「うちは狙われない」は正しい。でも、あなたの会社は通り道です

先日、ある工場に伺いました。

 

工場の中に、カメラが付いていました。
自分たちで決めたものではありません。
お客さんの会社から
「付けてほしい」と言われたそうです。

 

 

それだけではありませんでした。
セキュリティ対策として
今どんなことをしているか。

 

それを紙にまとめて出してほしい。
そう言われて出した、とのことでした。

 

こういう頼まれごとは、これから増えます。

 

ただ、お客さんの会社が
なぜそれを求めたのか。
そこまで教えてもらえることは、
たぶんありません。

 

言われたから出す。
それで終わってしまう。

 

もったいない話です。

 

 

---

品質・価格・納期の隣に、もう一つ増える

中小企業にセキュリティの話をすると、
今でもこう言われます。

 

 

 

これは、たぶん正しいんです。
わざわざ町工場を名指しで狙う。
そんな攻撃者は多くありません。

 

 

 

私のところに、
取引先からおかしなメールが
届いたことが何度かあります。

 

文章が不自然でした。
相手の会社に確かめたところ、
ウイルスに感染していた、と。

 

一社ではありません。
いくつかの会社で、何度もありました。

 

つまり、こういうことです。

 

 

 

自分の会社が狙われるかどうか。
問題はそこではありません。

 

自分の会社が止まったとき。
自分の会社から漏れたとき。
自分の会社を通って
よそに広がったとき。

 

誰が困るのか。

 

取引先から預かった図面。
見積のデータ。
お客さんの名前や連絡先。

 

設計のデータ。
メール。
クラウドで一緒に使っているファイル。

 

どれも、自分の会社だけの
持ち物ではありません。

 

 

だから注文する側からすれば、
「おたくはどんな対策をしていますか」
と確かめたくなる。

 

当たり前のことです。

 

製造業がこれまで見られてきたのは、
品質と価格と納期でした。
いわゆるQCDです。

 

そこに、もう一つ増える。
預かったものを安全に扱える会社か。

 

冒頭の工場に届いた頼まれごとは、
その始まりだった。
私はそう見ています。

 

目次へ戻る

 

買う前に、経済産業省が言っていること

この動きを後押しする仕組みが
始まろうとしています。

 

サプライチェーン強化に向けた
セキュリティ対策評価制度。
短くSCS評価制度と呼びます。

 

サプライチェーンというのは、
材料から製品ができて
お客さんに届くまでの
会社どうしのつながりのことです。

 

 

2026年3月27日。
経済産業省と、
内閣官房の国家サイバー統括室が、
この仕組みをどう作るかという方針を
発表しました。

 

★3と★4が
2026年度の終わりごろに
始まる予定です。

★5がいつになるかは
まだ決まっていません。

 

大事なのは、
この仕組みが「任意」だということ。

 

法律で全部の会社に
「取りなさい」と決めたものではありません。

 

★を求めるかどうかは、
注文する会社と受ける会社の間で、
契約の中で決めることになっています。

 

 

 

そう聞いて安心したくなりますよね。

 

でも、注文を出すかどうかを
決めるのは法律ではありません。

 

取引先です。

 

なお、冒頭の工場が受けた頼まれごとは、
この仕組みが発端ではありません。

 

仕組みが動き始める前から、
安全を求める企業はもう動いている。
そういうことです。

 

そして、ここからが本題です。

 

その仕組みの名前を、
売り込みに使う人が出てきました。

 

2026年4月27日。
経済産業省と内閣官房が
注意を呼びかける文書を出しています。

 

 

 

こう言って、
機械やサービスを売り込む営業がある。
そういう報告が来ている、と。

 

国が、自分で作った仕組みについて、
「そういう売り方は
私たちの目的と違います」と
わざわざ言っている。

 

仕組みの中身は今、
IPA（情報処理推進機構）という
国の機関が作っています。

 

何をどこまでやればいいのか。
その具体的なやり方をまとめた
手引きが出るのは、
2026年の秋ごろの予定です。

 

まだ、全部は決まっていません。

 

決まっていない段階で、
「これを入れれば通ります」
と言い切れる人はいません。

 

社内のパソコンのあやしい動きを
見張るソフトを入れればOK。

とか

外とつながる入り口に
高い監視の機械を置けばOK。

とか

 

そういう仕組みではありません。

 

必要な対策は、
会社の大きさでも、
使っている仕組みでも変わります。

 

だから、買うより先に
やることがあります。

 

目次へ戻る

 

紙を一枚、用意してください

難しいことではありません。

 

紙を一枚。そこに
会社で使っているものを書き出します。

• 社員のパソコン
• サーバー
• メール
• クラウドの保管場所
• 業務のシステム
• 取引先から預かった図面やデータ
• 外とつながっている回線

これくらいで十分です。

 

そして、その横に二つ書きます。

 

「これが止まったら、
どの仕事が止まるか」

 

「これが漏れたら、
誰に迷惑がかかるか」

 

書いていくと、順番が見えてきます。
全部を同じ強さで
守る必要はありません。

 

止まったら一番困るもの。
漏れたら一番迷惑をかけるもの。
そこから手を打てばいい。

 

セキュリティも、DXと同じです。

 

いきなり道具を選ぶのではなく、
まず、その情報が
どこを通っているかを見る。

 

どこから入ってきて、
誰が渡して、
どこにしまわれて、
誰が使っているのか。

 

その途中に、
止まったら困るところ、
一人しか触れないところが
必ずあります。

 

そこを見つけて必要な手を考える。

道具を選ぶのはその後です。

 

目次へ戻る

 

これはITの話ではなく、取引の話です

これからのセキュリティは、
IT担当者がウイルス対策ソフトを
管理するだけの話ではなくなります。

 

取引先から
「どこまでやっていますか」
と聞かれたときに、
社長が説明できるか。

 

 

何かあったとき、
どの仕事から元に戻すか
決められるか。
取引先に何と言うか。

 

これはITの問題ではありません。
経営と取引の問題です。

 

仕組みが始まるからといって、
今すぐ何かを買う必要はありません。

 

でも「うちは何を守る会社なのか」。

 

ここだけは、今のうちに
言葉にしておいてください。

 

言われてから慌てて出す報告書は、
紙が増えるだけで終わります。

 

この仕組みが本当に力を持つなら、
報告書を出した会社が、
そのついでに
自分たちの弱いところを
一つでも直せる。

 

そこまで行って、はじめて意味がある。
私はそう考えています。

 

品質。
価格。
納期。

 

そして、安心して取引できるか。

 

これも中小企業の強さの一つになります。

 

書き出そうとして、手が止まった方がいらっしゃれば。
一度お話しましょう。

• 何が問題か、まだ言葉にできていない
• 相談するほどのことか判断がつかない
• とりあえず一度、話を聞いてほしい

お問い合わせはこちら