日本政府の情報セキュリティ施策、サプライチェーン可視化制度が始動
日本政府は令和7年7月上旬、情報セキュリティ対策の重点施策を相次いで発表しました。特に注目すべきは、サプライチェーン全体を対象にした新しいセキュリティ評価制度の始動と、政府機関向けの統一基準群改定です。企業の経営層・セキュリティ担当者が押さえるべき5つの重点ポイントを解説します。
サプライチェーン評価制度（SCS評価制度）が本格始動
経済産業省と内閣官房国家サイバー統括室は、サプライチェーン全体のセキュリティ対策状況を可視化する新制度「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の運用準備を急速に進めています。7月7日には独立行政法人情報処理推進機構（IPA）がメールニュース登録受付を開始しました。
制度の狙い
委託先やビジネスパートナーを含むサプライチェーン全体の対策状況を「見える化」し、企業の立ち位置に応じた対策水準を明確にすることが目的です。従来は個別契約で確認項目が異なっていましたが、この制度により、発注企業側が「★3」「★4」といった統一的な対策水準を要求できるようになります。
評価の段階構成
| 段階 |
想定脅威 |
要求対策 |
| ★3 |
広く認知された脆弱性を悪用する一般的なサイバー攻撃 |
基本的なセキュリティ対策、組織ガバナンス |
| ★4 |
供給停止や情報漏えいで大きな影響をもたらす攻撃 |
取引先管理、インシデント対応、検知体制 |
| ★5 |
未知の攻撃を含む高度なサイバー攻撃 |
今後検討予定 |
対応スケジュール
| 時期 |
内容 |
| 2026年3月27日 |
制度構築方針を公表 |
| 2026年4月 |
IPA公式サイト開設 |
| 2026年7月7日 |
メールニュース登録開始 |
| 2026年度末頃 |
運用開始予定（2027年3月前後） |
詳細は IPA公式ページ を参照ください。
政府機関向け統一基準群が令和7年度版に改定
国家サイバー統括室は令和7年6月27日、政府機関のセキュリティ対策の基準となる「政府機関等のサイバーセキュリティ対策のための統一基準群」の令和7年度版を決定し、7月1日から施行しました。
改定の背景
改定背景には、政府機関への高度なサイバー攻撃の増加、生成AIの活用拡大に伴う新たなリスク、そして重要インフラを狙う攻撃による実被害の顕在化があります。
3つの改定重点
1. 脆弱性パッチの迅速適用
- 従来の「定期的な適用」から「迅速かつ継続的な適用」へシフト
- 必要に応じてシステムの一時停止も含む対応を明示
2. 高性能AI悪用リスクへの備え
- AI技術の進歩に伴い、脆弱性発見・悪用の速度が加速することを前提
- より高速かつ大量の脆弱性対策を要求
3. サプライチェーン・リスク管理の強化
- 政府機関の調達先を含むサプライチェーン全体の安全性確保を明示
- 委託先リスクの継続的な監視を義務付け
詳細は 国家サイバー統括室公式ページ を参照ください。
Linux脆弱性対策が急務に
情報処理推進機構（IPA）は、Linux カーネルの深刻な脆弱性「CVE-2026-31431（通称『Copy Fail』）」への警戒を呼びかけています。
脆弱性の概要
| 項目 |
詳細 |
| 脆弱性ID |
CVE-2026-31431 |
| 脆弱性タイプ |
ローカル権限昇格（LPE） |
| 影響範囲 |
2017年以降の広いLinuxカーネル系列 |
| 対象環境 |
Amazon Linux、RHEL、SUSE、Ubuntu、Kubernetes |
対応方法
修正版は主要ディストリビューションで既に公開されています：
- Amazon Linux 2/2023：ALAS2-2026-3289、ALAS2023-2026-1650/1651
- Debian：DLA-4560-1/4561-1、DSA-6238-1/6243-1
- SUSE：15 SP5～SP7対応版が利用可能
⚠️ 重要： IPAは、ネットワーク越しではなくローカルアクセスが前提とはいえ、権限昇格に悪用される恐れがあるため、迅速なパッチ適用を推奨しています。
詳細は IPA注意喚起ページ をご確認ください。
中小企業支援施策の強化
政府は、サプライチェーン全体のセキュリティ水準を底上げするため、中小企業向けの支援策を大幅に強化しています。
新規施策
セキュリティインシデント対応力向上事業（IPA 7月公告）
- インシデント対応事例集の作成
- 実践的な演習教材の開発
- 中小企業向けトレーニングプログラムの提供
サイバーセキュリティお助け隊サービス（新類型）
- 2026年夏頃より実証事業開始予定
- 中小企業と大企業を仲介したセキュリティ対策支援
- サプライチェーン全体の波及被害抑止を目標
人材育成の継続
情報処理技術者試験（応用情報技術者試験・情報セキュリティマネジメント試験など）を通じて、セキュリティ人材の育成を継続しています。
詳細は IPA採用情報ページ をご確認ください。
企業が今すぐ着手すべきアクション
チェックリスト
- 統一基準群（令和7年度版）の内容確認
既存のセキュリティ対策基準との差分を確認し、運用改善を検討してください
- 脆弱性対策の強化
Linux環境を利用している場合、CVE-2026-31431を含めた重要脆弱性を優先対応してください
- SCS評価制度への対応準備
2027年3月の運用開始に向け、取引先との契約内容見直しを検討してください
- サプライチェーン・リスク管理の整理
委託先や外部パートナーのセキュリティ状況を把握・監視する体制を構築してください
- 従業員教育の実施
セキュリティ意識向上のための研修やトレーニングを計画・実施してください
まとめ
日本政府のセキュリティ施策は、個別対応から「サプライチェーン全体の可視化・評価」へシフトしています。大企業は調達基準の見直し、中小企業は対策状況の整理を今から準備することが、2027年度以降の競争力を左右します。詳細情報は、国家サイバー統括室・IPA・経済産業省の公式ページを定期的に確認してください。
