まず土台となる数字を確認します。2020年のソフトウェア業は25,977事業所・従業者837,606人。このうちソフトウェア業務に従事している人は745,302人です。

この産業の特徴は、「事業所の数」と「人・売上」がまったく逆方向に集中していることです。数字で見ると異様なほどはっきりしています。

29人以下だけで事業所の79.2%を占めますが、そこにいる従業者は18.5%にすぎません。逆に500人以上は事業所のわずか0.75%（195事業所）で、売上の42.0%を握っています。

この非対称性が、これまで「小規模＝侵入口が多い」「大企業＝波及が大きい」という両端集中型の説明を生んできました。数の多さと影響の大きさが別の場所にあるので、直感的にも納得しやすい説明です。

ここが今回の分析の中心です。同じ調査には、ほとんど使われていない列があります。「別経営の事業所から派遣されている人（受入）」と「うち、別経営の事業所に派遣している人（送出）」です。

多くの分析では、公表値の「事業従事者数」から「従業者数」を引いた差を外注の目安に使います。しかしこの差は、受入と送出を相殺した純額にすぎません。実際には受入と送出それぞれの実数が調査されています。そこで両方を足した値を「境界横断者数」、従業者数に対する比率を「境界横断率」と定義して集計しました。

結果は明確でした。産業全体で受入63,145人・送出79,547人、合計142,692人。従業者の17.0%が組織の壁をまたいで働いています。

100〜299人層の境界横断率25.1%は、2位の500人以上（18.3%）を大きく引き離しています。この層では従業者の4人に1人が、自社と他社の境界をまたいで働いている計算になります。とくに送出率16.5%は2位（300〜499人の8.7%）のおよそ2倍で、突出しています。

なお2019年の同じ表も集計したところ、産業全体の境界横断率は13.5%（2019年）→17.0%（2020年）と上昇していました。送出は48,261人→79,547人で+64.8%です。ただし2020年は新型コロナの影響を受けた年であり、調査対象の入れ替わりもあり得るため、この1年の変化だけで「急増している」と断定はできません。傾向として押さえるにとどめます。

もう1つ、ほとんど使われていない表があります。「ソフトウェア業務の契約先産業別 年間売上高」です。この表には契約先が19区分で記録されていて、そのなかに「同業者」という区分があります。

契約先が同業者ということは、ソフトウェア会社がソフトウェア会社から仕事を受けている、つまり自分が下請け側にいることを意味します。これは多重下請け構造の直接的な指標になります。

構造がはっきり出ました。50〜99人が30.3%で最も下請け度が高く、100〜299人が25.9%で続きます。一方で500人以上は12.9%と最も低く、代わりに金融・保険から直接23.9%を受注しています。

つまり、大手が元請として金融機関や官公庁などの最終顧客に直接向き合い、その下を中堅が担うという商流が、売上構成にそのまま表れているわけです。

もう1つ別の統計、情報通信業基本調査には、ソフトウェア業自身がどれだけ外部に委託しているかが2010年度から2017年度まで記録されています。ここに興味深い動きがありました。

8年間の変化をまとめると、こうなります。

ここが重要です。「委託するかどうか」はすでに8年前の時点で83%に達していて、飽和していました。増えたのは委託する会社の数ではなく、1社が委託する金額（+42.5%）です。

さらに、情報処理関連業務を委託した企業数は929社→1,488社（+60.2%）、そのうち海外委託は103社→213社（+106.8%）と倍増していました。

ここまでは産業構造の話でした。実際の事故データはどうか。国内の漏えい報道を構造化したデータベース（2025年8月〜2026年8月、731件）を分析しました。

このDBには第三者関与を示すフラグが137件ありますが、これは「委託先」「取引先」「利用しているサービス」などの広いキーワードで機械的に抽出したものです。実際に内訳を見ると、最大の群は「誤操作・設定ミス」62件で、攻撃起因ではありません。そのまま「委託先起因の事故」として扱うことはできません。

そこで、本文で委託先・再委託先・SaaS・外部サービスが明示されたものを保守的に絞り込み（55件）、さらにSaaS・クラウド・システム開発保守などソフトウェア／ITサービス事業者が起点と考えられるものを手作業で12件に分類しました。

件数では約2割にすぎないのに、判明した影響数の約9割を占めます。中央値でも21,000対112で約188倍の開きがあります。最大案件（約106万人）を除外しても、残りの影響数の60.7%を占め、中央値の差は約98倍でした。単一の巨大案件だけで説明される偏りではありません。

象徴的なのが、あるシフト管理SaaSの事例です。上流では1つのサービスへの侵害でしたが、国内DBにはスターバックス（31,500人）と西友（30,508人）という2つの別々の漏えい公表として記録されています。

記事数だけで数えると上流の1件を二重計上します。逆に重複を完全に除くと「何社に波及したか」という供給網リスクの本質が消えます。上流インシデント数・影響を受けた顧客組織数・組織ごとの影響人数を、別々に持つ必要があります。

ここからが今回の分析でいちばん言いたいことです。

従来の供給網リスク論は両端集中型でした。小さい会社が数の多い侵入口になり、大きい会社が波及を増幅する。中間は通り道にすぎない、という見方です。

しかし4つの軸を同じ表に並べると、まったく違う絵が出てきます。

なぜこの層に重なるのか。構造を追うと自然に説明がつきます。

ここに、産業全体の性質が乗ります。ソフトウェア業の売上の78.0%が受注ソフトウェア開発です。受注開発が主体ということは、パッケージ製品と違って案件ごとに環境が分裂するということです。

今回の分析で、集計方法によって結論が反転する場面が3つありました。同じ罠は他の分析でも起きるので、共有しておきます。

もう1つ、OSS側のデータについても率直に書いておきます。今回参照した供給網データベースには悪性・脆弱パッケージが235,601件あり、そのうちnpmが219,559件（93.2%）を占めます。しかしこれをもって「npmが危険」とは言えません。

そのうえで、件数ではなく手口の性質に注目すると示唆があります。自己増殖型（worm）のタグが付いたパッケージは14件と極めて少数ですが、これは一度CI/CDやパッケージ公開権限を奪うと複数パッケージへ自動的に広がるタイプです。漏えいデータで見た「件数2割・被害9割」と同じ形が、OSS側にも現れています。

ここからは実務です。今回の分析からいえる方針は明確です。事故件数を減らすことより、1つの委託先・1つの認証情報・1つのパッケージから被害が広がらない構造を作ることを優先してください。

次に、委託先アカウントの棚卸しです。最低限、次の項目を1つの表にします。

30日以内：認証情報が盗まれても使えなくする

分析で見たとおり、狙われているのは「怪しいコード」ではなく外部組織が正規に使える権限です。順序をつけて潰します。

30日以内：CI/CDとOSS公開経路を重点防御

OSSの脆弱性を全部同じ強度で追うのは現実的ではありません。配布・公開権限を持つ経路から先に守ります。

90日以内：「委託先が侵害された」前提で訓練する

次のシナリオで机上訓練と実動訓練を行い、時間を実測してください。連絡網の確認だけで終わらせず、テスト環境で実際に遮断・鍵交換・復元まで実施します。

管理指標も入れ替える

「脆弱性を何件直したか」「教育を何人受けたか」では波及リスクを測れません。経営に報告する指標を次に変えます。

今回の結果は相関と構造仮説であり、因果関係を証明したものではありません。「委託が多いから事故が増える」と主張するものではなく、リスクがどこに集中しやすいかを説明する仮説です。以下の限界があります。

次に検証すべきことは明確です。分析の単位を「記事」ではなく「国内の製品またはリポジトリ」に変え、SBOM・企業規模・外部人員・CI/CD権限・国内導入数を1行に結合すること。そのうえで、侵害が起きる確率と起きたときの波及規模を別々のモデルで推定する。この2つを混ぜると、小規模企業の数の多さか、大企業の売上規模のどちらかに引っ張られてしまいます。