「Assured企業評価」、セキュリティレポートを公開
〜委託先の43.6%が再委託先を利用している実態が明らかに〜

2026年7月22日

株式会社アシュアード（本社：東京都渋谷区、代表取締役社長：大森 厚志）が運営する、取引先企業のセキュリティ信用評価「Assured企業評価」は、広範なサプライチェーンを構成する多様な委託先に対しての調査データを分析しました。そこで、セキュリティレポートを公開いたします。

2026年度末より経済産業省及び内閣官房国家サイバー統括室による「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）*1」の本格運用が予定されるなど、サプライチェーン全体を視野に入れたセキュリティガバナンスの重要性がかつてないほど高まっています。本制度では、セキュリティ対策水準の可視化と継続的な改善が求められており、サプライチェーンを構成する企業には、単なる基準の遵守にとどまらず、取引先を含むリスク管理体制の整備といった、実効性のあるセキュリティ対策が不可欠となっています。

*1　サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）

 

※本調査を引用される際には、「株式会社アシュアード調べ」と必ずご記載ください。

1. 再委託先の利用実態と影響度

委託先を対象に、委託元からの業務において再委託先を利用しているか調査したところ、全体の43.6%が「利用している」と回答しました。サプライチェーンの複雑化が進む現代において、半数近くの委託先が自社内だけで業務が完結せず、再委託先など外部サービスを組み込んで業務を遂行している実態が浮き彫りとなりました。

次に、再委託先を利用している委託先に絞り委託元の再委託先への情報預託について調査したところ、76.4%が「委託元の業務情報を預託している」と回答しました。これは全体の33.3%にあたる委託先が、委託元の業務情報を再委託先に預託している計算になります。業務の効率化やDXが進む中で、多くの重要なデータが委託元による把握・管理が不十分なまま、再委託先にて情報が取り扱われ、業務が遂行されている可能性が示されました。

 

さらに、再委託先を利用している委託先の49.2%が、「再委託先のセキュリティインシデントやサービス停止により、自社（委託先）の業務に影響を与える再委託先が存在する」と回答しました。これは、再委託先のシステム停止やサイバー攻撃の被害が、委託先、ひいては委託元の業務の遅延や停止に直結するリスクを抱えていることを意味しています。

 

2. 業務環境におけるリスク管理の課題

「委託先が業務を行う場所」「委託先の業務で利用する端末（PC、スマートフォン等）」「委託先の業務で利用するシステム環境（アプリケーション、サーバ、ネットワーク等）」の3つの組み合わせをクロス集計したところ、最も割合が高かったのは、「委託元・委託先が混在する複合環境」で、42.8%、全てを委託先が用意するが39.6%を占め、合わせて82.4%が、委託元による直接的なガバナンスが届きにくい環境で業務が行われている実態が明らかとなりました。

この結果は、「場所は委託先だが端末は委託元が提供する」といった、複雑な業務実態を裏付けています。こうした責任所在が混在する環境では、インシデント発生時に管理の境界線が曖昧になりやすく、適切なリスク管理を難しくさせる要因となるなど、サプライチェーン全体のセキュリティガバナンスにおける課題の一つになりえます。

 

3. 再委託先の選定・管理状況

委託先における再委託先の選定・管理ルールについて調査したところ、「再委託先のセキュリティリスク管理に関する方針や規定を策定している」と回答したのは67.9%に留まりました。 これは、全体の32.1%で、再委託先に関する基本的な方針や規定が策定されていないという「ガバナンスの空白」が生じている現実を示しています。43.6%が再委託先を利用するなど、サプライチェーンが複雑化する中、社内ルールの整備が追いついていない現実が浮き彫りとなりました。

次に、再委託先の選定および管理について、「再委託先を把握するための台帳等を、定期的に棚卸している」は58.4%、「再委託先とセキュリティ対応に関する要求事項を合意し、文書化している」は53.4%でした。 「要求事項の合意、文書化」といった一歩踏み込んだ継続的な運用や再委託先との連携フェーズにおいて、多くの委託先が課題を抱えている現状がデータから示されています。

 

4. インシデント発生時の役割・連絡体制

自社（委託先）で、セキュリティインシデントやシステム障害が発生した場合の対応体制について調査したところ、連絡先や連絡体制、エスカレーションフローを文書化していると回答した委託先のうち、「自社内の連絡体制、エスカレーションフロー」があると回答したのは98.6%と、極めて高い実施率を記録しました。多くの企業において、万が一自社でサイバー攻撃やシステム障害が起きた際、社内の誰に報告し、どのように経営層までエスカレーションすべきかという組織内の防衛ラインは、整備されていることが分かります。

 一方で、「委託元への連絡体制、エスカレーションフロー」があると回答したのは68.4%に留まりました。98.6%で自社内の連絡フローが徹底されていることと比較すると、外部のステークホルダーである「委託元への報告ルート」になった途端に30%以上が未整備のまま業務を行っているという、ガバナンスの弱さが浮き彫りとなっています。

 

次に、対応マニュアルの策定状況を調査したところ、全体の75.0%が「インシデント対応マニュアルを策定している」と回答しました。

さらに、マニュアルを策定している委託先を対象にその具体的な内容を調査したところ、「業務影響・対応優先度・原因に関する分析（89.2%）」や「インシデント対応の記録（88.1%）」、「証拠・ログの保全（83.1%）」は高い実施率となりました。 一方で、「サイバー攻撃に対する封じ込め・根絶（61.0%）」や「インシデント対応計画の作成や見直しにおける再委託先との連携（59.0%）」は低い割合に留まっており、実践的な対応力の確保や、再委託先を巻き込んだサプライチェーン全体の備えにおいては課題を抱えている現状が明らかとなりました。

本調査の結果で印象的だったのは、インシデント発生時の連絡体制に関する2つの数字の落差です。「自社内のエスカレーションフロー」を文書化している委託先は98.6%に達する一方、「委託元への報告フロー」は68.4%に留まりました。委託先、再委託先間でも同様に、委託先のインシデント対応マニュアル整備状況として、自社内で完結する項目は90%近くに達する一方、「再委託先との連携」は59.0%に留まります。これらの結果から、委託先各社のセキュリティ投資は「自社を守る」という目的に対しては機能している一方、「社外との接続」においては死角が生まれていることが示唆されます。

さらに、委託元にとってその死角に自社の業務が置かれている可能性が高いことに注目する必要があります。業務環境の82.6%は委託元の直接的なガバナンスが届きにくく、再委託先を利用する委託先の49.2%が「再委託先に起因して委託元業務に影響が及びうる」と回答しています。今、委託元に求められるのは「自社の統制が届かない領域が必ず存在する」という前提に立つことです。統制の限界は、委託関係がある以上なくなりません。それを認識した上で、「委託先に何を守らせるか」だけではなく、「守れなかったときに何が起きるかを、双方が事前に把握しているか」も補完することが、これからのサプライチェーンリスク管理の要諦になると考えます。

サイバー攻撃が絶えない現代のビジネス環境において、委託元・委託先双方が連携し透明性の高いサプライチェーンを構築することの重要性はこれまで以上に高まっています。「Assured企業評価」では、取引先企業の安全性を可視化するプラットフォームとして、今後もサプライチェーン全体のセキュリティ強化に貢献してまいります。