、担当者が限られている中で複数のSaaSや業務システムを管理しなければならないケースが少なくありません。システムごとにIDとパスワードをばらばらに管理すると、退職者対応の漏れやパスワード使い回しのリスクが高まります。
そこで有効なのが、ID管理を一元化するシングルサインオン（SSO）です。SSOを導入すると、利用者は一度の認証で複数サービスにアクセスしやすくなり、管理者側もアカウント停止や権限変更をまとめて行いやすくなります。
| 項目 | 従来の管理 | SSO導入後 |
|---|---|---|
| 退職者対応 | 複数システムを個別に停止 | 管理画面から権限をまとめて整理しやすい |
| パスワード管理 | 利用者任せになりやすい | 強固な認証やパスワードポリシーを統一しやすい |
| ログ確認 | 各システムを個別に確認 | 認証基盤側で一括確認しやすくなる |
ただし、SSOを導入しただけで安全性が自動的に確保されるわけではありません。
MFA、端末制御、条件付きアクセス、ログ監視と組み合わせて使うことで、はじめて効果を発揮します。
4. 認証基盤を整える視点
評価制度への対応を考えるときは、「どの製品を入れるか」だけでなく、「どう運用するか」が重要です。
特に、アカウントの発行・変更・削除を自動化し、権限を最小限に保つ仕組みは、ヒューマンエラーの抑制にもつながります。
また、多要素認証は重要ですが、OTP（ワンタイムパスワード）だけに限定されるものではありません。
認証アプリ、物理キー、電子証明書、FIDOなど、業務環境に合った方式を選ぶことが大切です。
5. GMOトラスト・ログインの活用
GMOトラスト・ログインは、ID管理とシングルサインオンをまとめて扱いやすい国内SaaSです。既存のWindows環境やActive Directoryなどと連携し、従業員情報の管理を整理しやすくすることで、アカウントの二重管理を減らす運用に役立ちます。
評価制度への対応を急ぐ企業にとっては、ID管理の土台を短期間で整えやすい点がメリットです。ただし、導入効果は自社の構成や運用設計によって変わるため、要件に応じて確認しながら進めることが重要です。
6. よくある質問（FAQ）
Q：制度対応で最初に取り組むべきことは何ですか？
A：まずは、社内にどのシステムがあり、誰がどの権限を持っているかを棚卸しすることです。あわせて、退職者アカウントの削除や多要素認証の導入状況を確認すると、改善点が見えやすくなります。
Q：SSOを入れると、逆に一箇所の突破で全部危険になりませんか？
A：SSO基盤は重要なので、そこに多要素認証やアクセス制御を組み合わせることが前提です。適切に設計すれば、むしろパスワードの乱立や管理漏れを減らし、全体の統制を取りやすくなります。
Q：中小企業が優先すべき対策は何ですか？
A：外部からの侵入口になりやすいID・パスワード管理の見直しです。特に、退職者アカウントの削除、パスワードの使い回し防止、多要素認証の導入は優先度が高い対策です。
7. 出典・参考資料
本記事の内容は、以下の公的機関の情報を参考にしています。
まとめ
サプライチェーン対策評価制度は、単なる点数付けではなく、企業が自社のセキュリティ運用を見直すきっかけになる制度です。その中でも、ID管理と認証基盤の整備は、比較的早く着手でき、効果も見えやすい領域です。
重要なのは、制度に合わせて形式を整えることではなく、実際の業務に即した運用を継続できる体制を作ることです。SSOやMFA、ログ管理を組み合わせながら、取引先から信頼されるセキュリティ基盤を少しずつ整えていくことが、これからの対応の基本になります。