事業継続・災害復旧の専門企業Databarracksによる最新の調査によると、英国企業の4社に1社(26%)が過去1年間でサプライチェーン発端のサイバーインシデントに見舞われたことが分かりました。特に注目すべきは、企業側がこのリスクを十分に認識していながらこの結果が出ている点です。回答企業の半数近く(48%)が、レジリエンスやセキュリティ面での懸念を把握していながらもそのサプライヤーとの取引を継続していたと認めています。
この数値は、2008年からIT レジリエンスの動向を追跡してきたDatabarracksが英国のIT意思決定者500名を対象に毎年実施している調査Data Health Check 2026によるものです。今年の報告書は、企業がサプライチェーンの危険性を認識しつつも、その認識に基づいた行動をなかなか取れずにいる実態を浮き彫りにしています。
調査結果によれば、多くの場合、企業は単純に実行可能な代替手段を持ち合わせていません。回答者の4分の1以上(26%)が、自社のレジリエンス向上を妨げる主な要因として「サプライヤーへの依存」を挙げています。
認識はあっても行動が伴わない
Data Health Checkの調査では、サプライヤー評価は今やほとんどの組織で標準的な取り組みとなっていることが分かりました。企業の9割近く(89%)がサプライヤーとの契約開始時にレジリエンスを評価しており、過半数(61%)はさらに踏み込んで年次・四半期ごと、あるいは継続的に評価を実施しています。
こうしたデューデリジェンスにもかかわらず、いったんサプライヤーとの関係が始まると、リスクは明らかに残り続けます。「サプライチェーンの脆弱性」は、今後5年間で組織が直面すると予想する上位3つのITレジリエンス課題の一つに挙げられ、回答者の23%が指摘しています。これはAIによるサイバー脅威(46%)とランサムウェア攻撃(26%)に次ぐ結果です。
データはまた、既知のリスクと実際の被害との間に明確な関連があることも示しています。リスクを認識しながらそのサプライヤーとの取引を続けた組織は、サプライヤー発のサイバーインシデントを経験する確率が4倍以上に達していました。こうした組織のうち43%が実際にインシデントに見舞われたのに対し、リスクを認識しながら取引を続けたことがない組織では、その割合はわずか10%にとどまっています。
「重要なサプライヤーは自社と同じように扱うべき」
この調査結果についてDatabarracksのレジリエンス担当ディレクター、Chris Butler氏は、サプライチェーンのレジリエンスは英国企業の防御体制において依然として最も根強い弱点の一つであると指摘しています。「今年の調査結果は、サプライチェーンのレジリエンスが多くの企業にとって依然として重大な課題であることを示しています。多くの企業がこの課題を認識していながら、攻撃者に付け込まれ続けているのが実情です。主要なサプライヤーで何か問題が起きれば、そのサプライチェーン全体の企業に深刻な連鎖的影響が及びかねません」
「サプライヤーのレジリエンスを評価しようという善意はあっても、ほとんどの企業は自社のサプライチェーンがどれほど複雑であるかを十分に理解できていません。中核となるサプライヤーが誰かは把握していても、それ以外については可視性が一気に失われてしまうのです」
「従来の評価手法は長らくチェックボックス方式が主流で、コンプライアンス質問票は年々長くなる一方です。このやり方は真のレジリエンスではなく、むしろ誤った安心感を生み出してしまいます」
Butler氏は、真の改善を実現するには、企業が書類上の保証にとどまらず、サプライヤーが自社の事業にもたらすリスクを自ら直接把握する必要があると主張しています。「サプライチェーンの事業継続性を本当の意味で管理するには、実際に状況を可視化することが不可欠です。経営層はサプライヤーのレジリエンスを他人事ではなく、自社のレジリエンスの一部として捉える必要があります。ありきたりな言い方に聞こえるかもしれませんが、それには理由があります。重要なサプライヤーは、まさに自社と同じように扱う必要があるのです」
また同氏は、容易に代替が利かない小規模あるいは成熟度の低いサプライヤーに対しては、より協力的なアプローチを取るべきだとも呼びかけています。「実行可能な代替手段がなく、既存のサプライヤーが社内に事業継続の専門知識を持っていない場合は、支援を申し出てください。サプライヤーを自社の事業継続演習に組み込み、共に訓練する機会を与えるのです。混乱への対応は、それぞれ単独でではなく、共に練習することが重要です。そうすることが長い目で見て自社の利益にもつながります」
より広いレジリエンスの全体像の一部として
今回のサプライチェーンに関する調査結果は、より厳しいレジリエンス環境への備えを進める組織の姿を描き出す、Data Health Check 2026の報告書全体の一部に位置づけられます。調査によると、組織の65%が、深刻なサイバー攻撃が自社の存続を脅かしかねないと考えており、サイバー攻撃は4年連続でIT停止の最大要因となっていて、30%の組織が最大の障害原因として挙げています。
一方で報告書は、楽観できる材料も示しています。事業継続計画の策定は過去最高水準に達し、90%の組織が現在何らかの計画を策定しており、そのうち5分の4が最新の状態に保たれています。ランサムウェアへのレジリエンスも改善が進んでいます。過去12カ月間にランサムウェア攻撃を受けた組織は4社に1社(25%)に上りましたが、被害を受けた組織のうち身代金を支払ったのはわずか18%で、59%はバックアップから復旧しています。
Databarracksは、今回の調査結果全体が示す2026年における組織の最優先課題として最も多く挙げられているのは「ITとビジネスレジリエンスの統合」であるとしています。これは、サプライチェーン発のインシデントを含め、現代のインシデントがサイバーセキュリティ、IT運用、事業継続、そして経営判断の境界線をまたいで発生することが多いという認識が広がりつつあることを反映しています。
