なぜ会社の単位でサプライチェーンを見るのか
攻撃は、守りの固い会社を直接ねらわず、つながっている弱い所から入ります。委託先・使う SaaS・部品・AI のモデルの API は、どれも会社の外にある入口です。案件ごとに確かめるのではなく、会社で 1 つの台帳と順番を持ちます。
委託先の評価
委託先は、全部を同じ重さで見ると、だれも読まないチェックシートが増えます。扱うデータ・つながり方・止まったときの影響で重さを付け、確かめた物と比べて、どこから確かめるかを決めます。下の道具で、みなと開発（作り物）の 9 つの委託先と SaaS の評価表を埋めてください。
道具: 委託先の評価表と、確かめる順番 考え方のヒント
委託先と SaaS（押すと、右で評価を変えられます）
どこから確かめるか（順番）
重さ ＝ 2 × つながり方 ＋ 扱うデータ ＋ 影響（0〜11）。確かめの足りなさ ＝ 確かめた物（0〜3）。同じ区分の中は「重さ ＋ 2 × 足りなさ」の大きい順です（作り物の決まり）。
部品と SBOM
自社のコードの大半は、ほかの人が作った部品です。部品の一覧（SBOM）を版ごとに作り、置き場と持ち主を決め、委託先から受け取り、お客さまに渡せるようにします。2026 年 7 月に、SBOM の最小要素の国際的な文書が新しくなりました。
みなと開発の決まり: SBOM を作る・受け取る・出す（作り物） 考え方のヒント
使う SaaS の確かめ
SaaS は、規約を変えられないことが多く、規約のほうが変わっていきます。変えられないなら、残るリスクを確かめてから使い、確かめた日を残します。確かめる項目は、会社で 1 つにそろえます。
SaaS で確かめる 8 つ（みなと開発の決まり・作り物） 考え方のヒント
評価の制度
委託先の対策を見えるようにする国の制度が、動き始めています。SCS 評価制度（★）は 2026 年度末ごろの開始を予定し、クラウドには ISMAP があります。みなと開発は、委託先に求める側と、お客さまに求められる側の両方で使います。
★の段階（SCS 評価制度）
みなと開発の 2 つの立場（作り物の当てはめ） 考え方のヒント
制度の中身と時期は変わることがあります。実際の判断は、IPA と経済産業省の公式の情報で確かめてください。
決めたことを残す形
委託先の台帳、SBOM の置き場の決まり、SaaS の確かめの記録です。委託先の台帳には、上の道具の評価と順番が入ります。そのままコピーして、表計算や文書に貼って使えます。
委託先の台帳 考え方のヒント
「委託先の評価」の道具のいまの値で並びます。見直す日は、区分ごとの作り物の目安です。
SBOM の置き場の決まり（Markdown） 考え方のヒント
SaaS の確かめの記録 考え方のヒント
値は作り物です。「未確認」の所が、次に確かめる所です。
落とし穴
委託先と部品と SaaS の確かめで、よくはまる所です。
AI 時代のサプライチェーン（モデル・AI が書くコード・エージェントの拡張）
AI のモデルと API も、規約が変わり、引退する委託先です。AI が書いたコードは、ありもしない名前の部品を呼ぶことがあります。エージェントに足す MCP のサーバーも、出所を確かめて入れる部品です。
チェックリスト
自分の会社の委託先・部品・SaaS の確かめを見直したら、チェックを付けてください（この端末にだけ残ります）。考え方のヒント