「セキュリティサプライチェーン」とは、自社だけでなく、取引先や外部サービス、開発委託先などを含めた一連の関係性全体でセキュリティを確保する考え方です。サプライチェーンのどこかに対策の弱い箇所があると、そこを足がかりに攻撃を受けるリスクがあるため、自社システムだけでなく、全体でセキュリティ対策を講じることが重要となります。

攻撃の形態には、開発工程の脆弱性を突くソフトウェア型、外部サービス事業者を侵害するサービス型、取引関係を悪用するビジネス型などがあります。自社の防御が強固であっても、外部要因によって情報漏えいや業務停止が生じる可能性がある点が特徴です。

そのため、開発段階でのSBOM（ソフトウェア部品表）の整備や、コード署名・ビルド署名の導入、取引先のセキュリティ評価など、包括的な対策が求められます。情報処理推進機構（IPA） が公表する「情報セキュリティ10大脅威」でも重要な脅威の一つに挙げられており、継続的な見直しが不可欠です。