自工会セキュリティガイドライン、中小企業の実態は「レベル1で6割」 ── AI時代の要請に答えるための、製品では埋まらない2項目
取引先から毎年届く「自工会セキュリティガイドライン」のチェックシート。浜松・静岡をはじめ、自動車部品を作る中小企業の方なら、一度は記入に悩んだことがあるはずです。2026年度の自己評価の提出期限は12月31日。今年はそれに加えて、業界団体から、AIを使った攻撃に備えて経営トップが判断してほしい、という異例の要請も出ています。
では実際のところ、ほかの会社はどこまでできているのでしょうか。日本自動車工業会（JAMA）が公表している集計結果から中小企業の実態を読み解くと、この要請に答えるうえで一番の穴になっている場所が見えてきます。
2026年7月、業界団体が「AI時代の対策強化」を要請
2026年7月27日、JAMAとJAPIAのサイバーセキュリティの部会は、自動車産業のサプライチェーン関係者に向けて「AI性能の高度化を踏まえたサイバーセキュリティ対策強化のお願い」を出しました。
- 文書は背景として、「本年4月7日に米国アンソロピック社が公表した『Claude Mythos Preview（クロードミュトス）』を始めとする高性能なAI（フロンティアAI）」を名指ししています。こうしたAIは防御に使えば対処能力の強化が期待できる一方、攻撃者に悪用されるとサイバー攻撃がより高速かつ大規模に行われる恐れがある、としています
- だから、脆弱性には「ビジネスに於ける重要度」と「発生リスクの重大度」で優先度を付けて速やかに対応し、とくにVPN装置やリモートアクセス装置、Webサーバなど外部に公開しているシステムには最優先でパッチを当ててほしい
- そして、経営トップが主導してほしい。緊急パッチのためにシステムを止める判断や、事業継続計画（BCP）を事前に立てておくことを、経営層に求めています
パッチを当てること自体は、道具と手順で進められます。難しいのはその手前、「このシステムを今止めていいか」を経営者が即断することです。それには、どのシステムが止まると何が困るのかを、あらかじめ分かっている必要があります。
実は、まさにそこが、中小企業でいちばん埋まっていない項目です。
自工会セキュリティガイドラインとは（レベル1・2・3）
自工会セキュリティガイドラインは、日本自動車工業会（JAMA）と日本自動車部品工業会（JAPIA）が作った、自動車産業のサイバーセキュリティ対策の共通の物差しです。認証制度ではなく、共通のチェックシートで各社が自己評価する仕組みです。
- 会社のIT環境を対象にした「エンタープライズ領域版」は153項目
- 項目は3つのレベルに分かれます。レベル1（50項目）は規模を問わず優先して実施すべき項目、レベル2（74項目）は標準的に目指す項目、レベル3（29項目）は最終的な到達点です
- 2026年には、工場の設備・システムを対象にした「工場領域版」（62項目）も出ました
チェックシートは取引先の求めに応じて提出するもので、法律上の義務ではありません。ただ、取引の条件として求められる以上、実質的には避けて通れないものになっています。
チェックシートの集計で見る、中小企業の実態
JAMAは毎年、提出された自己評価の集計結果を公表しています。2025年度の回答は4,032社。そのうち約4割にあたる1,641社が従業員100名以下の会社です。
自己評価では、153項目それぞれを「対策完了」「該当なし」（各2点）、「対策中」（1点）、「未実施」（0点）で付けます。目標をレベル1に置いている会社の、レベル1項目の平均点（100点満点）を規模別に並べるとこうなります（表は抜粋で、ほかの区分は省いています）。
| 従業員数 | 2023年度 | 2025年度 |
|---|---|---|
| 100名以下 | 56.7%（438社） | 59.2%（671社） |
| 101〜300名 | 69.7%（167社） | 69.0%（251社） |
| 501〜3,000名 | 88.9%（26社） | 89.1%（27社） |
| 3,001〜10,000名 | 86.7%（3社） | 99.2%（6社） |
出典: JAMA 集計データ最終結果（2023年度 p.8/2025年度 p.9）
「最低限」とされるレベル1でも、100名以下の会社は平均で約6割。大きな会社はほぼ満点です。「該当なし」も満点として数える仕組みなので、実際に手が付いている割合はこれより低い可能性もあります。
なお、JAMA自身は2025年度の結果を「全ての目標レベルにおいて平均点が向上しており、全体的なセキュリティレベルの底上げが図れている」と評価しています。全体としては確かに上がっています。ただ、規模による差は2023年度から縮まっていません。
読むときの注意も2つあります。
- 自己評価の数字です。甘めに付ける会社も、厳しめに付ける会社もあります
- 100名以下の回答は2年で438社→671社に増えました。要請がサプライチェーンの裾野まで届き、初めて記入した会社の点が平均に加わった可能性があります。「伸びていない」とだけ読むのは早計です
レベル1でいちばん埋まっていない2項目
注目したいのは、どの項目が埋まっていないかです。2025年度、目標をレベル1に置いた989社で平均点が最も低く、「未実施」と答えた会社も最も多かったのは、この2つでした。
- No.66 情報資産において「機密性」「完全性」「可用性」の3要素が確保できなくなった場合のリスクを特定できている（未実施468社＝989社の約半数）
- No.69 業務影響への対策は策定された計画に沿って管理している（未実施458社）
3〜5位も、高い機密区分の情報の一覧化（No.56）、機密区分に応じた管理（No.58）、取引先とやり取りする情報・手段の一覧化（No.70）と、自社の情報を棚卸しして書き出す項目が並びます。
No.66とNo.69は、どちらも「リスク対応」の項目です。そして、7月の要請が求める、ビジネス上の重要度で優先度を付けることと、経営トップの「止める判断」「事前のBCP」の、まさに前提になる項目でもあります。一方、目標をレベル2に置いた会社で最も低いのは「社外に送るメールの監査」や「PCからのデータ書き出しの制限」で、こちらは製品を入れれば埋まります。
レベル1の最下位2項目は、何を守るのか、止まったら何が困るのかを、自分たちで考えて書く仕事です。ウイルス対策ソフトやUTMを買っても埋まりません。中小企業が落としているのは「道具」ではなく「考える時間と人」だということが、数字に出ています。
AIで攻撃が速くなるほど、この差は効いてきます。パッチが出た当日に「止めて当てるか、明日まで待つか」を決めるとき、No.66が書けている会社は数分で決められ、書けていない会社は会議から始めることになります。
業界の支援は、何があるか
業界団体も手をこまねいているわけではありません。無料で使えるものがいくつもあります。
- 中小企業向けの手引き（2026年3月）: 153項目から優先の8つの対策・19項目に絞り、「経営層の理解→守るべき資産の見える化→入口を固める→もしもに備える」の順で進め方を示しています
- よろず相談会: 2024年度に11回開かれました（現在は「終了」と案内されています）
- 業界平均比較テンプレート: 自社の結果を、同じ規模・業種の平均と比べられます（評価結果を提出した会社に送付）
- 問い合わせチャットボット（2026年9月〜2027年1月）
一方で、2026年度の説明会資料（51ページ）には、補助金や専門家の派遣は出てきません。支援は「物差しと教材」までで、実際に手を動かす人とお金は各社に任されています。
また、手引きの優先19項目は、パスワード・共有設定・OS更新・ウイルス対策といった入口の対策と、連絡網・バックアップといった備えが中心です。集計でいちばん低かったNo.66・No.69は、優先19項目に入っていません。手引きの近道は、中小企業がいちばんつまずいている所の手前で止まっています。
対策の費用は、誰が持つのか ── 2026年1月から「取適法」
取引先から対策を求められたとき、その費用を誰が持つのか。実はこれには、国の考え方がはっきり示されています。
公正取引委員会と経済産業省は2022年10月、取引先への対策要請について考え方を整理しました。要請すること自体は問題ありません。ただし、優越的地位にある発注側が次のようなことをすると、独占禁止法上の問題になるおそれがあるとしています。
- 有償のセキュリティサービスや認証取得を求めておきながら、コスト上昇分を価格の交渉で明示的に協議せず、取引価格を据え置く
- 責任者の設置や従業員教育など体制づくりを求めた結果、人件費の上昇を理由に値上げを求められたのに、応じない理由を書面やメールで回答せずに据え置く
- 同等以上の対策をすでにしている取引先に、指定する高価なサービスの利用を強制する
さらに2026年1月1日、下請法が「取適法」（中小受託取引適正化法）に改正・施行されました。
- 協議に応じない一方的な代金決定が新たに禁止されました。受注側から価格協議を求めたのに、協議に応じなかったり必要な説明をしなかったりして一方的に代金を決めることは違反です
- 適用対象の判定に従業員数の基準（製造委託等は300人）が加わりました。資本金だけでは対象外だった取引も、対象に入る場合があります
セキュリティ対策の費用は、価格交渉の場で正面から持ち出してよいものです。そのためにも、「何に・いくらかかるか」を自社で説明できる状態にしておくことが大切です。困ったときは公正取引委員会の相談窓口や、最寄りの商工会議所・商工会でも相談できます。
いつまで? SCS評価制度との関係
- 2026年度の自己評価は12月31日までに提出するよう求められています
- 経済産業省が進める「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）について、経産省は★3が自工会ガイドラインのレベル1、★4がレベル2に対応すると整理しています
- ★3・★4の運用開始は令和8年度末頃（2027年3月頃）の予定です（自工会の2026年度説明会資料より）
そして、2026年度の説明会資料には大きな方針が書かれています。自工会・部工会は、最終的には国の新制度に一元化すべきと考えており、準拠するガイドラインを「新制度ガイド1本」に乗り換える方針です。自己評価と提出、集計・公表は従来どおり続け、★3・★4の認証取得は必須とはしない（各社の任意）としています。切り替えの時期は「継続検討中」で、制度の立ち上がりを見て判断するとされています。
2026年度の自己評価は、これまでと同じチェックシート（V2.3）で行います。レベル1を埋めることは、★3の土台づくりにもなります。
中小企業がまずやる3つ
- 業界平均比較テンプレートで、同じ規模の中での位置を出す。「同業・同規模の平均より下」という事実は、経営層に時間と予算を相談する一番の材料になります
- No.66・No.69を、1枚で書いてみる。守る情報（図面・顧客情報・生産計画など）ごとに、「漏れたら」「書き換えられたら」「使えなくなったら」何が困るかを書き、対策をいつ・誰がやるかを決めます。完璧な台帳でなくて構いません。IPAの「中小企業の情報セキュリティ対策ガイドライン」（第4.0版・2026年3月）にある「資産ベースのリスク分析」の手順と、付録の資産管理台帳（サンプル）が下敷きに使えます
- 手引きの入口の対策を、順に片付ける。パスワード、共有設定、OS更新、ウイルス対策。ここは製品と設定で進められます
「何を守るか」を自社だけで書き出すのが難しい場合は、外の目を使ってください。
参考文献
- JAMA「自動車産業サイバーセキュリティガイドライン」
- JAMA「自動車産業サプライチェーンへの推進活動」
- JAMA「2025年度 集計データ最終結果」
- JAMA「2023年度 集計データ最終結果」
- JAMA/JAPIA「2026年度 自己評価の実施・展開及び経営層及び担当者向け説明会資料」
- JAMA/JAPIA「AI性能の高度化を踏まえたサイバーセキュリティ対策強化のお願い」（2026年7月27日）
- 公正取引委員会・経済産業省「サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて」（2022年10月28日）
- 政府広報オンライン「2026年1月から下請法が『取適法』に!」
- 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月27日）
- IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年3月27日）