サイバー被害の約7割は「取引先・委託先」から侵入、NISC報告書が示す『SBOM（ソフト部品表）』で調査時間が14日→3時間に短縮された理由
病院の電子カルテ停止や港湾のコンテナ搬出麻痺、大手メーカーの工場稼働停止など、ランサムウェア（身代金要求型ウイルス）による被害が後を絶たない。内閣サイバーセキュリティセンター（NISC）と経済産業省が公表した2026年年次報告書は、攻撃者の手口が「大企業の正面突破」から「取引先の裏口突破」へと完全に移り変わった実態と、それを防ぐ新しい武器『SBOM』の威力を明らかにした。
発表の核心：被害の68.4%は「弱い取引先」が踏み台に
報告書によると、電力・通信・金融・医療・物流などの重要インフラ15分野および関連企業で発生した重大インシデントのうち、実に68.4%がシステム保守の委託先や部品サプライヤー、海外子会社などを経由して侵入されていた（2024年の54.2%から14.2ポイント上昇）。
大企業本体が何重ものセキュリティ対策を固めた結果、攻撃者はセキュリティ予算や専門人材が不足している「取引先の中小企業」の古いVPN機器などを狙い撃ちにし、そこから正規の専用線を通って大企業の内部へ侵入する手法を常態化させている。
構造的課題：Excelアンケートをなくした『SBOM（ソフトの原材料表示）』の威力
こうしたサプライチェーン全体の弱点を素早く塞ぐために導入が急拡大しているのが**「SBOM（エスボム：ソフトウェア部品表）」**だ。
現代のソフトウェアや医療機器、自動車のシステムは、何千個もの「オープンソース（無償公開されているプログラム部品）」を組み合わせて作られている。これまで世界に重大なバグ（脆弱性）が見つかるたび、日本企業は開発委託先に「うちのシステムにその危険な部品は入っていないか？」とExcelのアンケートを送り、調査結果が返ってくるまでに平均14日間もかかっていた。その間にハッカーに攻撃されてしまうケースが多発していたのだ。
しかし、食品の「原材料表示」のように、システムに含まれるすべてのプログラム部品をあらかじめ一覧データ（SBOM）として登録していた企業（重要インフラの61.5%が導入済み）では、ボタン一つで自動検索ができるため、影響範囲の特定時間が平均3.2時間へと99%も短縮された。
キーワードの背景と知っておくべき専門用語
- SBOM（Software Bill of Materials：ソフトウェア部品表）: ソフトウェアの中に「どのメーカーの、どのバージョンのプログラム部品が組み込まれているか」を機械で読み取れる形式で記録したリスト。欧米でも製品の輸入・調達条件として義務化が進んでいる。
- サプライチェーン攻撃: ターゲットとする大企業や官公庁を直接攻撃するのではなく、取引関係のある関連会社や業務委託先を先にハッキングし、そこを踏み台にして本丸へ侵入する攻撃手法。
- 能動的サイバー防御: 被害を受けてから復旧するのではなく、官民で攻撃者のサーバー情報や不審な通信の予兆をリアルタイムに共有し、被害が出る前に通信を自動遮断・無害化する防衛体制。すでに2,840事業者が接続し、年間42万件の攻撃通信をブロックしている。
今後の展望と私たちの仕事への影響
政府は取引先のセキュリティ対策状況を5段階で評価する仕組みを導入しており、今後は「セキュリティ対策やSBOM提出ができない企業は大手企業と取引できない」時代になる。中小企業にとってもセキュリティは単なる防衛費ではなく、取引を継続するための「営業上の必須資格」へと位置づけが変わっている。