--- type: guideline title: 政府情報システムにおけるサプライチェーン・リスクの概要 source: デジタル庁 ds_code: ds-203 category: security updated: 2025-06-30 source_url: https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/13925da9/20250630_resources_standard_guidelines_technical_report_01.zip --- # 政府情報システムにおけるサプライチェーン・リスクの概要 ## サプライチェーン・リスクの情勢 政府情報システムに限らず、情報システムの構築・運用・保守においては、サードパーティ製の機器やソフトウェアの利用だけでなく、業務委託や各種サービスの活用など、自組織のみで対応することが難しい場合に、専門の外部事業者に依頼することがある。これらの外部事業者やその従業員はすべてサプライチェーンの一部と見なされる。特に近年ではクラウドサービスの利用が前提となり、サプライチェーンが一層拡大している。 その結果、表２に示すように、サプライチェーンに起因するセキュリティインシデントが多発しており、その被害も日々拡大している。 表２　サプライチェーンに起因するセキュリティインシデント

関係する

サプライチェーン

 事例内容
委託先 2022年10月、大規模な医療機関においてサイバー攻撃によりランサムウェアに感染し、電子カルテを含む情報システムが停止する事態となった。この攻撃は、委託先のシステムを経由して侵入され、院内の他のシステムへと被害が拡大した。その結果、救急診療や外来診療、予定手術の停止を余儀なくされ、診療機能の復旧には約2ヶ月を要した。（機密性、可用性、完全性の損失）
クラウドサービス 2019年12月、あるクラウドサービスが障害を起こし、全国の複数の自治体で住民票の発行や戸籍証明書の交付などの行政サービスが停止した。原因はストレージ装置のファームウェア不具合によるハードウェア故障で、復旧までに約1週間を要した。（可用性の損失）
ソフトウェア 2020年12月、あるIT管理ソフトウェア企業のネットワーク監視製品がサイバー攻撃を受け、アップデートにバックドア型マルウェアが仕込まれた。このマルウェアにより、約18,000の組織が影響を受け、海外政府の重要機関のシステムも侵害された。（機密性の損失）
委託先 2018年２月、ある公的機関が、個人情報のデータ入力業務を国内の業者に委託したが、その業者が許可なく海外の業者に再委託し、個人情報が海外に渡っていたことが発覚した。（機密性の損失）
## サプライチェーン・リスクへのセキュリティ対策の必要性 表２の事例が示すように、自らの組織や情報システムのセキュリティ対策のみならず、サプライチェーン全体のリスクも考慮した上で、適切なセキュリティ対策を実施しなければ、結果的に自らにまで悪影響が及ぶことになる。そのため、政府情報システムにおいても、表３に代表されるサプライチェーン・リスクに起因する大規模な攻撃や事故等に備えて、様々な観点で十分なセキュリティ対策を実施することが求められる。 さらに、様々な情報システムやモノが繋がる時代において、サプライチェーン・リスクの影響は特定の機関に限定されず、複数機関、ひいては政府全体にまで波及する可能性を懸念し、多層でのセキュリティ対策を実施することが求められている。 また、サプライチェーン・リスクは、経済安全保障分野においても想定されている。「経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律」（令和４年法律第43号）に基づく「特定妨害行為の防止による特定社会基盤役務の安定的な提供の確保に関する基本指針」[^2]では、特定妨害行為[^3]の例示として、我が国の外部から特定社会基盤役務の安定的な提供を妨害しようとする主体の影響を受けた特定重要設備又は構成設備の供給者が、当該特定重要設備に不正なプログラムを埋め込み、そのプログラムにより当該特定重要設備の機能を停止させ、又は低下させる行為といったものなどが挙げられている。 以上を踏まえると、サプライチェーン・リスクへの対応を喫緊の課題として認識し、実施することは極めて重要である。 表３　サプライチェーン・リスクに起因する影響例
影響例 内容
データ漏えい 悪意ある攻撃者が脆弱性を悪用し、機密情報や個人情報、顧客データにアクセスすることで、データが外部に漏えいする可能性がある。また悪意ある作業従事者がアクセスすることで、同時に外部に漏洩する可能性がある。これらにより、組織の信用失墜や法的な問題が発生するおそれがある。

サービス停止

（ダウンタイム）

 脆弱性を利用した攻撃により、サービスが一時的または長期にわたって停止する可能性がある。これにより、ユーザのアクセスが遮断され、組織の信頼性が損なわれるとともに、経済的損失も乗じるおそれがある。
不正な操作や改ざん 攻撃者が脆弱性を悪用してシステム内に侵入し、データの改ざんや操作を行うことで、システムの品質や正確性が損なわれる危険性がある。特に行政機関では、改ざんによって国民に誤った情報が流布される等の被害が大きな影響となるおそれがある。
攻撃の踏み台化 脆弱性を利用した攻撃により、自組織のシステムが他のシステムやネットワークへの攻撃の踏み台として利用される可能性がある。これにより、サプライチェーン全体に悪影響が及び、取引先や顧客に対する信用を損なうおそれがある。
法的責任と罰則 個人情報や機密情報が漏洩した場合、関連する法律や規制（例：GDPR、個人情報保護法など）に違反し、罰金や制裁措置が科される可能性がある。さらに、被害者からの訴訟に発展するおそれがある。
行政機関の信用の毀損 サイバー攻撃を受けたことが公表されると、行政機関の信用が大きく損なわれ、利用者離れが起きる可能性がある。特に大規模な個人情報漏えいが発生した場合、行政機関が推進・運営する事業や行政サービスの継続にも影響を及ぼすおそれがある。
社会的な混乱 インフラ系のシステムや行政サービスで脆弱性が悪用された場合、社会的混乱を招く可能性があり、組織の対応が遅れれば遅れるほど国民が必要なサービスを利用できない等の被害が拡大する可能性がある。
## 政府情報システムにおけるサプライチェーン・リスクの分類と定義 本書では、政府情報システムにおけるサプライチェーン・リスクの分類と定義について、「政府機関等のサイバーセキュリティ対策のための統一基準群」でサプライチェーン・リスクに言及している「第４部　外部委託」において、業務委託、クラウドサービス、機器等の調達に分けて遵守事項等が定められていることを基に、政府情報システムの開発や運用業務に従事する関係者、システムの構成要素、サプライチェーンに関するインシデント事例などを考慮した。 以上を踏まえ、政府情報システムにおけるサプライチェーン・リスクを、表４のとおり、３つに分類して定義する。 表４　政府情報システムにおけるサプライチェーン・リスクの分類と定義 | リスクの分類 | 定義 | |----|----| | ビジネスサプライチェーン・リスク | 政府情報システムの開発・運用・保守等の業務を請け負う委託先や再委託先（それ以降も同様）に関連する、内部不正による情報漏えいやマルウェア感染等のサイバー攻撃による事業停止等が発生するセキュリティリスク | | サービスサプライチェーン・リスク | 政府情報システム等で利用する事業者によって提供されるクラウドサービスに関連する情報漏えい、業務停止等が発生するセキュリティリスク | | 機器・ソフトウェアサプライチェーン・リスク | 政府情報システムで利用するソフトウェアやハードウェアに含まれるバックドアや致命的な脆弱性が悪用され、システムへの不正アクセスやマルウェア感染等のサイバー攻撃を受け、情報漏えい、業務停止等が発生するセキュリティリスク |