社説／経済安保推進法（下）サイバー対策は供給網全体で

経済安全保障推進法案が１１日、参院本会議で可決・成立した。サプライチェーン（供給網）の強化やサイバー対策に向けて一歩前進したと評価できる。ただ不備もある。法律や政令・省令で賄いきれない課題があり、行政をはじめ団体・企業は対策を講じて法律の不備を補うことが求められる。

基幹インフラがサイバー攻撃を受けないよう、国はインフラに使われる製品を事前審査する。懸念のある外国製品が使用されていれば、国は製品の排除を勧告・命令できる。

だが、事前審査したインフラに〝お墨付き〟を与えても、同インフラとネットワークで接続されたグループ会社や取引先の機器に問題があれば、サイバー攻撃を被る可能性がある。供給網全体でサイバーへの耐性を強化する必要がある。

トヨタ自動車の主要サプライヤーがサイバー攻撃を受け、トヨタの工場操業に影響を及ぼすなど、供給網でつながった他社に起因する被害は少なくない。

ただ事業継続計画（ＢＣＰ）に対する中小企業の問題意識はそれほど高くない。日本商工会議所の２月調査によると、ＢＣＰを「策定済み」「策定中」と回答した企業は全体の３１・５％と、３割程度にとどまっていた。人的余裕やノウハウのなさが理由のようだ。

東京商工会議所が興味深い実験を行っていた。東商が２０２１年末に会員企業に送信した「標的型攻撃メール」のＵＲＬを不注意にクリックしてしまった会員の開封率は１５・３％だった。こうした不注意から、供給網を通じて大手企業にも影響を及ぼす可能性がある。

経済産業省は、技術情報を適切に管理している企業を対象とした「技術情報管理認定制度」などを、中小企業庁もＢＣＰ対策を講じた企業に優遇措置を講じる「事業継続強化計画」認定制度などを設けている。

中小企業はこうした制度を活用し、供給網全体のセキュリティーの水準を引き上げることが求められる。大企業が取引先を巻き込んだ対策を講じることも手抜かりなく進めたい。