サイバー攻撃対策とサプライチェーン攻撃｜電気工事会社の備え

サイバー攻撃の対策は、よく起きている脅威から順に手を打つのが近道です。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」組織編では、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」でした。サプライチェーン攻撃とは、取引の流れ（サプライチェーン）の中で対策の弱い会社を足がかりにして、取引先や発注者を狙う攻撃のことです。

電気工事会社は、元請、発注者（工場・病院・ビルのオーナー）、協力会社の間に立ち、図面や施設情報、時には顧客設備への遠隔接続まで預かっています。自社が被害に遭うだけでなく、取引先への入口にされるおそれがある立場です。

10大脅威2026（組織編）の顔ぶれ

IPAが2026年1月29日に公開した組織編の順位は次のとおりです。電気工事会社との関わりを右の列に書きました。

順位	脅威	電気工事会社との関わり
1	ランサム攻撃による被害	積算・図面・写真が使えず業務が止まる
2	サプライチェーンや委託先を狙った攻撃	自社経由で元請・発注者が狙われる／委託先から自社が狙われる
3	AIの利用をめぐるサイバーリスク	生成AIへの図面・顧客情報の入力
4	システムの脆弱性を悪用した攻撃	更新していないVPN機器やルーター
5	機密情報を狙った標的型攻撃	取引先を装ったメール
6	地政学的リスクに起因するサイバー攻撃（情報戦を含む）	重要インフラの工事に関わる場合
7	内部不正による情報漏えい等	退職者による顧客台帳の持ち出し
8	リモートワーク等の環境や仕組みを狙った攻撃	現場や自宅からの社内接続
9	DDoS攻撃（分散型サービス妨害攻撃）	自社サイトや予約システムの停止
10	ビジネスメール詐欺	協力会社を装った振込先変更の依頼

1位のランサム攻撃はランサムウェア対策の記事、3位のAIはChatGPTの情報漏洩の記事、5位と10位のメールはメール経由の事故の記事で扱っています。この記事では2位のサプライチェーン攻撃を中心に説明します。

電気工事会社が「踏み台」になる経路

IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」は、サプライチェーンの弱点を突いたサイバー攻撃が増えており、対策が不十分だと取引先の事業活動にまで影響を及ぼす可能性があるとしています。電気工事会社で考えられる経路を整理します。

経路	起こりうること
元請・発注者とのメール	自社のメールアカウントが乗っ取られ、正規のやり取りの続きとして不正な添付ファイルが送られる
共有された図面・施設情報	工場やデータセンターの受変電設備の配置、警備や入館の情報が盗まれる
顧客設備の遠隔監視	監視用のゲートウェイやVPNの設定が甘く、顧客のネットワークへの入口になる
発注者のシステムへのアカウント	書類提出や入館申請のアカウントが悪用される
協力会社とのファイル共有	対策の弱い協力会社から、自社の共有フォルダに侵入される

特に、保守契約で顧客の受変電設備やデマンド監視の機器をネットワークにつないでいる会社は、自社の設定ミスが顧客の設備側のリスクになることを意識しておく必要があります。監視機器のセキュリティ要件はIoT保守の記事を参照してください。

取引先から対策を求められたら

IPAのガイドラインは、取引先からセキュリティ対策を求められることも少なくないとしたうえで、対策には費用がかかるため、取引関係のある会社どうしでパートナーシップを築き、必要な対策と価格交渉を進めて円満に合意することが大切だとしています。要点として挙げられているのは次の4つです。

• 日頃から、対策の必要性や費用負担の考え方について企業間で十分にコミュニケーションを取る
• 価格交渉には積極的に対応する
• 対策の実施には国の支援策の活用も検討する
• 必要に応じて支援機関に相談する

国の支援策として、ガイドラインはサイバーセキュリティお助け隊サービスとデジタル化・AI導入補助金を、相談先として公正取引委員会の相談窓口や取引かけこみ寺を紹介しています。

元請の立場では協力会社にも目を配る

電気工事会社は、ゼネコンに対しては下請、自社の協力会社に対しては元請の立場になることがあります。協力会社に一方的に対策を求めるのではなく、共有するデータの範囲を必要最小限にする、アカウントを取引終了時に止めるなど、自社側でできる対策から始めます。協力会社との付き合い方全般は協力会社の選び方と付き合い方の記事も参考にしてください。

SCS評価制度（★3・★4）の動き

IPAのガイドラインによると、経済産業省と内閣官房国家サイバー統括室は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の整備を進めています。企業のセキュリティ対策の水準を、★3（専門家確認付き自己評価）と★4（第三者評価）で評価する仕組みです。IPAのSCS評価制度のよくある質問（2026年5月29日更新）では、★3・★4は2027年3月頃の運用開始を予定しているとされ、申請・登録の費用は今後公開予定とされています。

段階	位置づけ（ガイドラインの説明）
★3	すべてのサプライチェーン企業が最低限実装すべき対策。基礎的な組織的対策とシステム防御策が中心
★4	サプライチェーン企業等が標準的に目指すべき対策。組織ガバナンス・取引先管理、防御・検知、インシデント対応などを包括的に実施

制度の詳細や開始時期は今後の公表で確認が必要ですが、取引先から評価を求められる場面が増える可能性があります。まずはIPAの「SECURITY ACTION」で基本対策を宣言し、その上に積み上げていくのが現実的です。SECURITY ACTIONの進め方はSECURITY ACTIONの記事で解説しています。

被害に遭ったら隠さず共有する

IPAのガイドラインはコラムで、被害を受けた会社が情報を早く共有すれば、他の会社が同じ攻撃に備えられる「早期警報」になること、被害を隠すと後で発覚したときに社会的信用を失うリスクがあることを挙げ、取引先への共有・公表を勧めています。元請や発注者への連絡先と連絡の順番を、平時に決めておきましょう。

【独自】取引先に説明できる対策の棚卸し表

取引先から「どんな対策をしていますか」と聞かれたときに答えられるよう、次の表を埋めておきます。

分類	確認項目	状況
基本対策	OS・ソフトの更新、ウイルス対策ソフト、バックアップ	実施／一部／未実施
認証	メール・VPN・クラウドの多要素認証	実施／一部／未実施
預かった情報	発注者の図面・施設情報の保存場所と閲覧できる人	記入
遠隔接続	顧客設備につないだ機器の一覧と管理者	記入
協力会社	共有しているフォルダ・アカウントの一覧	記入
事故対応	連絡体制、相談先、取引先への報告の順番	決定済み／未決定
宣言・評価	SECURITY ACTIONの宣言、その他の認証	記入

まとめ

サイバー攻撃の対策は、10大脅威で上位のランサム攻撃とサプライチェーン攻撃から手を付けるのが効率的です。電気工事会社は元請・発注者・協力会社の間で図面や施設情報、遠隔接続を預かるため、自社が取引先への入口にならないよう、預かった情報と接続の棚卸しから始めてください。取引先から対策を求められたら、費用負担も含めて話し合い、国の支援策も活用しましょう。

あわせて読みたい

• ランサムウェア対策と感染したら｜電気工事会社の初動と備え
• SECURITY ACTIONとは｜電気工事会社の一つ星・二つ星の始め方
• IoTで電気設備の保守を自動化する｜遠隔監視と予知保全の実装ガイド
• 電気工事の協力会社の選び方と付き合い方

出典・参考

• 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」（2026年1月29日）https://www.ipa.go.jp/security/10threats/10threats2026.html
• IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月27日）https://www.ipa.go.jp/security/guide/sme/about.html
• IPA「SCS評価制度 よくある質問」（2026年5月29日更新）https://www.ipa.go.jp/security/scs/faq.html
• IPA「サイバーセキュリティお助け隊サービス制度」https://www.ipa.go.jp/security/sme/otasuketai-about.html