自工会セキュリティガイドラインとは？中小企業サプライヤーが対応すべき内容を解説

「取引先からセキュリティ対策の確認が来た」という状況、ありませんか？

ある日突然、自動車メーカーや大手サプライヤーから「セキュリティ自己評価シートへの回答をお願いします」「自工会ガイドラインへの対応状況を教えてください」という連絡が届く——そんな経験をした中小企業の担当者が増えています。

「自工会って何だろう？」「自社には関係ないと思っていた」「何から手をつければいいの？」と戸惑うのは当然です。この記事では、自工会セキュリティガイドラインの概要と、中小企業が対応すべき具体的な内容を解説します。

自工会セキュリティガイドラインとは

自工会セキュリティガイドライン（正式名称：自動車産業サイバーセキュリティガイドライン）は、日本自動車工業会（JAMA）と日本自動車部品工業会（JAPIA）が共同で策定した、自動車産業向けのサイバーセキュリティ指針です。

自動車は現在、電子制御ユニット（ECU）や通信機能を多数搭載しており、サプライチェーン全体がひとつのセキュリティリスクとなっています。完成車メーカー（OEM）からティア1・ティア2・ティア3の部品・サービス企業まで、取引関係にあるすべての企業が対象です。

策定の背景

2021年以降、国内外で自動車関連企業へのランサムウェア攻撃が相次ぎました。2022年には大手部品メーカーへのサイバー攻撃が原因で、国内完成車メーカーの生産ラインが停止する事態が発生。サプライチェーン全体のセキュリティ対策が急務となりました。

こうした背景から、OEMだけでなく、部品・IT・物流など取引に関わる中小企業も対策を求められるようになっています。「大企業の話」と思っていると、突然取引先から対応を迫られるリスクがあります。

対象企業の範囲

以下のような企業がガイドラインの対象になります。

• 自動車メーカー（OEM）と直接取引があるティア1企業
• ティア1から部品・サービスを受注しているティア2・ティア3企業
• 自動車関連の設計・製造・ITシステム・物流を担う中小企業
• OEMや大手サプライヤーにITサービス・SaaSを提供している企業

「製造業ではないから関係ない」と考えていたITサービス企業や物流会社でも、自動車関連の取引先のサプライチェーンに組み込まれている場合は対象となります。まず自社がどのポジションにあるかを確認することが最初のステップです。

ガイドラインの構成と対応レベル

自工会ガイドラインは、企業規模や扱う情報の重要度に応じた3段階の対応レベルで構成されています。自社がどのレベルに該当するかは、取引先のOEMまたはティア1企業に確認するのが確実です。

3つのレベルの概要

多くの中小企業はレベル1〜2の対応を求められます。まずレベル1の基本対策を確実に整備することが、ガイドライン対応の最優先事項です。

自己評価シートとは

ガイドラインには自己評価シートが用意されており、取引先から「このシートに回答してください」と求められるケースが増えています。設問数は数十〜百以上に及び、現状の対応状況を「対応済み／対応中／未対応」の形式で回答します。

提出期限を設けられることも多く、「いつかやろう」と先送りにしていると、回答が間に合わなくなるリスクがあります。早めに現状を把握しておくことが重要です。

中小企業がよく陥る3つの落とし穴

①「自分たちには関係ない」と思い込む

IT企業や大手製造業だけの話と考えていると、突然取引先から「対応していなければ取引を継続できない」と告げられるリスクがあります。実際に、数十名規模の部品メーカーや物流会社でもガイドライン対応を求められる事例が増えています。「知らなかった」では済まされない状況になりつつあります。

②「何かやっているから大丈夫」と過信する

ウイルス対策ソフトを導入しているだけでは不十分な場合があります。ガイドラインでは、アクセス権の管理・インシデント対応手順の整備・定期的な社員教育なども要件として含まれています。「何かしている」と「要件を満たしている」は別物です。現状を客観的に棚卸しすることが必要です。

③「まとめて後で対応しよう」と後回しにする

要件の数が多く、一度にすべて対応しようとすると工数が膨大になります。取引先から自己評価シートの提出を求められたタイミングで慌てて動き始めると、期日までに間に合わないことも少なくありません。優先順位をつけて早めに着手することが、結果的に最もコストが低い対応方法です。

中小企業が今すぐ取り組むべき対策5ステップ

ステップ1：基本セキュリティ対策の整備（レベル1）

まずはすべての企業に求められる最低限の要件から始めましょう。

• エンドポイントへのウイルス対策ソフト導入・定期更新
• OSおよびソフトウェアのセキュリティパッチの適用
• 重要データの定期バックアップ（オフライン保存含む）
• パスワードの複雑化・使い回し禁止の徹底
• 多要素認証（MFA）の導入

ステップ2：アクセス管理の整備

「誰が、どのシステムに、どのような権限でアクセスできるか」を可視化・管理することが求められます。退職者のアカウントが残っていたり、全員が管理者権限を持っていたりする状態は、早急に改善が必要です。SaaS・クラウドサービスを多数利用している企業ほど、アカウント管理の見直しが急務です。

ステップ3：インシデント対応手順の文書化

サイバー攻撃や情報漏えいが発生した際に「誰が、何を、どの順番で対応するか」を事前に決めておく必要があります。手順書がない企業は、まずシンプルな対応フロー（発見→報告→封じ込め→復旧→報告）を作成しましょう。完璧なものでなくても、「決めて文書化されている」こと自体が評価されます。

ステップ4：社員向けセキュリティ教育の実施

フィッシングメールへの対応・不審なUSBの取り扱いなど、人的ミスによるインシデントを防ぐための教育が必要です。ガイドラインでは年1回以上の実施が推奨されています。外部の研修サービスを活用するか、社内で簡易的な勉強会を開催するだけでも対応の実績として記録できます。

ステップ5：自己評価シートへの対応準備

取引先から提出を求められる前に、現状の対応状況を棚卸しておきましょう。「対応済み」「対応中」「未対応」に仕分けするだけでも、優先的に取り組むべき項目が明確になります。また、自己評価の結果を社内で共有・管理する仕組みを作っておくと、次回の提出時にスムーズに対応できます。

まとめ

自工会セキュリティガイドラインは、自動車産業に関わる中小企業にとって、今後ますます対応が求められる重要な基準です。「大企業の話」と思わず、自社がサプライチェーンに組み込まれているかどうかを今すぐ確認することをおすすめします。

対応の優先順位は、レベル1の基本対策を固める→アクセス管理と手順書の整備→自己評価シートへの回答準備、の順で進めるのが現実的です。一度にすべてを対応しようとせず、段階的に体制を整えていくことが重要です。

「何から手をつければいいかわからない」「自己評価シートの回答を手伝ってほしい」という場合は、外部のITパートナーに相談することで、効率よく対応を進めることができます。

back-tなら、この課題をまるごと解決できます

セキュリティ対策の現状把握から自己評価シートの対応支援まで、月額固定のITパートナーとして伴走します。まずはオンライン無料相談（30分）で、御社の状況を聞かせてください。

無料で相談する →