サプライチェーンリスク

調達先や委託先を経由して自組織が被害を受けるリスク。取引先を踏み台にした侵入や、部品・サービスの供給停止が該当し、委託先の管理と契約による統制が対策となる。

製品やサービスの調達、製造、配送に関わる取引先や委託先のつながり（サプライチェーン）を通じて生じるリスク。取引先の被災による部品の供給停止や、セキュリティ対策の弱い委託先や組み込まれたソフトウェアを経由した攻撃・情報漏えいなどがある。

調達先や委託先、利用しているソフトウェア部品の側で生じた問題が、自組織の事業や情報セキュリティに波及するリスク。取引先経由の侵入や部品への不正コード混入が典型で、委託先の管理とSBOMによる部品把握が対策となる。

委託先やビジネスパートナー、製品・サービスの提供元を経由して発生する情報セキュリティリスク。委託先からの情報漏洩、ソフトウェアの脆弱性の混入、悪意あるコードの埋め込みなどが含まれる。SBOMの活用やセキュリティ要件の契約明記が対策となる。

委託先やビジネスパートナー、製品・サービスの提供元を経由して発生する情報セキュリティリスク。委託先からの情報漏洩、ソフトウェアの脆弱性の混入、悪意あるコードの埋め込みなどが含まれる。SBOMの活用やセキュリティ要件の契約明記が対策となる。

業務の過程、人の行動、システムの不備や障害、外部の事象が原因で損失が生じるリスク。事務処理の誤り、内部不正、システム障害、サイバー攻撃、災害などを含み、金融機関のリスク管理で使われてきた分類である。

クラウドサービス、SaaS、外部の生成AIサービスなどを業務に使うことに伴うリスク。事業者側の障害やサービスの終了、入力した情報の学習への利用や漏えい、データの保存場所や管理状況が見えにくいことなどがあり、責任共有モデルや契約・利用規約の内容を確かめて管理する。

組織や従業員がSNSで情報を発信することに伴うリスク。機密情報や個人情報の書込み、写真に写り込んだ情報からの所在地や社内の状況の特定、不適切な投稿による炎上や信用の低下などがあり、ソーシャルメディアポリシーで発信のルールを定めて教育する。

国家間の対立、紛争、政変、経済制裁などの国際情勢の変化によって、事業やサプライチェーン、情報システムが受けるリスク。国家が関与するサイバー攻撃の増加、特定の国の製品やクラウドサービスの利用の制限、海外拠点のデータの取扱いなどが情報セキュリティ上の懸念となる。

サプライチェーンを構成する企業のセキュリティ対策の水準を、★の段階で評価して可視化する制度。経済産業省と国家サイバー統括室が監督し、IPAが運営する。全企業が最低限目指す★3は専門家の確認付きの自己評価、より高い水準の★4は評価機関による第三者評価で、2027年3月に申請の受付を始める予定である（★5は検討中）。