あなたの取引先ベンダーは月に一度ハッキング被害を受けています。これが貴社にもたらす影響とは。

経営層が立ち止まって考えるべき数字から始めましょう。平均的な組織は昨年、12件のサードパーティ侵害を経験しました。つまり、月に1回のペースで発生しており、自社システムではなく、データや業務へのアクセスを許可しているベンダーやサプライヤー、サービスプロバイダーからの侵害です。

この調査結果は、ProcessUnityの2026年サードパーティリスクアセスメントレポートによるもので、Ponemon Instituteが約1,500名のリスク実務者を対象に実施した調査に基づいています。さらに注目すべきは、過去1年で90%の組織がサードパーティ侵害を経験しているにもかかわらず、回答者の53%が自社のサードパーティリスク管理プログラムが有効だと自信を持っている点です。

この認識と現実のギャップは、企業がベンダーとの関係にどう向き合っているかに根本的な問題があることを示しています。データが明確にリスク管理ができていないことを示しているにもかかわらず、組織はリスクを管理できていると信じています。問題は「ベンダーが侵害されるかどうか」ではなく、「侵害されたときにそれを把握できるか、そして対応できる準備ができているか」です。

5つの重要なポイント

1. 組織は年間平均12件のサードパーティ侵害に直面

ProcessUnityの2026年レポート（約1,500名のリスク実務者調査）によると、ベンダーは月1回程度の頻度で侵害されています。この驚くべき頻度にもかかわらず、53%の組織が自社のサードパーティリスク管理プログラムが有効だと信じており、認識と現実の危険なギャップが存在しています。

2. 多くのベンダーリスクアセスメントは遅く、範囲が狭すぎる

10社中6社が、1件のベンダーアセスメントの完了に4か月以上かかっており、平均して全サードパーティの36%しか評価していません。つまり、約3分の2のベンダーとの関係が、日々進化する脅威の中で正式なセキュリティ監督なしに運用されています。

3. メール侵害がランサムウェアよりも多くの保険請求を引き起こす

ビジネスメール詐欺や資金移動詐欺が、全サイバー保険請求の60%を占めており、ランサムウェアの20%を大きく上回っています。ベンダーのメールシステムが侵害されると、攻撃者は信頼できる連絡先になりすまし、認証情報を窃取し、不正送金を実行できます。メールセキュリティは、ベンダー向けアンケートと同等に重要です。

4. フォースパーティリスクは依然として大きな死角

組織の半数未満しか、ベンダーのベンダー（フォースパーティ）を評価しておらず、重要サプライヤー以外にまで評価を拡大しているのは23%にすぎません。Snowflake侵害のようなインシデントがサプライチェーン全体に波及した場合、フォースパーティの可視性がない組織は、被害を知るのが遅すぎることになります。

5. 手作業のプロセスでは現代の脅威に追いつけない

約3分の2の組織が、ベンダーリスクアセスメントにスプレッドシートを使用し続けており、27%のベンダーはアセスメント依頼に一切応答しません。AIの導入は加速しており、44%の組織がAI支援アセスメントを導入または計画していますが、ガバナンス体制は導入スピードに大きく遅れています。

ベンダーを信頼することの本当のコスト

サードパーティ侵害は、単なるセキュリティ上の頭痛の種ではありません。財務的にも大きな打撃です。

Coalitionの2025年サイバー保険請求レポートによると、サードパーティ侵害の平均的な復旧コストは約42,000ドルです。一見、管理可能な金額に思えるかもしれませんが、同じデータによれば、一次的な損失の52%がベンダー関連インシデントに起因しています。法的費用、フォレンジック調査、侵害通知、顧客離れ、規制監査などの連鎖的な影響を考慮すると、実際のコストはさらに大幅に増加します。

より広範な侵害調査の数字は、さらに厳しい現実を示しています。サードパーティやサプライチェーンの侵害は、攻撃ベクトルとして2番目に多く、対応コストも最も高い部類です。サードパーティシステムから侵害が発生した場合、平均で約480万ドルの復旧コストがかかります。これらのインシデントは、内部起因の侵害よりも発見までに約26日長くかかるため、攻撃者に被害を拡大する時間を与えてしまいます。

2024年のChange Healthcare侵害は、警鐘となる事例です。フィッシングをきっかけとしたランサムウェア攻撃が、過去最大規模の医療データ侵害へと発展し、1億9,000万人に影響を及ぼし、全米の病院ネットワークに混乱をもたらしました。UnitedHealthはこの対応に20億ドル以上を費やし、医療機関への補償額は47億ドルを超えました。医療業務が停止すれば、影響は財務指標を超え、患者の命にまで及びます。

なぜ従来型ベンダーリスク管理は機能しないのか

ProcessUnityレポートは、組織が現在どのようにベンダー監督に取り組んでいるかについて、不都合な現実を明らかにしています。平均して、企業はサードパーティベンダーの36%しか評価していません。つまり、約3分の2のベンダー関係が、実質的にセキュリティの死角で運用されています。

評価が実施されても、完了までに時間がかかりすぎます。10社中6社が、ベンダーリスクアセスメントの完了に4か月以上かかると報告しています。さらに4分の1以上が、1件の評価に160時間以上の人員工数を要すると回答しています。その間にも脅威は日々進化します。4か月かかる評価サイクルでは、評価が終わる頃にはベンダーのセキュリティ状況が大きく変化している可能性があります。

手作業プロセスへの依存も問題を深刻化させます。約3分の2の組織が、リスクアセスメントにスプレッドシートを使用しています。スプレッドシートは予算管理やプロジェクト計画には有効ですが、数十〜数百のベンダーのセキュリティ状況をリアルタイムで管理するには全く不十分です。

ベンダーの対応も課題です。調査によると、61%の組織が、ベンダーがリスクアセスメントの質問票に回答するまでに通常4か月以上かかると報告しています。さらに深刻なのは、平均して27%のベンダーが一切回答しないという点です。測定できないリスクは管理できず、ベンダーが情報開示を拒否すれば測定もできません。

是正対応も同様に厳しい現実です。新規ベンダー導入前に是正対応が90〜100%完了していると回答したのは、わずか16%です。5社に1社は、ベンダーを本番運用に入れる前に是正対応が全く実施されていないと答えています。組織はリスクの存在を認識し、記録もしていますが、ビジネスのスケジュールを優先してベンダーを導入してしまうのです。

誰も語らないフォースパーティ問題

あなたのベンダーにもベンダーがいます。これらの下請けやサービスプロバイダー（いわゆるフォースパーティ）は、多くの場合、直接のベンダーと同じ機密データやシステムにアクセスできます。しかし、フォースパーティ評価をリスク管理プログラムの一環として実施している組織は半数未満で、重要サプライヤー以外にまで評価を拡大しているのは23%にとどまります。

このギャップは、リスク専門家が「集中リスク」と呼ぶ問題を生み出します。主要ベンダーがインシデントを起こすと、その影響はそのベンダーに依存するすべての組織、さらにはその顧客にも波及します。2024年のSnowflake認証情報侵害は、1つのベンダー侵害がAdvance Auto Parts（230万人超が影響）を含む多数の大手企業に連鎖した危険性を示しました。

Change HealthcareやCDK Globalのインシデントも、このリスクの集約をさらに浮き彫りにしています。サプライチェーンの単一障害点が、業界全体の業務に広範な混乱をもたらす可能性があります。

メール：攻撃者が繰り返し突破する正面玄関

サードパーティリスクが注目を集める一方で、Coalitionレポートは、組織への最も一般的な侵入経路が依然として「メール」であることを明らかにしています。

ビジネスメール詐欺や資金移動詐欺は、全サイバー保険請求の60%を占めています。ランサムウェアはその劇的な印象に反して、全体の約20%にすぎませんが、発生時の財務インパクトは非常に大きいです。

メール侵害とサードパーティリスクの交差は、特に危険な攻撃対象領域を生み出します。ベンダーのメールシステムに侵入した攻撃者は、信頼できる連絡先になりすまし、不正送金を実行したり、認証情報を窃取して組織内部へのさらなるアクセスを得ることができます。2025年のCoinbase事件では、サードパーティのサポートベンダーの悪意ある内部者がユーザーデータを持ち出し、2,000万ドルの恐喝を試みました。

実務上の意味は明確です。メールセキュリティ対策や支払い確認プロセスは、ベンダー評価アンケートと同等以上の注意を払うべきです。どれだけ高度なベンダーリスク管理フレームワークを導入しても、正規に見えるリンクをクリックしただけで攻撃者が受信箱から侵入できてしまえば意味がありません。

このため、機密データを扱う組織では、エンドツーエンド暗号化、高度な脅威検知、包括的な監査証跡を備えたメール保護プラットフォームの導入が進んでいます。メールが主要なコミュニケーションチャネルであり、最大の脆弱性でもある場合、単なるサービスではなく重要インフラとして扱うことが不可欠です。

ランサムウェア：依然として財務インパクトの王者

年々深刻度は低下しているものの、ランサムウェアはサイバー保険請求におけるコストの主因であり続けています。2024年の世界的なランサムウェア被害額の平均は約29万2,000ドルで、脅威は進化し続けています。

Coalitionレポートのケーススタディは、業界を問わず繰り返される典型的なシナリオを描いています。攻撃者はリモートデスクトップソフトウェアや他のリモートアクセスツールを通じて初期アクセスを獲得し、ネットワーク内を横断して移動、現地バックアップを破壊して復旧手段を奪い、支払いがなければデータ漏洩をちらつかせてランサムウェアを展開します。

特に注目すべきはバックアップ破壊の戦術です。多くの組織はバックアップ戦略でランサムウェア対策ができていると考えていますが、巧妙な攻撃者はバックアップシステム自体を標的にします。本番システムと同じネットワーク、同じ認証情報でアクセスできるバックアップは、実際には安心材料ではなく、偽りの安全にすぎません。

リモートアクセスツールも重大な脆弱性です。リモートワークの普及により、悪意ある攻撃者が狙える攻撃面が大幅に拡大しました。VPN集約装置、リモートデスクトップサービス、クラウドアクセスポータルなど、すべてが攻撃者に積極的に探索される潜在的な侵入口です。

業界・企業規模によるリスクの偏在

Coalitionのデータは、業界セクターや企業規模によってリスクの露出度に大きな違いがあることを示しています。

消費財企業は請求頻度が最も高く2.60%、エネルギー業界は1件あたりの損失額が約29万2,000ドルと最も高額です。売上2,500万ドル未満の中小企業は、頻度は低いものの全体の64%の請求を占めており、標的にされる頻度が低くても、リソースや専門知識の不足からインシデントを防げていないことが示唆されます。

一方、売上1億ドル超の大企業は、請求頻度がほぼ6%に達しますが、より堅牢な防御に投資できるリソースも持っています。被害額の平均は1件あたり約22万8,000ドルです。

これらの違いは、リスク管理リソースの配分に実務的な影響を与えます。小規模な製造業と大規模な金融サービス企業では直面する脅威が異なり、防御投資もそれに応じて最適化すべきです。

AIによる変革：機会とリスクの衝突

人工知能は、サードパーティリスク管理を有望かつ懸念すべき形で変革しています。

有望な側面としては、リスクアセスメントへのAI導入が加速しています。ProcessUnity調査によれば、25%の組織がAIを部分導入、19%が全面導入、37%が今後導入予定と回答。AI導入組織の53%が「スタッフの高付加価値業務へのシフト」、48%が「リアルタイムインテリジェンスの提供」、42%が「管理成果の向上」を実感しています。

AIツールは、評価サイクルの短縮、リアルタイムでの新たなリスクの検知、人的リソースを増やさずにモニタリング能力の拡大を実現します。スプレッドシートやアンケートに埋もれる組織にとって、これはアプローチを抜本的に変える好機です。

一方で、AIは新たなリスクベクトルも生み出します。2025年の侵害の約6分の1はAI駆動型攻撃が関与しており、攻撃者はAIで説得力のあるフィッシングメールを作成し、脆弱性スキャンを自動化し、攻撃活動を加速させています。セキュリティ監督なしに従業員がAIツールを利用する「シャドーAI」は、侵害コストを平均67万ドルも押し上げる重大なコスト要因となっています。

ガバナンスの遅れも深刻です。多くの組織が、AIの利用ガバナンスポリシーの整備よりも先にAI機能を導入しています。非公認AIツールの定期監査は、例外的なケースにとどまっています。

ポイントソリューション問題：分断されたセキュリティがリスクを生む理由

侵害後の分析で繰り返し浮かび上がるのは、分断されたセキュリティアーキテクチャの存在です。メール、ファイル共有、フォーム、データ収集など用途ごとに異なるツールを使っている組織は、運用全体で一貫した保護や可視性を維持できずに苦しんでいます。

各ポイントソリューションは独自のセキュリティモデル、アクセス制御、監査ログ、潜在的な脆弱性を持ちます。これらのシステムが連携しないと、ギャップが生じます。1つのシステムが侵害されれば、分断されたアーキテクチャでは統合的な可視性や制御がないため、攻撃者は他のシステムにも横展開しやすくなります。

Coalitionのベンダー集中リスクに関するデータもこの点を裏付けています。一次的な損失の52%がサードパーティインシデントに起因しており、セキュリティスタック内のベンダー数がリスクの大きさに直結します。追加のベンダー関係（セキュリティベンダー自身も含む）は、すべて攻撃面を拡大させます。

この現実が、機密性の高いコンテンツ通信を単一のセキュリティアーキテクチャで統合するプラットフォームへの関心を高めています。セキュアメール、ファイル共有、マネージドファイル転送、Webフォームを個別に管理するのではなく、統合ソリューションを導入することで、セキュリティ制御の一貫性、ポリシーの集中管理、全データフローの包括的な監査能力を実現し、複雑性とリスクを低減できます。

Webフォーム：見落とされがちな攻撃ベクトル

請求統計ではメールが主役ですが、Webフォームも近年悪用が増えている脆弱性であり、注意が必要です。患者受付情報、金融申込、従業員の入社書類、カスタマーサービス依頼など、機密データを収集するすべてのフォームが、攻撃者にとっての侵入口であり、組織にとってのコンプライアンスリスクとなります。

従来のWebフォームプラットフォームは利便性を優先し、セキュリティは二の次です。マルチテナント型で、1件の侵害で数千組織のデータが同時に漏洩する可能性があります。提出データは暗号化されずに保存され、監査証跡も規制当局が求める水準に達していません。

セキュアなWebフォームで機密データを収集する組織は、「保存時・転送時の暗号化」「きめ細かなアクセス制御」「包括的な監査ログ」「既存のID管理システムとの連携」などのセキュリティ要件を満たす必要があります。医療データを扱うフォームはHIPAA準拠のインフラが必須、金融情報を扱う場合はSOX対応の制御が求められます。一般的なフォームビルダーでは、これらの要件を標準で満たすことはほとんどありません。

コンプライアンス：誰も予算化しないコスト増加要因

インシデントはセキュリティ部門だけの問題にとどまりません。コンプライアンスイベントとなり、独自の業務フローやコストセンターを生み出します。

Coalitionは、ビジネスメール詐欺の深刻度上昇の一因として、法的費用、インシデント対応コスト、データ調査、通知義務の拡大を挙げています。侵害が発生すれば、法務部門が関与し、規制当局の調査も入り、被害者への通知や証拠保全が必要となります。これらはすべてリソースを消費し、初期インシデントを大きく超える財務インパクトをもたらします。

コンプライアンスの観点が加わることで、限定的なセキュリティインシデントが組織全体の危機へと変貌します。医療機関はHIPAA通知義務や罰則リスク、金融機関はSOX対応、EU居住者データを扱う組織はGDPRの厳格な通知期限や高額な制裁金リスクに直面します。

コンプライアンス対応を後回しにする組織は、復旧までの期間が長引き、コストも増加します。インシデント対応のためのインフラ（法務連絡先、通知テンプレート、規制要件の把握）は、危機発生時ではなく事前に整備すべきです。

自動化されたコンプライアンス報告や包括的な監査証跡は、規制当局への説明責任を果たすだけでなく、どのデータが、誰に、いつアクセスされたかを即座に把握できるため、インシデント対応の迅速化にもつながります。これにより、限定的なインシデントで収束するか、規制上の大惨事になるかが分かれます。

データ主権：新たなコンプライアンスの最前線

サードパーティリスクへの対応が進む中で、データ主権は多くのベンダーリスクプログラムが見落としがちな重要課題として浮上しています。現在、100カ国以上でデータ主権法が施行されており、機密データの保存・処理場所に関する具体的な要件が定められています。

ベンダーがあなたのデータを保存・処理する場合、そのデータレジデンシーの選択が、あなた自身のコンプライアンス問題となります。欧州顧客データを米国サーバー経由で処理するベンダーは、自社インフラに関係なくGDPR違反リスクをもたらします。医療ベンダーが十分なプライバシー保護のない国に患者情報を保存すれば、組織はHIPAA違反リスクを抱えます。

これは政府によるデータアクセスにも及びます。米国クラウド法のような法律により、ベンダーは海外に保存されたデータの提出を強制される場合があり、法的義務と契約上の約束が衝突するリスクも生じます。厳格なデータ主権要件を持つ組織は、契約上の約束だけでなく、データが特定の地理的境界内に留まり、外国政府の要求から保護されるというアーキテクチャ上の保証を求める傾向が強まっています。

実効性のあるサードパーティリスクプログラムの構築

データは、組織がベンダーリスク体制を強化するために実践できる複数の改善策を示しています。

まず、もはや自動化は選択肢ではありません。手作業やスプレッドシートベースのプロセスでは、現代のベンダー関係の量とスピードに追いつけません。評価活動の拡張、是正進捗の追跡、継続的なモニタリングが可能なプラットフォームへの投資が必要です。目的は人間の判断を排除することではなく、判断力をデータ入力や書類追跡ではなく、本質的な意思決定に集中させることです。

次に、網羅性よりも優先順位付けが重要です。すべてのベンダーを同じ厳格さで評価することは現実的ではありませんし、すべきでもありません。機密データや重要システム、業務依存度の高いベンダーに重点的なデューデリジェンスを実施し、リスクの低いベンダーには簡易評価とレッドフラグ監視で対応する階層化システムを導入しましょう。

三つ目は、フォースパーティにも可視性を拡大することです。重要ベンダーのベンダー関係にも注意を払い、特に機密データを扱う下請けや、業務に影響を与えるサービス提供者には、開示や評価協力を契約要件として標準化しましょう。

四つ目は、可能な限り統合を進めることです。エコシステム内のベンダーが増えるほど、リスク露出も増加します。新たなポイントソリューションを追加する前に、既存プラットフォームで要件を満たせないか評価しましょう。一貫したセキュリティ制御を持つ統合アーキテクチャは、複雑性と攻撃面の両方を低減します。

五つ目は、重要な指標を測定することです。ProcessUnity調査では、ベンダー評価の有効性を正式に測定している組織は49%にとどまります。評価サイクルタイム、是正完了率、ベンダー網羅率、再発率などの指標がなければ、現状把握も改善もできません。ベースラインを設定し、傾向を追跡し、データに基づいて改善を推進しましょう。

六つ目は、基本をおろそかにしないことです。高度なベンダーリスクフレームワークが注目されがちですが、基本対策の重要性は依然として極めて高いです。メールセキュリティ、支払い確認、リモートアクセスの強化、バックアップの堅牢化は、どんなに精緻な評価アンケートよりも被害を防ぎます。これらを単なる衛生要件ではなく、コアコントロールとして位置付けましょう。

ベンダー関係のパラドックス

現代ビジネスはベンダーなしでは成り立ちません。サードパーティ関係がもたらす専門性とスケーラビリティは、競争力の源泉です。しかし、その同じ関係が、組織が効果的に管理しきれないリスク露出を生み出しています。

今後の道筋は、ベンダー関係を最小化することではありません。それは現実的でも望ましくもありません。むしろ、ベンダーリスクへの取り組みを、定期的なチェックボックス作業から、ビジネス運営に組み込まれた継続的な規律へと変革する必要があります。

成功する組織は、ベンダーリスク管理をコンプライアンス負担ではなく戦略的能力と捉え、エコシステム全体の可視性を維持するためのツール・プロセス・スキルに投資します。サービスレベル契約だけでなく、セキュリティ協力を含むベンダー関係を構築し、データに基づいて継続的にパフォーマンスを測定・改善します。

数字は明らかです。あなたのベンダーも、あなたが思っている以上の頻度で侵害されています。問題は、それが自社のベンダーで発生したときに、あなたが準備できているかどうかです。

あなたの組織にとっての意味

これらの統計が組織内で不安な議論を引き起こすなら、それは健全な反応です。まず注力すべきポイントは以下の通りです：

ベンダー評価の網羅率を見直す。 何%のベンダーが正式なリスク評価を受けていますか？36%以下なら、重大な死角が存在します。

評価サイクルの期間を精査する。 4か月かかる評価サイクルでは、脅威の進化に追いつけません。ボトルネックを特定し、品質を損なわずにプロセスを加速できる技術の導入を検討しましょう。

フォースパーティの可視性を監査する。 重要ベンダーが自社業務で誰に依存しているか把握していますか？把握していなければ、リスク露出の重要な側面を見落としています。

プラットフォームの分断状況を評価する。 組織内で機密データを扱うシステムの数を数えてみましょう。それぞれが潜在的な脆弱性であり、ガバナンス上の課題です。統合によってリスクと複雑性を減らせないか検討しましょう。

バックアップ復旧をテストする。 攻撃者がバックアップを標的にすると想定してください。主要なバックアップシステムが侵害された場合、本当に業務を復旧できますか？最後に検証したのはいつですか？

メールセキュリティと支払い管理を評価する。 メールベースの攻撃が大半の請求を引き起こしている現状を踏まえ、これらの対策にはリスクに見合った厳しい目を向けましょう。

コンプライアンス対応力を確認する。 インシデントが発生した際、規制期限内に対応するための監査証跡、通知プロセス、必要書類が揃っていますか？

朗報は、これらの対策を講じる組織は同業他社より有利な立場を築けることです。悪い知らせは、「平均より良い」だけでは、依然としてベンダー起因のインシデントに大きく晒されているという現実です。本当のレジリエンスには、一過性のプロジェクトではなく、継続的な注意と改善が不可欠です。

あなたのベンダーは、あなたが認識しているかどうかに関わらず、セキュリティ境界の一部です。この現実を主体的に管理する組織こそが、痛みを伴う経験から学ぶのではなく、成功を手にするでしょう。

Kiteworksがどのように支援できるかについては、カスタムデモを今すぐご予約ください。

追加リソース

• ブログ記事 ゼロトラストアーキテクチャ：決して信頼せず、常に検証
• 動画 Microsoft GCC High：防衛請負業者がよりスマートな優位性を求める理由
• ブログ記事 DSPMで機密データが検知された後のセキュリティ対策
• ブログ記事 ゼロトラストアプローチで生成AIの信頼性を高める方法
• 動画 ITリーダーのための機密データ安全保管ガイド決定版