本稿は、ミツモアが2026年10月5日から6日にかけて実施した「サプライチェーンセキュリティに関する実態調査（第2回）」の結果に基づく。調査対象は計458人で、従業員1000人以上の企業で発注先の選定や決定に関わる意思決定者層229人と、従業員300人未満の企業の経営者や役員229人だ。

　個人情報漏えいの報道によって危機感が「大きく高まった」と回答した企業の割合は、大企業で55.5％、中小企業で21.4％だった。中小企業でも半数以上が一定の危機感を抱いているものの、具体的な行動に移行できている割合は低い。

　顧客情報の管理ルールに関する見直しを実施した中小企業はわずか7.1％であり、「特に動きはない」と回答した割合が37.1％で最多だった。社内システムの見直しや取引先への確認などの何らかの行動を起こした中小企業を含めても22.3％であり、大企業の77.9％とは対照的な結果だ。

　行動を起こせない要因は、企業としての意欲の欠如ではない。危機感が高まった中小企業のうち、37.2％が「対策が必要だと感じているが、何から手をつければよいかわからない」と回答した。対策を進める上での最大の壁として「専門知識の不足」を挙げた割合は26.2％、「何をしていいかわからない」は14.8％だ。これらを合わせると41.0％に達し、「予算の不足」の29.7％を上回る。中小企業の多くは、最初のアプローチの段階で停滞している状況がうかがえる。情報セキュリティの専任担当者の配置が難しい中小企業にとって、自社の判断のみで適切な対策を講じるのは容易ではない。セキュリティ対策の第一歩を踏み出すためには、社内の人材不足を補うための具体的な指針や専門的なサポートが必要になる。

サプライチェーンを脅かす認識のずれ

　中小企業の対策の遅れは、自社だけのリスクにとどまらず、発注元である大企業のリスクにも直結する。大企業の88.2％は、取引の条件として取引先に何らかのセキュリティ対策を求めている現状がある。取引先の対策不備を理由に、過去3年間で取引の見直しや改善要求などの対処を取った大企業は72.9％に上った。

　一方で、大企業の厳しい姿勢は中小企業側に十分に伝わっていない。対策不備を理由に取引を断られたり減らされたりしたと認識している中小企業は、わずか5.2％にとどまる。一連の報道後に取引先の対策状況を確認した大企業は36.3％だったが、取引先から確認を受けたと回答した中小企業は2.7％だった。大企業が抱える危機意識と、中小企業が認識している現状の間にはギャップが存在する。大企業はセキュリティリスクをサプライチェーン全体の問題として捉え、取引先に対して厳格な基準を適用し始めた。それにもかかわらず、中小企業がその要求の深刻さを認識できていない現状は、双方にとって重大な脆弱（ぜいじゃく）性を生み出しかねない。情報共有の不足が、サプライチェーン全体のリスクを高める要因だ。

要件の提示が事態打開の契機になる可能性

　大企業が取引先に求める対策要件と、中小企業が実施している対策との間にもギャップが生じている。中小企業は「ウイルス対策ソフト」（62.9％）や「データのバックアップ」（49.3％）などの基本的な対策が中心で、中小企業がこれらの対策を実施している割合は、大企業の要求率を上回っている。

　しかし、大企業が求める一歩踏み込んだ対策については実施率が低い。「多要素認証やID管理」は要求率39.3％に対して実施率12.2％、「業務端末の管理」は要求率44.1％に対して実施率18.8％だった。他にも「事故時の報告体制」や「セキュリティ教育」などで20.0ポイントを超える差が確認されており、両者の間には明確なセキュリティ要件格差が存在する。

　取引先から要求された対策のうち、まだ実施できていないものがある中小企業は43.2％に上る。ただし、要件を求められている中小企業の71.6％は、今後1年以内に新たな対策を予定または検討していると回答した。これは、要件を求められていない中小企業の17.9％と比較して約4倍の水準を示した。発注元の大企業が求める対策を具体的に示すことが、専門知識の不足に悩む中小企業の行動を促す重要な契機になる。大企業は単に要求を突き付けるだけではなく、中小企業が実行可能なレベルに落とし込んだ対策案を示すことが不可欠だ。双方がリスク認識を共有して、実効性のある対策を連携して進めることが、安全なサプライチェーン構築への近道だ。