サプライチェーン攻撃とは？設計事務所と外注先のサイバー攻撃対策

サプライチェーン攻撃は「取引でつながった弱いところ」から入る攻撃

サプライチェーン攻撃とは、守りの固い本命の組織を直接狙わず、取引でつながっている委託先や協力会社を経由して侵入したり、預けた情報を盗んだりする攻撃です。IPAの「情報セキュリティ10大脅威 2026」では、組織向けの2位が「サプライチェーンや委託先を狙った攻撃」でした。

設計事務所はこの鎖の真ん中にいます。施主やデベロッパー、ゼネコンから見れば図面と計画情報を預かる委託先であり、構造・設備の設計事務所、パースや模型の制作会社、測量会社へ仕事を出す委託元でもあります。本記事は、両方の立場で何を確かめ、何を準備するかをまとめます。

設計事務所がつながっている相手を図にする

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、経営者が認識すべき原則の一つに「委託先の情報セキュリティ対策まで考慮する」を挙げ、委託先に提供した情報が漏えいした場合、委託先の不備であっても委託元として責任を問われうるとしています。設計事務所が外注先へ図面を渡すときにも、同じことが当てはまります。

委託先として：発注者から求められる確認に備える

ガイドラインは、取引先からセキュリティ対策の実施を求められることも少なくないと述べています。発注者から確認票や誓約書が届いたときに慌てないよう、答えの材料を先にそろえておきます。

自己宣言制度のSECURITY ACTIONを宣言しておくと、取り組みの段階を説明する材料の一つになります。宣言は認定や認証ではないため、確認票には「宣言している」と正確に書きます。

委託元として：外注先との取り決め

外注依頼の進め方は外注依頼の記事で扱っているため、ここではセキュリティに関わる取り決めだけを挙げます。ガイドラインは、取引先との契約内容やセキュリティ要件を把握すること、機密性の高い情報を定めて取引先とのやり取りのルールを決めること、契約終了時に機密性の高い情報やアクセス権を回収または破棄することを求めています。

1. 渡す範囲を決める：構造検討に施主の連絡先は要りません。業務に必要な図面とデータに絞り、氏名や住所が入った表題欄は必要か確認します。
2. 受け渡しの経路を決める：事務所が管理する共有フォルダに相手のアカウントを招待し、メール添付や個人のファイル転送サービスに頼らない形にします。
3. 再委託と別サービスへの持ち出しを決める：外注先がさらに別の会社へ出す場合や、外注先が自社のクラウドへ取り込む場合の事前承認を決めます。
4. 秘密保持を契約に入れる：IPAの自社診断にも、重要情報の授受を伴う取引先との契約書に秘密保持条項を規定しているかを問う項目があります。
5. 終了時に回収・削除する：最終納品と同時に権限を外し、相手側に残ったデータの削除を確認します。

外注先に聞く確認票の例

外注先に大企業並みの対策を求める必要はありません。図面を預ける相手として、次の点を一枚で確認します。

記入例：構造事務所Fへの確認票。業務用アカウントで受領、共有フォルダは事務所側で用意、多要素認証は設定済み、事故時は当日中に電話とメールで連絡、納品後2週間以内に受領データを削除し完了をメールで連絡。

この確認票は、相手を疑うためではなく、事故が起きたときに互いが何をするかを先に合わせるためのものです。ガイドラインも、取引関係にある企業間でパートナーシップを構築し、必要な対策と費用負担について日頃から十分にコミュニケーションを取ることが大切だとしています。

共同作業の環境が広がることへの備え

国土交通省は2026年9月の「建築確認・検査におけるBIMデータ審査の導入に関する基本構想」で、2026年4月にBIMから出力される図書等を建築確認に用いる「BIM図面審査」を開始し、2029年春にはBIMデータそのものを建築確認・検査に用いる「BIMデータ審査」を導入するとしています。基本構想では、確認申請用のCDE（共通データ環境：関係者がデータを共有して作業する場）を使う考え方も示されています。

設計データをクラウド上で関係者と共有する場面は、今後も増えていきます。共有の場が増えるほど、参加者一人のアカウントが乗っ取られたときの影響範囲も広がります。参加者の一覧、権限、終了時の解除を、案件ごとに管理する習慣が大切になります。

SCS評価制度の動き

IPAのガイドライン第4.0版は、経済産業省と内閣官房国家サイバー統括室が推進する「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）を紹介しています。企業の対策レベルを★3（専門家確認付き自己評価）と★4（第三者評価）で評価する仕組みで、第4.0版の時点では2026年度下期の制度開始を目指して整備が進められていると説明されています。★3は全てのサプライチェーン企業が最低限実装すべき対策とされています。

制度の開始時期や要求事項は、経済産業省の最新の公表で確認してください。設計事務所としては、ガイドラインの基本的な対策を先に固めておくことが、どの制度にも共通する準備になります。

よくある質問

小さな事務所がサプライチェーン攻撃の入口になりますか

なりえます。攻撃者は守りの固い組織より、そこにつながる対策の手薄な組織を狙うことがあります。発注者の情報を預かっている以上、規模にかかわらず対策が求められます。

外注先が個人の設計者の場合はどうしますか

確認票を簡単にしても、業務用アカウント、共有の経路、終了時の削除の三点は合意します。個人事業者でも、預ける図面の重さは変わりません。

発注者の確認票に答えられない項目があります

できていないことを「できている」と書かず、対応予定と時期を書きます。答えられない項目は、事務所の対策の優先順位を決める材料になります。

出典・参考

• IPA「情報セキュリティ10大脅威 2026」
• IPA「中小企業の情報セキュリティ対策ガイドライン」第4.0版
• 国土交通省「建築確認・検査におけるBIMデータ審査の導入に関する基本構想」（2026年9月）

関係図、確認票、取り決めの手順は、上記の資料をもとに設計事務所向けに整理した運用例です。契約条項の書き方は、専門家の助言も得て決めてください。

関連記事

• 設計事務所の外注依頼はどう伝える？依頼票と確認条件の作り方
• 設計データを受け渡す前に何を確認する？形式と版の管理方法
• 設計資料は誰に共有する？社内・外注先・施主の権限設定
• SECURITY ACTIONとは？設計事務所が宣言する手順