「取引先から、防衛産業サイバーセキュリティ基準への対応を求められた」——この一文から始まる相談が、情シス部門を持たない中小製造業で増えています。 相談の中身はほぼ共通していて、基準の名前は知らされたが、何をどこまでやればいいのか、いくらかかるのか、誰に聞けばいいのかが分からない、というものです。
厄介なのは、これが「うちは防衛省と契約していないから関係ない」で済まない構造になっている点です。防衛省・防衛装備庁と直接契約する企業だけでなく、その企業のサプライチェーンに含まれる委託先にも準拠が求められる設計になっているためです。つまり、部品を納めている、加工を請け負っている、図面データを預かっている——そうした立場の会社に、ある日この要求が降りてきます。
本記事は、専門部署も専任の情シスもいない中小・中堅企業を前提に、何を守る話なのか、どこから着手すべきか、費用と支援先をどう考えるかを整理します。セキュリティ全般の体制づくりはセキュリティ事業、運用まで含めた伴走はセキュリティ運用伴走で扱っています。
目次
- 結論：最初にやるのは対策の購入ではなく、範囲の確定
- この基準は何なのか
- なぜ中小企業にまで降りてくるのか
- 情シスがいない会社の着手順序
- 費用をどう考えるか
- 支援先の選び方
- 発注する側（元請）が知っておくべきこと
- よくある失敗
- 着手前チェックリスト
- よくある質問（FAQ）
- 対応の進め方で迷ったら
<a id="conclusion"></a>
結論：最初にやるのは対策の購入ではなく、範囲の確定
この種の要求を受けたとき、最も費用が膨らむ進め方は「とりあえずセキュリティ製品を買う」です。逆に、最も費用対効果が高い最初の一手は、守るべき情報がどこにあるかを確定させることです。
理由は単純で、この基準が守ろうとしているのは会社全体ではなく、特定の情報だからです。防衛関連の契約で受け取った仕様、図面、技術データ、それらを扱う端末とネットワーク。この範囲が確定していなければ、対策は会社全体に薄く広がり、費用は膨らみ、それでいて肝心の部分が守れていない状態になります。
したがって、最初にやるべきことは次の3つです。
- 対象となる情報を特定する（どの契約に紐づく、どのデータか）
- その情報が今どこにあるかを洗い出す（サーバー、PC、クラウド、USB、紙、メール、協力会社）
- 触れる人を数える（部署、人数、社外の協力先を含む）
この3つが埋まると、対策すべき範囲が会社全体の一部に絞り込まれます。絞り込めた分だけ、費用は下がります。 逆にここを飛ばして製品導入から入ると、後で「結局どこを守っているのか」が説明できず、取引先への回答も作れません。
<a id="what"></a>
MANUFACTURING DX
Excel限界から受発注システムへ、同規模の概算は？
中小製造業の概算費用・導入期間・役割分担マトリクスをその場で確認。要件整理テンプレも無料提供します。
この基準は何なのか
「防衛産業サイバーセキュリティ基準」は、防衛装備庁が調達契約に付する**「装備品等及び役務の調達における情報セキュリティの確保に関する特約条項」**の通称として使われています。2022年に整備され、2023年から防衛関連の調達契約を対象に適用が始まったと説明されています。
内容面で押さえておきたいのは、米国立標準技術研究所（NIST）が発行するSP800-171を参考に組み立てられているという点です。SP800-171は、政府の重要情報を政府外の組織が扱うときの保護要件をまとめたもので、米国の防衛産業でも参照されています。従来の日本の基準に比べ、「侵入を防ぐ」だけでなく**「攻撃を早期に発見し、対処する」**側の要求が加わっているのが特徴だと解説されています。
発注側・受注側の双方にとって重要なのは、これが契約条項であるという性格です。ガイドラインの推奨ではなく、契約に付されるものであるため、対応の可否が取引そのものに関わります。「努力目標」として扱うと、契約更新の場面で困ることになります。
なお、基準の正確な条項内容、適用範囲、対象となる契約、そして今後の改定については、防衛装備庁の公式情報が唯一の一次情報です。本記事は制度の性格と実務上の着手順序を整理するものであり、条項の解釈を示すものではありません。実際の対応にあたっては、防衛装備庁「装備品等及び役務の調達における情報セキュリティ基準について」を必ず参照し、契約担当者や元請の窓口と確認してください。
<a id="why-sme"></a>
なぜ中小企業にまで降りてくるのか
「大手が守ればいいのでは」という感覚は自然ですが、この基準の設計思想はその逆です。
攻撃者から見れば、強固に守られた大企業を正面から破るより、そこに部品や加工を納めている中小企業を経由するほうが容易です。中小企業のネットワークに入り込み、そこに置かれた図面や仕様書を取る、あるいはそこを踏み台にして取引先へ進む。この経路が現実に使われているからこそ、サプライチェーン全体での対応が要求されます。
この構造が、中小企業の側に3つの実務的な負担を生みます。
第一に、聞かれる立場になること。 元請から確認票やチェックシートが届き、自社の管理状況を回答する必要が出てきます。回答できないと、取引の継続判断に影響します。
第二に、証明する立場になること。 「やっています」だけでは足りず、記録や規程といった形で示すことが求められます。日常的にきちんとやっている会社でも、記録がなければ「やっていない」と同じ扱いになるのが、この種の要求の厳しいところです。
第三に、自社の下にも流れること。 自社がさらに外注している場合、同じ要求を協力会社へ伝える立場になります。自社だけ整えても、協力会社が抜けていれば穴は塞がりません。
<a id="steps"></a>
情シスがいない会社の着手順序
専任者がいない前提で、現実的な順序を示します。上から順にやってください。飛ばすと戻ってきます。
ステップ1：契約と要求内容の確認（数日）
まず、取引先から届いた文書を正確に読みます。確認すべきは、(a) どの契約に紐づく要求か、(b) いつまでに何を提出するのか、(c) 対象となる情報の定義は何か、の3点です。ここが曖昧なまま社内で議論を始めると、想像で範囲が広がります。 不明点は元請の窓口に文書で照会し、回答を記録に残してください。
ステップ2：対象情報の棚卸し（1〜2週間）
対象情報がどこにあるかを洗い出します。特別なツールは不要で、最初は表計算ソフトで十分です。
横にスクロールして確認できます
| 洗い出す先 | 見落としやすい場所 |
|---|---|
| サーバー・共有フォルダ | 廃止したはずの旧サーバー、退職者の個人フォルダ |
| 業務PC | 持ち帰り用ノート、現場に置いた作業用PC |
| クラウド | 個人アカウントで作った無料ストレージ、チャットの添付 |
| 可搬媒体 | USBメモリ、外付けHDD、CD-R |
| メール | 送受信履歴に残る図面添付 |
| 紙 | 現場に貼られた図面、机上の書類 |
| 社外 | 協力会社へ渡したデータ、加工委託先の端末 |
この工程で、たいてい想定外の場所が見つかります。 それが見つかること自体が成果です。見つからないまま対策を始めるより、はるかに良い状態です。
ステップ3：現状と要求のギャップ整理（1〜2週間）
要求されている項目に対して、自社の現状が「できている／一部できている／できていない／該当しない」のどれかを埋めます。ここで重要なのは、「該当しない」を正しく使うことです。自社に存在しない設備や運用について、無理に対応する必要はありません。ただし該当しない理由は記録してください。後で聞かれます。
ステップ4：優先順位づけと計画化（1週間）
ギャップのすべてを同時には埋められません。次の順で優先度をつけます。
- お金がかからず、すぐできること（不要なアクセス権の削除、退職者アカウントの停止、共有フォルダの整理）
- 記録を残す仕組み（誰がいつ何をしたかを残す。既存機能の設定変更で済む場合が多い）
- 規程・手順の文書化（実態を文書にする。実態のない規程を作っても意味がない）
- 費用のかかる技術対策（機器やサービスの導入）
1と2だけでギャップの相当部分が埋まる会社は珍しくありません。 最初から4に飛ばないことが、費用を抑える最大のコツです。
ステップ5：協力会社への展開（並行）
自社が外注している場合、同じ確認を協力会社にも行います。ステップ2で作った棚卸し表の「社外」欄が、そのまま対象リストになります。
<a id="cost"></a>
費用をどう考えるか
この領域の費用は、要求水準・自社の現状・対象範囲の広さで大きく変わるため、一律の相場を示すことはできません。相場を提示する説明には注意してください。 範囲を見ずに金額が出てくるということは、範囲を見ずに作業内容が決まっているということです。
代わりに、費用の構造として押さえるべき点を挙げます。
- 初期費用と継続費用は別物。 規程の整備や現状調査は一度きりですが、記録の保存、点検、教育、更新は毎年発生します。継続費用を見込まない計画は必ず破綻します。
- 範囲が広いほど高い。 ステップ2の棚卸しで範囲を絞れていれば、費用は下がります。逆に「会社全体」で見積もると跳ね上がります。
- 文書化の工数は軽くない。 技術対策より、規程・手順・記録様式の整備に時間がかかることが多い領域です。ここを外部に頼むか自社でやるかで金額が変わります。
- 既存資産を使えることがある。 現在使っている業務システムやクラウドサービスに、必要な記録機能や権限管理機能が既に備わっている場合があります。買う前に、今あるものの設定で足りないかを確認してください。
補助金の活用余地についても、制度によって対象・要件が異なるため、個別に確認が必要です。設備やシステムの導入を伴う場合は、IT導入補助金・AI導入補助金の対象診断で適合可否から整理する方法もあります。
<a id="partner"></a>
支援先の選び方
この領域には支援サービスが複数存在します。選ぶときに確認したい点を挙げます。
確認1：どこまでを提供範囲とするか。 現状調査だけなのか、規程作成まで含むのか、その後の運用も見るのか。調査だけ受けて「あとは自社で」となると、最も工数のかかる部分が残ります。
確認2：自社の業種・規模の実績があるか。 大企業向けの手法をそのまま持ち込まれると、中小企業では回りません。運用できない仕組みは、作った瞬間から形骸化します。
確認3：既存のIT環境を見てくれるか。 前述のとおり、既存システムの設定で解決できる部分があります。それを確認せずに新規導入を提案する相手は、自社の売りたいものを売っている可能性があります。
確認4：継続運用まで見られるか。 対応は取得して終わりではありません。記録の保存、年次の点検、人の入れ替わりへの対応が続きます。誰がやるのかを最初に決めてください。
確認5：他社との比較を許すか。 「うちしかできない」という説明は、この領域では成り立ちにくいものです。複数社から話を聞くことを歓迎する相手のほうが、健全です。
<a id="prime"></a>
発注する側（元請）が知っておくべきこと
自社が委託する側である場合、確認票を配って回収するだけでは実効性が上がりません。実務で効くのは次の3点です。
第一に、要求を翻訳して渡すこと。 基準の条項をそのまま転送しても、専任者のいない委託先は読めません。何を、いつまでに、どの形式で回答してほしいのかを、自社の言葉に落として渡すほうが、回収率も回答の質も上がります。
第二に、できない理由を聞くこと。 「できていない」という回答が返ってきたとき、それが費用の問題なのか、知識の問題なのか、そもそも該当しないのかで、打つ手が変わります。回答欄に理由を書く欄を設けるだけで、次の判断が速くなります。
第三に、渡すデータそのものを減らすこと。 最も確実なサプライチェーン対策は、委託先に渡す情報を必要最小限にすることです。図面を丸ごと渡していないか、過去分まで残していないか、返却・消去の取り決めがあるか。これは相手の設備投資を待たずに、自社の判断で今日から実行できます。
<a id="failure"></a>
よくある失敗
- 範囲を決めずに製品を買う。 会社全体に薄く対策を広げ、費用が膨らみ、それでも肝心の情報が守れていない。
- 実態のない規程を作る。 文書は揃ったが誰も運用しておらず、記録が残っていない。確認された時点で破綻する。
- 記録を残していない。 実務はきちんとやっているのに証明できず、「やっていない」と同じ評価になる。
- 協力会社を対象から外す。 自社だけ整え、実際にデータが置かれている外注先が抜けている。
- 継続費用を見込んでいない。 初年度の整備だけ予算化し、翌年の点検・更新が止まる。
- 担当者を決めていない。 「情シス代わりの人」が兼務で抱え、退職とともに運用が消える。
- 元請の要求内容を確認しないまま社内議論を始める。 想像で範囲を広げ、必要のない対策まで検討してしまう。
<a id="checklist"></a>
着手前チェックリスト
- 取引先から届いた要求文書の内容と期限を正確に把握した
- 不明点を文書で照会し、回答を記録した
- 対象となる情報の定義（どの契約の、どのデータか）を確定した
- 対象情報が今どこにあるかを棚卸しした（社外・可搬媒体・紙を含む）
- 触れる人と部署を洗い出した
- 要求項目に対する現状を「できている／一部／できていない／該当しない」で整理した
- お金のかからない対策（権限整理・退職者アカウント停止）を先に実施した
- 記録を残す仕組みを既存システムの設定で作れないか確認した
- 継続費用（点検・教育・更新）を予算に見込んだ
- 社内の担当者を決めた（兼務でも、名前で特定した）
- 協力会社への展開の計画を立てた
- 一次情報として防衛装備庁の公式ページを確認した
<a id="faq"></a>
よくある質問（FAQ）
Q. 自社は二次下請けです。それでも対象になりますか。 A. 契約の内容によります。この基準はサプライチェーンの委託先にも準拠が求められる設計とされていますが、実際に自社が対象かどうかは、元請との契約で何が求められているかで決まります。推測せず、元請の窓口に文書で確認してください。
Q. 情シスがいません。誰が担当すればよいですか。 A. 技術者である必要はありません。必要なのは、社内の情報の置き場所を把握でき、他部署に依頼でき、記録を続けられる人です。総務・品質保証・製造管理の担当者が担うケースが現実的です。ただし兼務でも名前で特定し、業務として時間を確保することが前提です。
Q. まず何を買えばよいですか。 A. 最初に買うものはありません。買う前に、対象情報の棚卸しと現状のギャップ整理を行ってください。この2つを終えると、買うべきものが減ります。 順序を逆にすると、使わない製品にお金を払うことになります。
Q. ISMS（ISO27001）を取っていれば対応済みですか。 A. 取得していれば有利ですが、自動的に同じとは限りません。要求される項目の粒度や対象範囲が異なる可能性があるため、既存の認証で満たせる部分と、追加で必要な部分を突き合わせる作業が必要です。ゼロからよりは早く進みます。
Q. 費用はどれくらいかかりますか。 A. 範囲と現状で大きく変わるため、一律の金額は示せません。範囲を見ずに金額を提示する説明には注意してください。まず棚卸しで範囲を絞ることが、費用を下げる最も確実な方法です。
Q. 対応しないとどうなりますか。 A. これは契約条項に関わる問題であるため、取引の継続判断に影響し得ます。ただし個別の効果は契約内容によるため、元請および契約担当者に確認してください。 本記事はその判断を代替するものではありません。
Q. 基準の内容はどこで読めますか。 A. 防衛装備庁の公式ページ（本記事末尾の一次ソース）が起点です。解説記事は理解の助けになりますが、条項の解釈は必ず公式情報と契約書に当たってください。 制度は改定されるため、日付の新しい情報を確認する必要があります。
<a id="cta"></a>
対応の進め方で迷ったら
この基準への対応で費用が膨らむ会社と、抑えられる会社の違いは、技術力ではありません。最初に範囲を絞れたかどうかです。対象情報を特定し、置き場所を洗い出し、触れる人を数える。この地味な作業を先にやった会社は、対策の量が減り、説明もできる状態になります。
そしてこの作業は、防衛関連の要求がきっかけであっても、自社全体の情報管理を整える機会になります。どこに何があるか分からない状態は、この基準とは関係なく経営上のリスクだからです。
GXOは特定のセキュリティ製品の販売元ではないため、「今あるもので足りる部分」と「本当に投資が要る部分」を分けて整理できます。買わずに済む提案ができる立場だということです。
- 何から手をつけるか、範囲の整理から相談したい → セキュリティ事業
- 体制づくりと運用を継続的に任せたい → セキュリティ運用伴走
- 万一の侵害が疑われる状況にある → インシデント対応支援
- 設備・システム導入に補助金が使えるか確認したい → IT導入補助金・AI導入補助金の対象診断
- 自社のIT・DXの現在地から把握したい → DX成熟度診断
「言われたから買う」ではなく「範囲を決めてから選ぶ」。その順序の整理から、ご一緒します。
参考（一次ソース）
- 防衛装備庁「装備品等及び役務の調達における情報セキュリティ基準について」（一次・所管官庁。条項・適用範囲・改定はここで確認）
- NIST SP 800-171（Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations）（一次・米国立標準技術研究所。基準が参考にしたとされる文書）
- IPA「中小企業の情報セキュリティ対策ガイドライン」（一次・公的機関。専任者のいない企業向けの進め方）
※本記事は制度の性格と実務上の着手順序を整理したものであり、条項の解釈や法的助言を行うものではありません。基準の内容・適用範囲・改定状況は防衛装備庁の公式情報を、自社への適用可否は契約書と元請の窓口をもってご確認ください。整備・適用の時期に関する記述は、公開されている解説情報に基づく整理です。
