50項目を厳選！サイバー攻撃対策チェックシート

あなたの会社はセキュリティ対策できていますか？
簡単なチェックシートで課題が見つかります！

資料をダウンロードする

サプライチェーンリスクとは、サプライチェーン （商品が企画・開発されてから消費者に届くまでのプロセス）が途絶える・滞ることで、自社の製品・サービスの供給の流れも止まってしまうリスクのことです。

従来は自然災害などに起因する物理的なリスクを指しましたが、近年は関連組織やベンダー（サプライヤー）を介してセキュリティ被害を受ける、「サプライチェーン攻撃」によるリスクを指すことが一般的です。

こうしたサプライチェーンリスクを低減するための取り組みを「サプライチェーンリスクマネジメント（SCRM）」と言います。
具体的には、サプライチェーンに影響を及ぼす潜在的なリスクを特定・評価し、対策案の策定・実行などを行います。

サプライチェーンリスクマネジメントでは、「サプライチェーン企業を巻き込んだセキュリティ体制の構築」が重視されているので、自社のセキュリティ強化に加え、以下の対策も行いましょう。

• 関連企業のリスク評価を行い、パートナーや導入製品を慎重に選定する
• 委託先や取引先とセキュリティ契約を結ぶ

この記事では、サプライチェーンリスクの概要や種類、対策について解説いたします。

そ​もそもサプライチェーンとは何か​

​​サプライチェーンリスクの​話​に入る前に、​「そもそも​サプライチェーンとは何か​」について簡単に説明しておきます。

サプライチェーンとは​​、商品が企画・開発されてから、消費者に届くまでのプロセス全体を​指します。

家電​製品を例に説明すると、家電製品に使用される「​部品を製造する業者」、製造された部品をもとに「商品を製造するメーカー」、商品を配送する「運送業者」、納品先である「家電量販​店」​などがあり​ます​。​

▼サプライチェーンのイメージ​

多くの企業・組織は自社で営業活動が完結することはなく、様々な関連企業や委託先（サプライチェーン）と関わり合いをもっています。​

​サプライチェーンリスクとは？​

サプライチェーンリスクとは、前述したサプライチェーンに起因し、自社が何かしらの被害を受けるリスクを指します。​

​​従来、サプライチェーンリスク​といえば、関連会社がトラブルや自然災害で機能停止、供給が滞ってしまうというような​「​​物理的な​サプライチェーン​リスク​​」を指していました。​

​​しかし​近年では、関連会社とのオンライン上のつながりを悪用される「サプライチェーン攻撃」により、自社が不正アクセスやランサムウェア攻撃といったサイバー攻撃を受けるリスクを指すことが一般的です。

​​IPAが公表した「​​情報セキュリティ10大脅威2023​」によれば、組織編の2位に「​​サプライチェーンの弱点を悪用した攻撃​​」がランクインしています。​

​​▼10大脅威における「サプライチェーン攻撃」の推移​

以前はそれほど注目されていなかった「サプライチェーン攻撃」ですが、2019年より毎年順位をあげ、今や組織・企業にとって無視できない、重要度の高い脅威として注目を集めています。​
​​

サプライチェーン攻撃の3つのパターン（被害経路）​

​​サプライチェーン攻撃には、以下の3つのパターンが存在します。​

​ビジネスサプライチェーン攻撃

​
​​ビジネスサプライチェーン攻撃は、​​標的企業の「委託先」や「子会社」​​を​起点とする攻撃手法です。
​​攻撃者は​ターゲットとする企業に​直接​侵入する​のではなく、​まずは標的となる​企業のサプライチェーン内​で、セキュリティが脆弱な組織のシステムへ​侵入。その後、委託先や子会社を踏み台に、​標的とする企業のネットワークやシステムへ不正アクセスを行います。

​​例えば「国内の大手企業」を攻撃するため、セキュリティ対策が甘い「海外の提携企業・子会社」に不正アクセスしてから、標的の大手企業のシステムへ侵入するというケースなどはよく見られます。​

​​また、委託先や子会社が攻撃を受けることで、ターゲットとなる企業の企業機密や内部情報が漏洩する可能性もあります。​

サービスサプライチェーン攻撃​

​​サービスサプライチェーン攻撃は、​標的企業が導入しているサービスの提供元に、攻撃を仕掛ける手法です。​クラウドサービス​事業者​や、外部のITプロバイダーなどが攻撃対象として挙げられます。​

​​攻撃者​は​サービス提供者のシステムやデータに​不正​アクセスし、​標的企業への不正アクセスを試みます。

また、​サービス提供者​がマルウェア（悪意のあるソフトウェア）に感染した場合、標的企業を含む顧客にもマルウェアの被害が及ぶ可能性があります。

​​

ソフトウェアサプライチェーン攻撃

​
​​ソフトウェアサプライチェーン攻撃は、上記の2つとは少し毛色の異なる犯行です。

攻撃者は​ソフトウェアが提供される前に、そのソフトウェアの開発・製造・提供のいずれかの工程に侵入し、不正コードやマルウェアを混入します。

よってソフトウェアサプライチェーン攻撃​は、特定の​企業​に対してではなく、不特定多数の企業に対し無差別に行われるケースが大半です​。​

​​また​攻撃者は、著名な​ソフトウェアやサービスに対し、不正なアップデートを提供​し​ます。ユーザーがアップデートを受け入れることで、マルウェアがシステムに感染するリスクがあります。 既知の脆弱性やセキュリティホールを悪用して、攻撃が行われることもあります。​

​サプライチェーンリスクが発生する主な要因​

​​サイバー攻撃における「サプライチェーンリスク」が発生する要因として、​以下のような項目があげられます。

​関連会社の脆弱性をつく「不正アクセス」等により、自社が攻撃を受ける

​
サプライチェーン内の​関連会社が不適切なセキュリティ​対策​を採用している場合、悪意ある第三者がこれを悪用し、システムに侵入する可能性があります。​

​​具体的な例を挙げると​

​​といった要素があげられます。​

攻撃者の多くはセキュリティが堅固な大手企業を直接狙わず、セキュリティの弱いサプライチェーン企業を踏み台に、目的を達成します。​

​関連会社が被害を受け、自社が巻き込まれる

​
​​サプライチェーン内で発生した問題や被害が、自社に波及してしまうケースもあります。

このように、サプライチェーン内のいずれかで被害を受けると、結果的に自社も巻き込まれることになってしまいます。​

​内部の人的ミス・不正行為がリスクになる場合も​

​​サプライチェーンリスクは外部からの脅威だけでなく、内部の人的ミスや不正行為も年頭に対策する必要があります。​

​​例えば、社内の従業員が誤ってパートナー企業の機密情報を​公開し​たり、あるいは​委託先企業の従業員が、不正に機密情報を持ち出したりするリスク等が想定されます。

​サプライチェーンリスクに関連する被害事例​

​​サプライチェーンリスクに関連する具体的な被害事例はさまざまです。以下、国内での事例を3つ紹介します。​

​サプライチェーンリスクマネジメント（SCRM）の重要性​

サプライチェーンリスクを理解する上で欠かせないのが「​​サプライチェーンリスクマネジメント​（SCRM｜​Supply Chain Risk Management）」という概念です。

SCRMとは、サプライチェーンに影響を及ぼす潜在的なリスクの特定​および​評価​を行い​、​対策案の策定・実行によって、​リスク​を低減する​仕組みを指します。​

​​サプライチェーン攻撃では、サプライチェーンの中でもセキュリティが脆弱な、子会社やベンダーが標的とされます。そこでSCRMでは自社だけでなく、委託業者や関連組織など「​​サプライチェーン企業を巻き込んだセキュリティ体制の構築」​​が重視されています。​

​​

インシデント発生時の「対応責任の所在」が不明瞭な企業は、6割強​

​​サプライチェーン間でインシデントが発生した際、責任範囲が明確に取り決められていないケースが蔓延しています。​

​​IPAが公表した「ITサプライチェーンにおける情報セキュリティの責任範囲に関する調査」​の報告書​によると、業務委託契約において​​、新たな脅威が発生した際の対応に関する責任範囲​​が、明記されていない割合は8割に上りました。​

同様に​​発生したインシデントへの対応​​についても、6割強の業務委託契約にて記載がないことが明らかとなっています。​

​▼委託元が文書で明確にしているセキュリティに係る要求事項​

出典​：​IPA｜「ITサプライチェーンにおける情報セキュリティの責任範囲に関する調査」報告書について（2019年4月19日）

​​責任​の​所在が不透明​となれば、以下のようなリスクが生じる可能性があります。

これらサプライチェーンリスクを防止すべく、ITセキュリティの責任範囲を明確にするのに有効なのが「​​契約関連文書の雛形の見直し​​」です。調査の結果からも、多くの企業が責任範囲を明確にするための手段として「契約関連文書の雛形の見直し」を重視していることがうかがえます。​

​▼責任範囲を明確にするため、有効と思われる施策​

出典​：​IPA｜「ITサプライチェーンにおける情報セキュリティの責任範囲に関する調査」報告書について（2019年4月19日）

​​従来の契約書に「新たな脅威への対応」や「インシデント発生時の責任範囲」に関する具体的な要件を組み込むことで、委託先と委託元との責任範囲が明確になります。 結果、サプライチェーン攻撃に伴う責任トラブル回避や、万一サイバー攻撃を受けた際の情報共有・被害拡大の防止などが見込めるようになるでしょう。​

​​

サプライチェーンリスク軽減のためには「パートナー企業」を巻き込んだセキュリティ対策が必要​

​​大企業や組織がサプライヤーや子会社を巻き込んだセキュリティ対策を行うことは、結果として自社のセキュリティレベルを上げることに繋がります。

サプライチェーンを通じたサイバーセキュリティ被害の拡大を考慮して策定されたのが、経済産業省が公表した「​サイバーセキュリティ経営ガイドラインVer 3.0​」です。​ 本書ではビジネスパートナーとの契約にて、​​サイバーセキュリティリスクに対する責任範囲を明確化​​し、​​サプライチェーン全体での対策の実効性を高める ​​ことの重要性が明らかにされています。​

また、2020年11月には産業界が協力してサプライチェーンのサイバーセキュリティ対策を推進するため、経済産業省がオブザーバーとして参加する「​サプライチェーン・サイバー・セキュリティ・コンソーシアム（SC3）​」が設立されました。

SC3では、セキュリティ対策が手薄になりやすい中小企業が狙われ、最終的にサプライチェーン企業に被害が波及するといった背景から「中小企業を含むサプライチェーン全体で、強固なセキュリティ体制を構築すること」を推進しています。​

​​

サプライチェーンリスクを軽減するための対策​

​​企業・組織がサプライチェーン​リスクを軽減するため、以下の対策に取り組んでいきましょう。

​自社のセキュリティ状況を把握し、必要な対策を実施​

​​まずは自社のセキュリティ体制を見直して、課題の洗い出しと適切な対策を行う必要があります。自社は勿論、サプライヤーへ被害が波及するリスクも踏まえ、現状のセキュリティ体制を厳しく見直しましょう。​

​​これにより、内部からのリスクを排除し、サプライチェーン全体の安全性を向上させます。​

​​

関連企業のリスク評価を行い、パートナーや導入製品を慎重に選定する

​
​​自社のセキュリティだけを強化しても、サプライチェーン攻撃を防ぐことはできません。​

​​サプライチェーン全体のセキュリティ基準を高める必要があるため、関連企業のリスク評価を行いましょう。
​関連企業の​セキュリティレベルを明確にし、​自社のセキュリティレベルよりも低い場合は、改めて​対策を​行ってもらうようにしてください。

​​また委託先を選定​する際、役立つのが「ISMS認証」の取得有無を確認することです。

ISMSとは、企業・組織が自社において総合的にセキュリティ管理を行うための、運用システムを指します。構築・運用する際には「ISO27001」と呼ばれる国際規格に従って、自社のセキュリティ環境を整備することになります。

​​ISMS認証を取得した企業は、​​情報セキュリティ対策を適切に実施していることが客観的に証明​​されており、安心して提携する上で１つの指標となります。​

​​その他、個人情報を適切に管理する体制構築であることを証明する、Pマークの取得有無も判断材料の１つです。​

​サプライチェーン企業とセキュリティ契約を結ぶ​

​​サプライチェーンにおいては、委託先や取引先とのセキュリティ契約が、問題発生時の円滑な対応を支える要となります。契約締結時には、責任​の​所在や具体的な対応内容を契約書に明示しましょう。​

​​インシデントが発生した際、契約書に基づいた的確な対応と責任分担が行えることで、トラブルや被害の拡大を抑制できます。​

​サプライチェーンリスクに有効なセキュリティ「LANSCOPE サイバープロテクション」​

​​サプライチェーン​をねらった攻撃​は、関連会社の​セキュリティ上の欠陥​に​つ​け込んだ不正アクセスやマルウェア感染​に起因するケースが大半です。そして多くの攻撃で狙われるのが、PCやサーバー、VPNといった「エンドポイント」です。

弊社が提供する「​LANSCOPE サイバープロテクション​」は、未知や亜種のマルウェア検知に対応する、２種類のエンドポイントセキュリティを提供しています。

1．アンチウイルス✕EDR✕監視サービスをセットで利用可能な「Aurora Managed Endpoint Defense」

「Aurora Managed Endpoint Defense」は、アンチウイルスとEDRを併用し、エンドポイントを内外から保護するセキュリティソリューションです。

例えば、「アンチウイルスとEDRを両方使いたい」「できるだけ安価に両機能を導入したい」「EDRの運用に不安がある」などのニーズをお持ちの企業の方には、エンドポイントセキュリティを支援する「Auroraシリーズ」の導入が最適です。

「Auroraシリーズ」では、以下の3つのサービスをお客様の予算や要望に応じて提供します。

高精度なアンチウイルスとEDRの併用が可能となり、セキュリティの専門家が24時間365日体制で監視を行うことで、マルウェアから確実にエンドポイントを守ります。

アンチウイルスのみ、またはアンチウイルス＋EDRのみの導入など、柔軟な対応も可能です。詳細は以下のページをご覧ください。

2． 各種ファイル・デバイスに対策できるNGAV「Deep Instinct」

以下のニーズをお持ちの企業・組織の方は、AIのディープラーニング技術を活用し、未知のマルウェアを高い精度でブロックする、次世代型アンチウイルス「Deep Instinct」がおすすめです。

近年の攻撃者は、セキュリティ製品から検知を逃れるため、実行ファイルだけでなくExcelやPDF・zipなど、多様な形式のマルウェアを仕掛けてきます。

ファイル形式を問わず対処できる「Deep Instinct」であれば、多様な形式のマルウェアを形式に関係なく検知可能です。

また、手ごろな価格設定も魅力です。詳細は以下よりご覧ください。

万が一、マルウェアに感染した場合は？迅速な復旧を実現する「インシデント対応パッケージ」

「マルウェアに感染したかもしれない」 「サイトに不正ログインされた痕跡がある」 など、サイバー攻撃を受けた事後に、いち早く復旧するためのサポートを受けたい場合は、プロがお客様に代わって脅威に対処する「インシデント対応パッケージ」の利用がおすすめです。

フォレンジック調査のスペシャリストがお客様の環境を調査し、感染状況と影響範囲を特定。マルウェアの封じ込めをはじめとした復旧支援に加え、今後どのように対策すべきかのアドバイスまで支援いたします。

「自社で復旧作業を行うのが難しい」「マルウェアの感染経路や影響範囲の特定をプロに任せたい」というお客様は、是非ご検討ください。

サプライチェーンリスク管理が行える「Panorays」​

​​最後にご紹介するのが、サプライチェーンリスク評価サービスの「​​Panorays」です。
Panoraysは、SOMPOリスクマネジメント株式会社が提供するSaaS型のセキュリティリスク評価システムです。

​自社に関連するサプライヤーの資産情報を自動収集し、サプライチェーン全体のセキュリティ対策状況を可視化し、攻撃の潜在的リスクを把握できます。

自社だけでなく、サプライヤー全体のセキュリティレベルを向上する上で欠かせない機能が搭載されています。​

​まとめ

​
​​本記事では「サプライチェーンリスク」をテーマに、その概要や対策について解説しました。​

​​すべての企業・組織はサプライチェーン全体を見据えた、セキュリティ対策への取り組みを進めましょう。​

50項目を厳選！サイバー攻撃対策チェックシート

あなたの会社はセキュリティ対策できていますか？
簡単なチェックシートで課題が見つかります！

資料をダウンロードする