【2026年上半期インシデント事例】経産省の評価制度動向とサプライチェーンを揺るがす「幽霊アカウント」の脅威

2026/05/12

【2026年4月公表事例】海外グループ会社のランサムウェア被害と「踏み台」のリスク

サプライチェーンの中で、比較的対策が手薄になりやすい拠点が狙われるインシデントが報告されています。

2026年4月、電子部品メーカーの山一電機は、フィリピンのグループ会社において一部サーバーがランサムウェア攻撃を受けたと発表しました。

本事案は個別事例ではあるものの、海外拠点やグループ会社が攻撃対象となり得ることを示しています。

【出典・エビデンス】
PIPELINE「日本企業インシデント：不正アクセス・ランサムウェア・海外拠点攻撃が同時多発」（2026年4月28日）

製造業では、設計図面（CADデータ）や生産計画、調達情報などを複数のクラウドサービスや拠点間で共有するケースが一般的です。

攻撃者は、比較的防御が強固な本社だけでなく、管理が行き届きにくい海外拠点や委託先を侵入口として狙う傾向があるとされています。こうした経路が「踏み台」として利用されるリスクは指摘されていますが、個別の事案ごとに侵入経路や影響範囲は異なります。

また、1拠点の障害がサプライチェーン全体へ影響を及ぼす可能性はあるものの、その影響度は業務設計や冗長化の状況に依存します。

JAMAおよびJAPIAのサイバーセキュリティガイドラインでは、アクセス制御やアカウント管理の重要性が明確に示されています。

一方で、経済産業省による企業評価の枠組みについては、複数の指針や制度（例：サイバーセキュリティ経営ガイドライン、SECURITY ACTION等）が存在しており、「5段階格付け制度」として一律に運用されているわけではありません（時期や施策により異なるため注意が必要です）。

実務上の監査や取引先評価においては、以下のような観点が重視される傾向があります。

これらは不正アクセスリスクを高める要因の一つとされており、「誰が・いつ・どこにアクセスしたか」を把握できるログ管理体制の整備が重要です。

複数拠点・多数アカウントの管理負荷を軽減する手段として、クラウド型ID管理（IDaaS）の活用が考えられます。その一例が「GMOトラスト・ログイン」です。

「GMOトラスト・ログイン」は、製造業におけるアカウント管理の課題に対して、以下のような機能を提供します。

機能	概要と期待される効果
① プロビジョニング機能（アカウント管理の効率化）	人事情報や管理画面と連携し、アカウントの作成・変更・停止を一元的に管理可能。削除漏れ（幽霊アカウント化）のリスク低減が期待されます（ただし連携範囲や設定に依存します）。
② ログ管理の集約	各種システムやSaaSのアクセスログを一元的に把握でき、監査対応や内部統制の効率化に寄与します（すべてのシステムが対象となるかは連携状況によります）。

これにより、運用負荷の軽減と統制強化の両立が図りやすくなります。

Q1：経済産業省関連の評価で高評価を得るには何が必要ですか？: A1：既存ガイドラインへの対応と、継続的なセキュリティ体制の整備が重要です。
JAMA/JAPIAガイドラインや各種指針を踏まえ、重要システムへの多要素認証の導入や、アカウント管理・アクセス制御の整備を進めることが推奨されます。ただし、評価基準は制度ごとに異なるため、最新の要件確認が必要です。
Q2：工場や拠点ごとのパスワード管理のばらつきを防ぐ方法はありますか？: A2：SSOやID管理基盤の導入は有効な手段の一つです。
IDaaSを活用することで認証基盤を統一し、管理の一元化を図ることが可能です。ただし、すべてのリスクを排除できるわけではないため、端末管理やログ監視などと組み合わせた対策が重要です。

サイバーセキュリティ対策は、取引継続や企業信頼に影響を与える重要な要素となっています。一方で、対策は段階的に進めることも可能です。

「GMOトラスト・ログイン」は初期費用なしで検証可能なプランが提供されており、自社環境への適合性を確認しながら導入を検討できます。運用負荷とセキュリティのバランスを見極める手段として、トライアルの活用も有効です。