供給停止を防ぐサプライチェーン攻撃対策｜BCP・代替調達・在庫戦略を解説

2025年12月23日作成

コラム

サプライチェーン攻撃は、取引先の事業停止を通じて自社のサプライチェーンを途絶させます。2022年のトヨタ・小島プレス事件では、サプライヤーへの攻撃によりトヨタ全工場が1日停止しました。このような供給停止に備えるには、BCP（事業継続計画）にサプライチェーン攻撃を組み込み、代替調達先の確保や在庫戦略の見直しが必要です。この記事では、サプライチェーン攻撃による供給停止への対策を詳しく解説します。

サプライチェーン攻撃が供給停止を引き起こす理由

サプライチェーン攻撃は、取引先のシステム停止を通じて自社のサプライチェーンを途絶させます。攻撃を受けた取引先が部品やサービスを供給できなくなることで、自社の事業にも甚大な影響が及びます。

取引先のシステム停止による供給停止: ランサムウェアなどの攻撃により、取引先の生産管理システムや受発注システムが停止すると、部品の製造・出荷ができなくなります。システム復旧に数日〜数週間かかることもあり、その間の供給が完全に止まる可能性があります。
連鎖的な影響: サプライチェーンは多層構造になっているため、Tier2（Tier1の仕入先）やTier3（さらにその先）への攻撃が、Tier1を経由して自社に影響を与えることもあります。直接の取引先だけでなく、その先のサプライチェーンにも注意が必要です。
トヨタ・小島プレス事件の教訓: 2022年、トヨタ自動車のTier1サプライヤーである小島プレス工業がランサムウェア攻撃を受け、システムが停止しました。その結果、部品供給ができなくなり、トヨタの国内全14工場が1日操業を停止する事態となりました。被害額は数百億円規模と推計されています。

この事件は、1社のサプライヤーへの攻撃が、サプライチェーン全体に波及することを示しています。詳しい事例についてはサプライチェーン攻撃の国内事例｜トヨタ・病院・名古屋港を詳細解説をご覧ください。

BCPにサプライチェーン攻撃を組み込む

BCP（Business Continuity Plan：事業継続計画） は、自然災害や事故などで事業が中断した場合に、重要な業務を継続または早期復旧するための計画です。サイバー攻撃、特にサプライチェーン攻撃もBCPの想定シナリオに含めることが重要です。

想定シナリオの設定

BCPを策定する際には、具体的なシナリオを想定します。

シナリオ	停止期間	影響範囲	対応の方向性
主要サプライヤー1社が停止	1〜3日	特定製品の生産停止	在庫で対応、代替調達準備
主要サプライヤー1社が停止	1〜2週間	複数製品の生産停止	代替調達発動、顧客へ通知
主要サプライヤー1社が停止	1か月以上	事業部門全体に影響	長期代替調達、事業影響の最小化
複数サプライヤーが同時停止	1週間以上	広範な事業影響	危機対応体制の発動

シナリオは、自社のサプライチェーン構造、取引先の重要度、過去のインシデント事例などを考慮して設定します。

対応計画の策定

シナリオごとに、具体的な対応計画を策定します。

発動基準の設定: BCPを発動する基準を明確に定めます。「主要サプライヤーからの供給が24時間以上停止した場合」「サプライヤーがランサムウェア感染を通知した場合」など、具体的な条件を設定します。
役割分担・指揮系統: BCP発動時の役割分担と指揮系統を明確にします。誰が判断を下すか、誰が顧客への連絡を担当するか、誰が代替調達を手配するかなど、責任を明確にしておきます。
連絡体制の整備: 緊急時の連絡先リスト（社内、取引先、顧客など）を整備し、定期的に更新します。夜間・休日の連絡手段も確保しておきます。
復旧手順の整備: サプライヤーの復旧状況を確認し、供給再開後の対応手順を定めます。滞留した受注への対応、品質確認の手順なども含めます。

演習・訓練の実施

計画を策定しただけでは、いざというときに機能しません。定期的な演習・訓練が重要です。

サプライチェーン攻撃を想定した演習: 「主要サプライヤーがランサムウェアに感染した」というシナリオで、机上演習を実施します。BCP発動の判断、連絡体制、代替調達の手配などを実際にシミュレーションします。
取引先も含めた訓練: 可能であれば、主要サプライヤーを含めた合同訓練を実施します。連絡体制の確認、情報共有の手順、連携した対応のシミュレーションを行います。
訓練後の振り返り: 訓練後には振り返りを行い、改善点を洗い出します。計画やマニュアルに反映し、次回の訓練で確認します。

BCPの基礎については事業継続計画（BCP）／災害復旧（DR）もご覧ください。

代替調達先の確保

サプライヤーの停止に備えて、代替調達先を事前に確保しておくことが重要です。

マルチソーシング戦略

単一取引先への依存リスク: 特定の部品やサービスを1社からのみ調達している場合、その1社が停止すると供給が完全に止まります。これを「シングルソース」と呼び、サプライチェーンの脆弱性となります。
複数取引先からの調達: 重要な部品やサービスについては、複数の取引先から調達する「マルチソーシング」を検討します。平時は主要サプライヤーから調達し、有事には代替サプライヤーに切り替える体制を整えます。
コストとリスクのバランス: マルチソーシングにはコスト増（調達量分散による単価上昇、管理コスト増など）を伴います。すべての部品をマルチソースにするのではなく、重要度・リスクを考慮して優先順位をつけます。

代替サプライヤーの選定

代替候補のリストアップ: 主要サプライヤーが停止した場合に切り替え可能な代替候補を、平時からリストアップしておきます。製品・サービスごとに、国内・海外の候補を複数特定します。
平時からの関係構築: 有事に初めて連絡しても、すぐに取引を開始することは困難です。平時から代替候補との関係を構築し、少量でも取引実績を作っておくことが有効です。定期的な情報交換や、サンプル発注なども関係維持に役立ちます。
品質・納期の確認: 代替サプライヤーの品質、納期、価格が、自社の要求水準を満たすか事前に確認します。品質認定や試験納入を平時から行っておくことで、有事の切り替えがスムーズになります。

緊急時の切り替え手順

切り替え判断基準: 代替調達への切り替えを判断する基準を明確にします。「主要サプライヤーからの供給が1週間以上見込めない場合」など、具体的な条件を設定します。
切り替え手順の事前整備: 代替調達への切り替え手順を事前に整備しておきます。発注手順、品質確認、納入先変更、社内システムへの登録など、必要な作業を洗い出し、担当者を決めておきます。
切り替え後の品質管理: 代替サプライヤーからの調達開始後は、品質管理を強化します。初回納入時の検査、継続的な品質モニタリングなどを実施し、問題があれば早期に対応します。

在庫戦略の見直し

供給停止への備えとして、在庫戦略の見直しも重要な対策です。

安全在庫の設定

サプライチェーン攻撃を想定した安全在庫: 従来の安全在庫は、需要変動や輸送遅延を想定して設定されることが多いですが、サプライチェーン攻撃による長期の供給停止も考慮する必要があります。重要部品については、1〜2週間程度の供給停止にも耐えられる在庫水準を検討します。
JIT（ジャストインタイム）とのバランス: JIT方式では在庫を最小化するため、供給停止に対する耐性が低くなります。効率性と resilience（回復力）のバランスを考慮し、重要部品については一定の在庫を持つ方針に見直すことも検討してください。
在庫コストとリスクのトレードオフ: 在庫を増やせば保管コストや陳腐化リスクが増えますが、供給停止時の損失（生産停止、機会損失、顧客への影響）と比較して判断します。重要度の高い部品に絞って在庫を積み増す方法が現実的です。

分散保管

在庫の分散保管: 在庫を1か所に集中させず、複数の拠点に分散して保管します。1か所の倉庫が被災したり、アクセスできなくなったりしても、他の拠点から供給できる体制を整えます。
地理的なリスク分散: 自然災害のリスクも考慮し、地理的に離れた拠点に在庫を分散します。サプライチェーン攻撃と自然災害の複合リスクにも対応できます。

在庫可視化

サプライチェーン全体の在庫可視化: 自社の在庫だけでなく、サプライヤーや物流拠点の在庫状況も把握できる体制を構築します。サプライチェーン全体でどの程度の在庫があるかを可視化することで、供給停止時の対応を迅速に判断できます。
取引先の在庫情報の把握: 主要サプライヤーとの契約で、在庫情報の共有を求めることも検討します。サプライヤーの在庫水準が低下している場合、早期にリスクを察知できます。

サプライヤーのBCP確認

自社のBCPだけでなく、取引先のBCPも確認・評価することが重要です。

BCP策定状況の確認: 主要サプライヤーがBCPを策定しているか、質問票や面談で確認します。BCPがない場合は、策定を求めるか、リスクを認識したうえで取引を継続するか判断します。
サイバー攻撃を想定したBCPの有無: BCPがあっても、サイバー攻撃を想定シナリオに含めていないケースがあります。ランサムウェア感染などによるシステム停止を想定したBCPがあるか確認します。
BCP演習の実施状況: BCPを策定していても、演習を行っていなければ実効性が疑問です。サプライヤーがBCP演習を定期的に実施しているか確認し、実施していない場合は演習の実施を求めます。
復旧能力の評価: サプライヤーのシステム復旧能力（バックアップ体制、復旧手順、復旧目標時間など）を評価します。復旧能力が低いサプライヤーについては、代替調達先の確保を優先的に進めます。

供給停止時の対応手順

実際にサプライヤーからの供給が停止した場合の対応手順を解説します。

ステップ1：発動基準の確認: サプライヤーから供給停止の連絡を受けた場合、または供給が実際に停止した場合、BCP発動の基準に該当するか確認します。該当する場合は、直ちにBCPを発動します。
ステップ2：影響範囲の把握: 供給停止による影響範囲を迅速に把握します。どの製品・サービスに影響があるか、在庫でどの程度持ちこたえられるか、顧客への影響はどの程度かを評価します。
ステップ3：代替調達の発動: 事前に準備していた代替サプライヤーへの発注を開始します。代替調達の準備がない場合は、緊急で調達先を探します。業界団体や同業他社への協力依頼も検討します。
ステップ4：顧客への通知: 供給停止により顧客への納品に影響がある場合、速やかに顧客へ通知します。影響の範囲、想定される遅延期間、対応策などを誠実に説明します。
ステップ5：復旧状況のモニタリング: サプライヤーの復旧状況を継続的にモニタリングします。サプライヤーからの定期的な報告を求め、復旧の見通しを把握します。
ステップ6：平常化判断: サプライヤーからの供給が再開し、安定したことを確認して、BCP対応を終了します。代替調達から通常調達への切り戻し、在庫水準の回復なども行います。

よくある質問

Q: 在庫を増やすとコストがかかりますが、どうバランスを取ればよいですか？: A: すべての部品の在庫を増やす必要はありません。まず、重要度の高い部品（代替が困難、供給停止の影響が大きいもの）を特定し、それらに絞って在庫を積み増します。在庫増加によるコストと、供給停止時の損失（生産停止による機会損失、顧客への違約金など）を比較し、投資対効果を判断してください。また、サプライヤーに安全在庫を持たせる契約も選択肢です。
Q: 代替調達先がない場合はどうすればよいですか？: A: 代替調達先がない「シングルソース」の部品については、以下の対策を検討してください。(1)サプライヤーのセキュリティ強化を重点的に支援する、(2)サプライヤーに複数拠点での生産を求める、(3)新規サプライヤーの開拓を進める（海外も含めて）、(4)自社での内製化を検討する、(5)設計変更により代替可能な部品への置き換えを検討する。すぐに代替先を確保できなくても、リスクを認識し、中長期的な対策を進めることが重要です。
Q: 取引先のBCPをどう評価すればよいですか？: A: 質問票や面談で以下の点を確認します。(1)BCPが策定されているか、(2)サイバー攻撃を想定シナリオに含めているか、(3)システム復旧の目標時間（RTO）は設定されているか、(4)バックアップ体制は整備されているか、(5)BCP演習を定期的に実施しているか。重要サプライヤーについては、BCP文書の提出を求めたり、合同演習を実施したりすることも検討してください。
Q: サプライチェーン攻撃を想定したBCP演習の例を教えてください。: A: 演習シナリオの例として、「主要サプライヤーAが金曜日の夜にランサムウェアに感染し、週明けから部品供給が停止した」という状況を設定します。演習では、(1)BCPの発動判断、(2)影響範囲の把握、(3)社内への周知と役割分担、(4)代替サプライヤーへの連絡、(5)顧客への通知、(6)サプライヤーとの情報共有、などを実際にシミュレーションします。机上演習であれば半日程度で実施でき、課題の洗い出しに有効です。
Q: JIT方式を採用していますが、在庫を増やすべきですか？: A: JIT方式は効率性の面で優れていますが、サプライチェーンの途絶に対する脆弱性が課題です。すべての部品の在庫を増やすとJITのメリットが失われるため、重要部品に絞って安全在庫を設定することをお勧めします。また、JIT方式を維持しつつ、サプライヤーのセキュリティ強化、代替サプライヤーの確保、サプライヤーの在庫可視化などで resilience を高める方法もあります。

まとめ

サプライチェーン攻撃による供給停止への対策について、要点をまとめます。

BCPにサプライチェーン攻撃を組み込む：想定シナリオを設定し、対応計画を策定、演習・訓練を実施
代替調達先の確保：マルチソーシング戦略、平時からの関係構築、切り替え手順の整備
在庫戦略の見直し：重要部品の安全在庫設定、分散保管、サプライチェーン全体の在庫可視化
サプライヤーのBCP確認：BCP策定状況、サイバー攻撃想定の有無、演習実施状況を評価
供給停止時の対応手順：発動基準確認→影響把握→代替調達→顧客通知→モニタリング→平常化

サプライチェーンの可視化については、サプライチェーン攻撃に強い可視化｜サプライチェーンマップと多層管理を解説をご覧ください。

取引先管理カテゴリの全体像については、サプライチェーン攻撃の取引先管理｜サプライヤー評価・契約・TPRMを解説をご覧ください。また、サプライチェーン攻撃の総合ガイドはサプライチェーン攻撃とは｜仕組み・事例・対策を初心者にもわかりやすく解説【2025年版】をご覧ください。

重要なお知らせ

本記事は一般的な情報提供を目的としており、個別の状況に対する助言ではありません。
実際にサイバー攻撃の被害に遭われた場合は、警察（#9110）やIPA（03-5978-7509）などの公的機関にご相談ください。
法的な対応が必要な場合は、弁護士などの専門家にご相談ください。
記載内容は作成時点の情報であり、攻撃手法は日々進化している可能性があります。

更新履歴

2025年12月23日: 初稿公開