経済産業省「サイバーインフラ事業者ガイドライン」を解説 ～ ソフトウェア開発企業に求められる役割とは？
ao
本記事の概要
2026年3月31日、経済産業省と内閣官房国家サイバー統括室は、ITサプライチェーンの安全性を根本から高めるための新たな指針「サイバーインフラ事業者に求められる役割等に関するガイドライン」を公表しました。
本記事では、「サイバーインフラ事業者に求められる役割等に関するガイドライン」について、全2回にわたって解説します。
第1回となる今回は、ガイドライン策定の背景や、これからのIT調達の常識となる事業者と顧客の双方が責任を負う基本理念、そしてセキュリティ対策をライフサイクル全体で考える重要性といった、まず押さえるべき本質的な考え方を紐解きます。
これからのセキュリティ対策は、ITベンダーに依存するだけでなく、事業者と顧客がそれぞれの立場で連携して取り組むことが不可欠になります。
自社がサプライチェーンのどこに位置し、明日から何を始めればよいのか、その第一歩を本記事で一緒に確認していきましょう。
なぜこのガイドラインが今策定されたのか？
経済産業省は2026年3月31日、「サイバーインフラ事業者に求められる役割等に関するガイドライン」を公表しました。その背景には、近年、ソフトウェアは社会インフラや企業システムを支える重要な基盤となる一方で、ソフトウェアの脆弱性やサプライチェーンを狙ったサイバー攻撃が増加していることがあります。ソフトウエア脆弱性やサイバー攻撃の影響は、開発元だけでなく、利用企業や社会全体まで及ぶケースも少なくありません。多層化するサプライチェーンの隙を突いたサイバー攻撃の深刻化は、重要インフラを含め、国民生活や経済活動に甚大な被害をもたらすレベルに達しています。
こうした状況を受け、経済産業省と内閣官房国家サイバー統括室は、ソフトウェアの開発・供給・運用を行うサイバーインフラ事業者に求められる役割や考え方を整理した「サイバーインフラ事業者に求められる役割などに関するガイドライン」*1)を策定しました。併せて、実務で活用できる評価チェックリストも公開されています。
本ガイドラインの目的は、サイバーインフラ事業者だけでなく、その顧客も含めてお互いの役割を理解し、ソフトウエアサプライチェーン全体のサイバーセキュリティレジリエンスを向上させることにあります。
これまでも、設計段階から安全性を組み込むセキュア・バイ・デザイン（SbD）の推奨や、ソフトウェアの部品構成を可視化するSBOMの導入、継続的な脆弱性管理といったアプローチは、それぞれの分野で標準化や制度整備が進められてきました。しかし、サプライチェーンが複雑化した現代において、これらを部分最適で取り組むだけでは十分な対策とは言えません。サイバーセキュリティ基本法の改正によって情報システム等供給者の支援責務（努力義務）が課された今、本ガイドラインは、これら個別のセキュリティ慣行を企画・設計から開発、供給、運用にいたるライフサイクル全体で捉え、事業者と顧客が互いの役割を認識しながら共にセキュリティを確保するための、体系的な対応策として位置づけられています。
サイバーインフラ事業者とは？
「サイバーインフラ事業者」という名称から、電力会社や通信事業者などの重要インフラ事業者を思い浮かべる方もいるかもしれません。しかし、本ガイドラインでいうサイバーインフラ事業者とは、社会で広く利用されるシステムやソフトウェアの開発・供給・運用に携わる事業者を指します。
対象となるのは、パッケージソフトウェアやクラウドサービスだけでなく、IT・OT・IoT機器に組み込まれるソフトウェアを含め、そのライフサイクルやサプライチェーンに関わる事業者まで幅広く含まれます。
ガイドラインでは、サイバーインフラ事業者を次のように定義しています。
政府機関や重要インフラ事業者を始め、社会で広く活用される情報・通信システム、ソフトウェア製品及びICTサービスを開発・提供する事業者、ならびにそれらのソフトウェアのライフサイクル及びサプライチェーンに関わるすべての事業者
役割に応じた「3つの分類」
サイバーインフラ事業者は、担う役割に応じて次の3つに分類されています。事業者によっては複数の役割を兼ねる場合もあり、それぞれに応じたセキュリティ対策が求められます。
- 開発者
ソフトウェア製品やサービス、機器の組み込みソフトやファームウェア、専用アプリケーションなどの設計・開発・インテグレーションを行う事業者。
（例：ソフトウェア開発ベンダー、SaaSプロバイダ、システム開発請負業者など） - 供給者
顧客にソフトウェアやシステム、それらを組み込んだシステム・サービスを提供する事業者。
（例：ソフトウェア販売会社、機器の販売代理店、システムの開発運用請負業者など） - 運用者
顧客との契約に基づき、システムやサービスの保守・運用を支援する役務を提供する事業者。
（例：運用保守ベンダー、MSP（マネージドサービスプロバイダ）など）
サイバーセキュリティ基本法との関係
このガイドラインは、改正サイバーセキュリティ基本法第7条を踏まえて策定されています。
同条第1項ではインターネット関連の事業を行う「サイバー関連事業者」の責務が、第2項ではハードやソフトの提供者を指す情報システム等の供給者（情報システム等供給者）の責務がそれぞれ規定され、利用者のセキュリティ確保を支援する努力義務が課されました。
したがって、サイバーインフラ事業者ガイドラインは、サイバーセキュリティ基本法第7条第1項及び第2項を踏まえ、情報システム等の供給者のうち、社会的なインフラとして機能するシステムやソフトウェアの開発・供給・運用に携わる事業者をサイバーインフラ事業者と位置付け、その責務や努力義務を果たすために求められる具体的な取組を明確化することを目的として策定されたと言えます。
ガイドラインの基本的な考え方
本ガイドラインは、単にセキュリティ対策を列挙したものではありません。サイバーインフラ事業者と顧客が協力しながら、ソフトウェアライフサイクル全体でセキュリティを担保するという考え方を示しています。
その特徴は次の3つです。
- サイバーインフラ事業者と顧客、それぞれに役割がある
サイバーセキュリティは、サイバーインフラ事業者だけで実現できるものではありません。利用・調達する顧客も、経営層が主導してサイバーリスクを管理し、必要な予算や体制を整えるなど、それぞれの立場に応じた役割を担います。 - 相補的な取り組みによりサイバーレジリエンスを高める
事業者が安全な製品を提供し、顧客がそれを正しく導入・設定・運用する。双方が互いの役割を認識し、正確な情報を共有して対策を講じることで、サプライチェーン全体のサイバーレジリエンスを高めます。 - Secure by Design (セキュア・バイ・デザイン) の考え方
脆弱性が発見されてから対処するのではなく、企画・設計・開発の初期段階からセキュリティを組み込み、安全性を前提とした製品やサービスを提供するという考え方です。この考え方では、利用者が特別な設定をしなくても安全に利用できるよう、初期設定を安全な状態とするSecure by Default（セキュア・バイ・デフォルト）も重要な原則とされています。
重要なポイントは継続的な運用 ～ セキュリティ対策はライフサイクル全体で考える
本ガイドラインの基本的な考え方を踏まえた上で、実務上重要なのが、セキュリティ対策はシステムやソフトウェアのライフサイクル全体を通じて継続的に実施するという考え方です。
従来は、システムの設計・開発や導入時のセキュリティ対策に重点が置かれることも少なくありませんでした。しかし、ソフトウェアの利用期間中には新たな脆弱性が発見されることがあり、一度安全に開発されたシステムであっても、その後の対応が不可欠になります。
そのため本ガイドラインでは、企画・設計・開発だけでなく、運用中の継続的なモニタリング、脆弱性情報の収集、パッチ適用やアップデート、さらに廃棄までを含めたライフサイクル全体での管理を求めています。
この考え方を実現するためには、事業者は保守・運用フェーズでも適切なサポートや情報提供を継続し、顧客もアップデートや維持管理に必要な体制や予算を継続的に確保することが重要です。こうした継続的な取組を双方が担うことで、サプライチェーン全体のサイバーレジリエンス向上につながります。
企業はまず何から始めればよい？
とはいえ、ライフサイクル全体でセキュリティ対策に取り組むといっても、何から始めればよいのか迷う企業も多いでしょう。そこで活用したいのが、ガイドラインとあわせて公開されている「評価チェックリスト」です。
まず取り組みたいファーストステップは、次の2つです。
- 自組織の「役割（立場）」を把握する
まずは自社（あるいは対象のプロジェクト）が、本ガイドラインで定義されている「開発者」「供給者」「運用者」「顧客」のどの役割に該当するかを明確にします。 - チェックリストで「現在地」を知る
公開されている評価チェックリストを使い、自社の役割に該当するセキュリティ要求が現在どれくらい満たされているか、過不足の「健康診断」を行います。最初からパーフェクトを目指す必要はありません。まずは自社の現在の立ち位置を正確に把握することが、すべてのスタートラインになります。
ガイドラインで示されている内容は、Secure by Designやソフトウェアサプライチェーン対策など、国際的にも広く求められている考え方が中心です。セキュリティ成熟度の高い事業者にとっては既に実践している内容も少なくありませんが、一方で、組織全体として体系的に運用できているかを確認するための指針としても有用です。
Vanta製品の専門知識を持つコンサルタントが導入をサポートします。
製品の導入検討やご関心のある方は、こちらからご相談ください
