サプライチェーンが問う「どう守っているか、見せてください」

「うちは重要インフラじゃないから、規制は関係ない」——その前提が、これから崩れます。問われるのは、あなたが「どう守っているか」を取引先に見せられるかどうかです。

前提が崩れる 「うちは重要インフラじゃない」はもう通用しない

これまで多くの製造業は、サイバーセキュリティ規制を「電力やガスのような重要インフラ事業者の話」と捉えてきました。しかし、その線引きは曖昧になっていきます。

重要インフラ事業者が規制対応を進めると、その要求は契約を通じて供給者——部品メーカー・装置メーカー・保守ベンダー——へと降りてきます。安全基準等策定指針も、供給者やその再委託先が事業者の資産にアクセスするリスクを低減するためのセキュリティ要求事項を、あらかじめ供給者と合意することを求め（指針 5.1.2）、直接の供給者と契約で役割・責任範囲を明確化し、それをサプライチェーンの先へと広げていくことを求めています（指針 4.4）。

つまり、あなたが重要インフラ事業者でなくても、その「取引先」であれば、要求は届きます。

取引の条件になる 「どう守っているか、見せてください」が標準になる

この流れを制度として後押しするのが、経済産業省が整備を進める「サプライチェーン強化に向けたセキュリティ対策評価制度」です。企業のセキュリティ対策状況を★の段階で可視化し、取引先選定の指標にする——いわば「どう守っているか」を見える形で示す仕組みです。

制度構築方針は2026年度下期の制度開始を目指すとしており、情報処理推進機構は★3と★4の運用開始を2027年3月頃と案内しています。ここでいう制度開始は、申請の受付が始まることを指します。★5は今後検討とされています。評価項目はNIST CSF をベースに「取引先管理」を加えた7分類で構成され、先行する自己宣言型の SECURITY ACTION（★1・★2相当）の上位に位置づけられます。

これまで製造業は、取引先ごとに異なるセキュリティチェックシートへの回答で疲弊してきました。これからは、★の段階に加えて「接続をどう統制し、証跡をどう残しているか」を、その都度・具体的に示せる状態が問われます。

問いの中身 問われているのは「接続の統制と、その証跡」

★評価が NIST CSF をベースにしているのは偶然ではありません。NIST CSF（識別・防御・検知・対応・復旧）も、IEC 62443（OTの実装規格）も、突き詰めれば「誰が・いつ・何に接続し、それをどう記録・制御したか」という同じ問いに行き着きます。EU の NIS2・CRA も同じ背骨を共有しています。

だから供給者が示すべきことは、規格の名前ごとにバラバラではありません。アクセスをどう管理し、最小権限と多要素認証をどう効かせ、通信をどう分離し、接続の証跡をどう残すか——この一つの実装を「見せられる」ようにしておけば、複数の要求に一度で応えられます。

実装 供給者として「見せられる」状態をつくる

Secomeaは、製造業・機械メーカーが「どう守っているか」を示せる状態を、実装で支えます。★評価が問う観点は、製品の機能でそのまま示せます。

さらにSecomeaは、IEC 62443-4-1 認証を取得（TÜV）し、IEC 62443-4-2 について第三者監査により準拠を実証しています。これは取引先に対し、「対策状況を公開している信頼できる事業者の製品」を使っていると示せる材料にもなります。