需要
日本の需要は、政府の規則、サプライヤー評価、そして絶え間ないパッケージ攻撃から生まれている
日本では2024年以降、ソフトウェアサプライヤーに対する新たな圧力が4つ加わりました。それぞれが、購入者に対し、自社で開発または購入するソフトウェアの中身を把握するよう求めています。
IPA、2026年にサプライチェーン攻撃を2位にランク付け
IPAの情報セキュリティ10大脅威 2026は、2026年1月29日に公表され、組織に対するサプライチェーンおよび委託先への攻撃を、昨年と同じ2位にランク付けしました。これを上回るのはランサムウェアだけです。AI関連のサイバーリスクは初めて3位でリスト入りしました。
サプライヤーのセキュリティ評価が2026年3月に確定
METIと国家サイバーセキュリティ室は、2026年3月27日にSCS評価制度を確定しました。自己評価による★3（専門家による確認を含む26要件）の有効期間は1年間です。第三者評価による★4（脆弱性管理を含む43要件）の有効期間は3年間です。IPAは2026年10月28日にガイドを発行し、12月下旬に評価機関を公表する予定です。
SBOMガイダンスがサプライヤー契約と医療機器を対象に
METIのSBOMガイド2.0（2024年8月29日）では、外部委託契約向けに脆弱性対応とSBOM条項が追加されました。METIと国家サイバーセキュリティ室は2025年9月3日、米国が主導する15か国の「SBOMに関する共有ビジョン」に署名しました。2024年4月1日以降、厚生労働省のガイダンスにより、医療機器メーカーは完全なSBOMを保有し、提示できる状態にしておくことが求められています。
能動的サイバー防御の義務が2026年10月1日に開始
能動的サイバー防御法の下で、重要インフラ事業者は、指定された重要コンピューター上で発生した特定のインシデントを報告し、30日以内に詳細な報告書を提出しなければなりません。また、各コンピューターの製品名とメーカーも申告する必要があります。これにより政府は、脆弱性が悪用されている製品を使用するすべての事業者に警告できます。
悪意のあるオープンソースパッケージが毎日出現
2026年8月18日までの181日間に、GMO Flatt Securityは6つのレジストリにある約19 million個のパッケージをスキャンし、約31,000個を悪意のあるものとして検出しました。その中には毎日発生したものもあります。日本の開発者向けメディアは、2025年11月のnpmの波（Aikido Securityによると492パッケージ）と、2026年8月の波（434個以上）を報じました。ここで参照した情報源のいずれも、日本の被害者を名指ししていません。
日本の購入企業と支出の兆候
Mitsubishi Electric（2024年4月）とDIYチェーンのCainz（2024年2月）は、Snykの導入を発表しました。ShimadzuとYamahaは、2026年6月に提供開始されたHitachi SolutionsのSBOMシステムを試験導入しました。IDC Japanによると、脆弱性管理ソフトウェアは2024年に40%以上成長し、セキュリティソフトウェア市場は5,860億円となりました。2025年7月には、調査対象となった製造業従業員の7%が、自社でSBOMを利用していると回答しました。
日本で販売している企業
現在、日本でソフトウェアサプライチェーンセキュリティを販売している企業
4社の海外ベンダーが日本法人の責任者を公表しており、そのうち3社には日本の販売代理店があります。日本のセキュリティ企業やシステムインテグレーターは、2024年以降、独自のSBOMおよびパッケージセキュリティサービスを開始しています。
| 企業 | 販売内容 | 日本での展開 | 日本の責任者（公表情報） |
|---|---|---|---|
| コード、オープンソースの依存関係、コンテナ、Infrastructure as Code向けの開発者セキュリティ | Snyk株式会社（KK）、2022年2月に本格展開；販売代理店はLAC、Classmethod、日立システムズエンジニアリングサービス（2024年2月から）；日本語サイト；顧客は三菱電機、カインズ | Yuki Kanda、Snyk Japanのカントリーマネージャー兼社長（2026年就任） | |
| SCAとSBOM（Black Duck）、静的解析（Coverity）、動的テストおよびインタラクティブテスト | 東京都世田谷区のBlack Duck Software合同会社；販売代理店はMacnica（2024年11月から）と日立ソリューションズ（15年以上にわたるパートナー） | Hiroya Abe（阿部浩也）、カントリーマネージャー、Macnicaの2024年11月のリリースに記載 | |
| ArtifactoryパッケージリポジトリとXrayコンポーネントスキャン | JFrog Japan KK、2018年設立；SB C&Sは2021年に販売パートナーシップを発表。Macnica Networksは2018年に契約したが、Macnicaは2024年3月にJFrogの新規販売を終了。 | Vicky Chan、2022年6月に日本担当GM兼カントリーマネージャーに就任；その後の公表情報は確認できず | |
| Checkmarx One AppSecプラットフォーム、世界の大企業860社以上が利用（2025年10月） | 2022年7月に日本担当カントリーマネージャーを任命；リリースには日本法人やパートナーの記載なし | Yoshishige Nakamichi、2022年7月から日本担当カントリーマネージャー；その後の公表情報は確認できず | |
| Takumi byGMOセキュリティAIエージェント：Guard（悪意のあるパッケージをブロック）、Runner、Takumi Images | 東京、2017年創業；GMOインターネットグループが2024年2月に66.6%を取得；ConoHa VPSのAIエージェントテンプレートでは2026年9月からGuardを無料提供 | 代表取締役社長 井手康貴（Ide） | |
| yamory脆弱性管理クラウド：SCA、SBOM、サポート終了、オープンソースライセンスのチェック | 東京都渋谷区のVisionalグループ企業；yamoryは政府のISMAPクラウドサービスリストに掲載 | 社長 大森厚志（Omori） | |
| 2026年6月23日にSBOM管理システムを発表；長年にわたるBlack Duck販売代理店 | 日本のSI；島津製作所およびヤマハとシステムを試験 | 日本企業、カントリーマネージャー職なし | |
 NRI Secure | SBOMベースの脆弱性監視およびトリアージサービス、2024年12月開始 | 日本のセキュリティサービス企業；メーカーの品質保証部門やPSIRTを対象にサービスを提供 | 日本企業、カントリーマネージャー職なし |
 Veriserve | SBOM.JP；EU脆弱性データベースとの照合を追加（2026年8月）、SSVCによる優先順位付けを追加（2026年10月） | 東京のソフトウェア品質保証企業 | 日本企業、カントリーマネージャー職なし |
 NTT DATA | ソフトウェア脆弱性統合管理サービス、2026年9月25日に開始されたSBOMベースのSaaS | 日本のSI；サービスと併せてPoC、ポリシー設計、運用支援を提供 | 日本企業、カントリーマネージャー職なし |
日本のSIはこの市場で二重の役割を担っています。独自のSBOMサービスを提供する競合企業であると同時に、海外ツールの販売代理店でもあります。
日本進出予定
より本格的な日本進出を準備する企業
これらの企業には、2025年または2026年に日付のある公開された日本進出の動きがある一方、日本担当責任者は明示されていません。
| 企業と出資者 | 販売製品 | 公開された動き |
|---|---|---|
Kleiner PerkinsIVPシリーズD、2025年 | SBOM付きの堅牢化されたコンテナイメージ、オープンソースライブラリ、OSパッケージ | 1週間のうちに日本企業2社とのパートナー契約を締結：SIOS Technology（2026年7月24日）およびCreationline（2026年7月28日）。2026年11月3日に掲載されたAPJ職種の勤務地はオーストラリアと英国です。 |
DST GlobalPSG EquityシリーズB、2026年1月 | 開発者を第一に考えたアプリケーションセキュリティプラットフォーム。ベルギーを拠点とする | 2026年11月3日時点で、アカウントエグゼクティブ（日本）の求人（東京）が掲載されており、市場向けの最初の総合営業担当者と説明されています。日本語と英語の流暢な運用能力が必要です。 |
| アプリケーションセキュリティプラットフォーム：コードおよびコンテナの脆弱性管理と依存関係分析 | G-Gravityは日本での販売代理店契約を締結し、2026年6月2日に販売を開始しました。Mend AppSecの価格はユーザー1人あたり年間20万円です。 | |
| オープンソースコンポーネント管理向けのNexus Repository、Firewall、Lifecycle | 2026年10月27日に更新された求人集約サイトに、エンタープライズアカウントエグゼクティブ（日本）の求人（シンガポール勤務、日本語堪能必須）が掲載されています。2026年11月3日に確認した時点で、SonatypeのLever求人ページには掲載されていませんでした。 | |
| コンテナプラットフォーム。Docker BusinessではDocker Hub向けのセキュリティ設定を一元管理できます | SB C&Sは2025年12月16日に販売代理店契約を締結し、約15,000社の日本の販売パートナーを通じてDocker Businessを提供します。 |
掲載しているのは公開された動きのみです：求人、法人登記、パートナー発表、報道。掲載企業は日本進出を当社に伝えたわけではなく、いずれも本ページで顧客として紹介しているものではありません。
クライアントを支える投資家
私たちが支援してきた企業を支える投資家。
私たちが日本での採用支援を行ってきたクライアントの背後にいるベンチャーキャピタルおよびプライベートエクイティ企業です。各投資会社の下には、その投資先企業を記載しています。これらの投資会社は当社のクライアントではなく、当社を推薦または承認しているものでもありません。
導入事例
こうした企業は、どのように日本事業を築いたのか。
Wiz Japan
Wizは、元VMware Japan社長をリーダーに迎え、国内データセンターを整備して日本に進出し、約1年で80社の顧客を獲得しました。
読む →導入事例 · セキュリティZscalerの戦略
Zscalerがパートナーを通じて日本事業を築いた方法と、それが最初の採用にどのような意味を持ったのか。
読む →調査 · セキュリティ日本サイバーセキュリティ概況
過去1年間に日本で公表された主な情報漏えい、その被害額、そして現在施行されている規則について。
読む →その他の日本市場概要資料
次のステップ
採用を担当するパートナーにご相談ください。
日本進出計画、ポジションの市場環境、そして優れた人材を採用するために必要なことについて、30分お話しします。採用のご依頼に至るかどうかにかかわらず、その市場についての私たちの見解をお持ち帰りいただけます。
- 2003年以降、日本でカントリーマネージャーおよび社長の採用を支援
- 70名以上のカントリーマネージャーおよび市場開拓責任者を採用
- 前職のサーチファームをManpowerGroup（NYSE: MAN）が買収し、Experis Executiveとして展開
- Recorded Future、Splunk、Fastly、Chainalysis、Zenityなどのセキュリティ関連採用を担当
- 日本で11年間にわたり、コンサルティング、テクノロジー、製造業の役員・シニア人材を採用
- 日本のBig 4系コンサルティングファームへのパートナー採用
- 日本に進出する海外企業のカントリーマネージャー採用
コンサルティングファームにおけるパートナー、マネージングディレクター、ディレクターの採用を担当。
このページの調査方法。 このページは、Murray Clarkeの指揮のもと、AIを活用して作成しました。すべての数値には原典へのリンクを付け、2026年11月3日に原典との照合を行っています。主な情報源は、IPA、METI、国家サイバーセキュリティ局の公表資料、IDC Japanおよび富士キメラ総研の発表、PR TIMES上のベンダーおよび販売代理店のプレスリリース、ITmedia、Cloud Watch、ScanNetSecurityの記事、日本の求人情報です。ページの内容についてはMurray Clarkeが責任を負います。誤りを見つけた場合は、hello@aspiringpartners.jpまでお知らせください。修正いたします。
Aspiring Partners K.K. 厚生労働大臣許可 有料職業紹介事業、許可番号 13-ユ-318925。このページに掲載されている企業名は日本市場を説明するためのものであり、明記されていない限り顧客企業ではありません。このページの内容は、法律、税務、投資に関する助言ではありません。aspiringpartners.jp