経営・DX約16分で読めます

サプライチェーン攻撃とは｜元請の建設会社が問われる対策

2026年10月14日

サプライチェーン攻撃とは、取引先や業務の委託先など、つながりのある会社の守りの弱いところを足がかりにして、本来の標的に攻撃を広げる手口です。 IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織向けの2位に「サプライチェーンや委託先を狙った攻撃」が入り、8年連続で選ばれています。対策の基本は、自社の守りを固めることに加えて、委託先にも自社と同等の対策を求め、契約で責任を明確にすることです。

建設会社の元請は、このつながりの真ん中にいます。上には発注者（施主）、横には設計事務所、下には多数の協力会社と資材の納入業者がいて、図面、発注者の情報、協力会社の作業員の情報が元請を通って行き来します。この記事では、元請が「委託元」と「取引先」の2つの立場で問われる対策を整理します。

元請の建設会社を通る情報の流れ

相手	元請が受け取る・渡す情報の例	狙われ方の例
発注者（施主）	発注者の社名・担当者、建物の用途や配置、セキュリティ設備の図面	元請を経由して発注者の情報が漏れる
設計事務所	設計図書、変更の指示、BIM（建物を3次元のモデルで管理する手法）のデータ	共有したファイルや共有フォルダからウイルスが広がる
協力会社	施工図、工程表、見積・請求、作業員の名簿	協力会社のメールを乗っ取って、元請に偽の請求を送る
資材の納入業者	発注書、納期、支払情報	納入業者を装って振込先の変更を求める

施工体制台帳には、下請負人の商号や住所に加え、建設工事に従事する人の氏名・生年月日・年齢、職種、社会保険の加入状況なども記載します（建設業法施行規則第14条の2）。元請は、協力会社の作業員の個人情報も預かる立場にあります。台帳の作り方は施工体制台帳の作り方で解説しています。

立場1：委託元として問われること

IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」は、委託先に提供した情報が漏えいしたり改ざんされたりしたとき、それが委託先の不備だったとしても、事故の影響を受ける人から委託元としての管理責任を問われると説明しています。そのうえで、業務の一部を外部に委託する場合は、委託先でも少なくとも自社と同等の対策が行われるようにし、契約書に情報セキュリティに関する委託先の責任や実施すべき対策を明記して合意する必要があるとしています。

元請に置き換えると、協力会社に渡した施工図や発注者の情報が協力会社から漏れても、発注者から見れば「元請に預けた情報が漏れた」ことになります。協力会社を責めて終わりにはできません。

立場2：取引先として求められること

同じガイドラインは、サプライチェーンの弱点を突いたサイバー攻撃が増えており、取引先からセキュリティ対策の実施を求められることも少なくないと指摘しています。工場、物流倉庫、病院、データセンターなど、発注者自身が情報の守りに厳しい業界の建物を受注するときは、元請も発注者のサプライチェーンの一員として対策の説明を求められます。

IPAのガイドラインは、取引先からの要請に限られた予算で応えるためには、取引関係のある会社どうしでパートナーシップを築き、必要な対策の実施とともに価格交渉をして、円満に合意することが大切だとしています。元請が協力会社に求める場合も同じで、費用がかかる対策を一方的に押しつけると長続きしません。

国の評価制度の動き

経済産業省と内閣官房国家サイバー統括室は、「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）を進めています。IPAのガイドライン第4.0版（2026年3月）では、企業の対策のレベルを★3（専門家の確認つきの自己評価）と★4（第三者評価）で評価する仕組みとして紹介され、2026年度下期の制度開始を目指して整備中とされています。IPAは2026年4月に制度のサイトを公開し、9月には評価機関などの募集を始めています。開始時期や要求事項は、IPAの公式サイトで最新の情報を確かめてください。

それまでの目安として使いやすいのが、IPAの「SECURITY ACTION」（中小企業が自ら対策に取り組むことを宣言する制度）です。協力会社に求める最初の水準として、一つ星の宣言を目安にする考え方があります。制度の中身はSECURITY ACTIONとはで解説しています。

実行予算の作成や数量の拾い出しに、毎回時間を取られていませんか？

図面からの数量拾い出し・実行予算書・施工計画書の作成にかかる時間を、PattoAI で大幅に短縮できます。

詳しく見る無料デモで確認する

【早見表】協力会社に求める対策の段階

段階	協力会社に求めること	元請がすること
1. 基本	OSとソフトウェアの更新、ウイルス対策ソフト、パスワードの使い回しをやめる	共有フォルダの利用条件として伝え、相談先を示す
2. 共有の入口	元請と共有するアカウントに多要素認証をかける。担当者が外れたら元請に知らせる	協力会社のアカウント一覧を作り、竣工時に停止する
3. 受け渡し	図面や名簿をメールに添付せず、決めた共有の仕組みで受け渡す。誤送信に気づいたら元請に知らせる	受け渡しの方法と、事故の連絡先を決めて伝える
4. 契約	秘密保持と、事故が起きたときの報告を契約に入れる	契約書や注文書の約款に情報の扱いを明記する

段階1と2は、元請の仕組みの側でかなりの部分を肩代わりできます。協力会社の規模はさまざまなので、元請が共有の仕組みを用意し、協力会社には「その仕組みの使い方を守ってもらう」形にすると、小さな会社にも無理なく広がります。見積や発注のやり取りの見直しと合わせて進めるなら、協力会社見積の査定のやり方で扱っている発注の流れに、情報の受け渡しのルールを足すのが自然です。

協力会社を装った攻撃に備える

サプライチェーンの攻撃で、元請が最も身近に受けやすいのは、協力会社や納入業者になりすましたメールです。IPAは、ビジネスメール詐欺（取引先や経営者になりすまして偽の口座に送金させる詐欺）の手口として、取引先になりすまして攻撃者の口座に差し替えた偽の請求書を送りつけるものを挙げています。対策として、急な振込先や決済手段の変更があった場合は、取引先にメール以外の方法で確かめることを求めています。

元請の経理では、協力会社からの「口座変更のお知らせ」を受けたら、登録済みの電話番号に折り返して確かめるルールにしてください。メールに書かれた電話番号にかけたのでは確認になりません。見分け方は標的型攻撃メール・誤送信対策で整理しています。

【チェックリスト】元請として今期に確かめること

協力会社・設計事務所と共有している仕組み（クラウドストレージ、施工管理アプリ、メール）を一覧にしたか
協力会社のアカウントを、竣工した現場の分まで停止しているか
協力会社との基本契約や注文書の約款に、秘密保持と事故時の報告が入っているか
振込先の変更をメールだけで受け付けない手順になっているか
発注者から対策の説明を求められたときに出せる資料（自社の基本方針や取り組みの一覧）があるか
事故が起きたとき、協力会社から元請の誰に連絡するかを伝えているか

よくある質問

Q. 協力会社の情報漏えいでも、元請に責任がありますか。 A. IPAのガイドラインは、委託先の不備による漏えいでも、事故の影響を受ける人から委託元としての管理責任を問われると説明しています。法的な責任の範囲は契約や事案によって異なりますが、発注者への説明は元請が行うことになると考えて備えるのが現実的です。

Q. 小さな協力会社にどこまで求めればよいですか。 A. まずは基本の対策と、元請と共有する入口の守りから始めます。元請が共有の仕組みを用意し、使い方のルールを守ってもらう形にすると、協力会社の負担を抑えられます。費用がかかる対策を求める場合は、IPAのガイドラインが示すように価格の話し合いとセットで進めます。

Q. サプライチェーン攻撃とランサムウェアは別のものですか。 A. 別の切り口です。サプライチェーン攻撃は「どこから入るか」、ランサムウェアは「入った後に何をされるか」を表します。取引先のつながりを足がかりにしてランサムウェアに感染させられることもあります。備えはランサムウェア対策と感染したらを参照してください。

まとめ

元請の建設会社は、発注者から見れば取引先であり、協力会社から見れば委託元です。自社の守りを固めるだけでなく、協力会社と共有する入口を元請の側で管理し、契約と支払いの手順に情報の守りを組み込むことが、サプライチェーン全体の弱いところをなくす近道です。

出典・参考

IPA（情報処理推進機構）「情報セキュリティ10大脅威 2026」（2026年1月29日）: https://www.ipa.go.jp/security/10threats/10threats2026.html
IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」（2026年3月27日）委託先の情報セキュリティ対策、取引先とのパートナーシップ構築、SCS評価制度のコラム: https://www.ipa.go.jp/security/guide/sme/about.html
IPA「サプライチェーン強化に向けたセキュリティ対策評価制度」: https://www.ipa.go.jp/security/scs/index.html
IPA「ビジネスメール詐欺のパターンとは」「ビジネスメール詐欺の対策について知る」: https://www.ipa.go.jp/security/bec/bec_pattern.html
建設業法施行規則第14条の2（施工体制台帳の記載事項）（e-Gov法令検索）: https://laws.e-gov.go.jp/law/324M50004000014

※ 2026年10月14日時点で各資料を確認しています。