デジタル時代における経営アジェンダとして捉えるべき「サプライチェーン・セキュリティ」とは？（概要編）

サプライチェーン・セキュリティとは

サプライチェーン・セキュリティとはどのようなものでしょうか。

サプライチェーン・セキュリティは、なぜ今、注目を集めているのでしょうか。

北町氏：
サプライチェーン・セキュリティリスク自体は従前からあるものです。これが今、注目を集めているのは、サプライチェーンを取り巻く環境が大きな転換期を迎えているからだと我々は理解しています。その理由を、①事業、②脅威、③法規制の3つの観点から考えてみましょう。

まず、①事業に関して、環境に転換を促す大きな要因となったのは、いうまでもなくデジタル化です。デジタルサプライチェーンでは、物理的なモノだけではなく、デジタル化された情報（データ）・ソフトウェアなど、さまざまなものが行き交っています。つまり、サプライチェーンの構造は、従来のツリー型からサイバー空間の中で複雑につながるメッシュ型へと変化しました。

デジタルサプライチェーンへの進化

北町氏：
続いて、②脅威の観点から見てみましょう。デジタルサプライチェーンへの構造の変化は、サイバー攻撃者にとって極めて魅力的な攻撃対象へと変化しました。なぜなら、たった1つのターゲットへの攻撃がサプライチェーン全体の機能停止を引き起こす脅威となりかねないためです。企業の工場がサイバー攻撃を受け、それがサプライチェーン全体に波及した被害事例も実際に発生しており、早急な対応が求められています。

そして、③法規制の観点から見てみましょう。現在、各国がこぞってサイバー関連の法規制化に取り組み始めています。つまり、サプライチェーン全体の保護を法律によって義務化し、強制力を働かせる方向へと舵が切られています。

この動きが特に顕著に見られるのが欧米です。適切に個人情報保護を行わない企業に対しては、これまでも厳しいペナルティを科してきた欧米ですが、今後はサプライチェーンの保護を適切に取り組まない企業に対して、当該国・地域で事業展開をさせないというほど厳格な強制力を働かせようとしています。
こうした潮流が、サプライチェーン・セキュリティへの注目を高める要因となっています。

複雑化するサプライチェーンに対する新たな脅威、法規制

欧米の法規制には具体的にどのようなものがあり、日本企業にどのような影響を及ぼす可能性があるのでしょうか。

北町氏：
米国では、政府が調達するソフトウェアのセキュリティ保護を目的としたE.O.（大統領令）14028が出されたり、防衛産業に関わるサプライチェーンのセキュリティ強化を目的としたCMMC（サイバーセキュリティ成熟度モデル認証）の制度化が検討・推進されています。

欧州では、ネットワーク・情報システムのセキュリティ水準の向上を目的としたNIS指令（ネットワーク、情報システムに関する指令）がNIS2指令として強化されましたし、まだ法案段階ではあるものの、欧州で提供されるデジタル製品・サービスのセキュリティ確保を目的とした「サイバー・レジリエンス・アクト」が2022年に発表されました。

こうした法規制や認証制度の対象はサプライチェーン全体に及ぶため、欧米で提供される製品だけでなく、そのような製品の部品を製造・提供する日本企業にも対応が求められます。つまり、欧米発の規制であっても、サプライチェーンの一翼を担う日本企業も無視することはできません。

モノだけでなくソフトウェアのサプライチェーンも攻撃対象に

具体的にどのような被害事例が発生しているのでしょうか。

北町氏：
たとえば、日本では2022年、大手自動車メーカーのサプライヤーが狙われた攻撃で、同メーカーの国内全工場が停止してしまう被害が発生しました。この事例では、サプライヤーの子会社が利用していたリモート接続機器に脆弱性があり、そこからサプライヤー本社のシステムに侵入され、ランサムウェアが仕掛けられたと報告されています。工場は翌日には稼働を再開させましたが、1万数千台の生産が停止しました。

相馬氏：
企業が調達するものの中には、ハードウェアだけでなく数多くのソフトウェアが含まれています。調達するソフトウェアの脆弱性の有無を適切にチェックできなければ、事業継続上のリスクとなり得るわけです。

企業の業務システムやデジタル製品・サービスは、さまざまなソフトウェアを組み合わせて構築されている場合が少なくありません。そのため、現在では、1つひとつのソフトウェアがどのようなものかを確認・管理する、「ソフトウェアの透明性」が求められています。このテーマについては、次回の「対策編」でお話しします。

先端企業のサプライチェーン・セキュリティ対策

サプライチェーン・セキュリティ対策に取り組むためには、どのような体制が必要でしょうか。

北町氏：
セキュアなシステムの構築やセキュリティ監視といったセキュリティ運用（実務）は、もちろんセキュリティ部門や情報システム部門のようなセキュリティ・ITに長けたチームが中心となって行うべきものです。しかし、保護すべき対象がサプライチェーン全体に関わることもあり、特定部門だけでの対応はもはや限界を迎えているといえます。経営層、知財部門や法務部門、ビジネス部門など、さまざまな部門が協働する必要があるのです。

そうした多くの部門と実務担当者を束ねて、「自社が属するサプライチェーンの安全を守る」という1つの目標に向かって全社の意識を合わせるという役割を担えるのは、経営層だけです。経営層のコミットメントの下で、いかに組織が一致団結して動けるか。それがポイントになります。

国内では、サイバーセキュリティ強化のために、社内の各部門や関連企業にセキュリティ・チェックシートを記載してもらい、脆弱性の把握やセキュリティ意識の維持・向上を図るという方法がとられています。サプライチェーン・セキュリティ対策の先進企業では、このほかにどのような取組みをしているのでしょうか。

岩本氏：
Webアプリケーションやクラウドシステムの脆弱性管理の一環として、関連企業に対してペネトレーション・テスト（擬似的攻撃で脆弱性等を検知するためのテスト）を実施している企業もあります。しかし、サプライチェーン・セキュリティの観点では、たとえ先進企業であっても対策に着手したばかり、というケースも少なくないようです。

最近、新たに広がりを見せているのが、アタック・サーフェイス・マネジメント（ASM）です。これは、社内外のネットワークで接続されているさまざまなデバイスをクローリング（Webページの情報を収集する手法）し、使用されている製品・OSや、想定される脆弱性などのリスクを可視化する仕組みです。

担当者にセキュリティ・チェックシートに記入してもらうより確実で、スピーディに問題をあぶり出すことができます。ASMソリューションはいろいろなベンダーがリリースしていますし、当社もサービスの1つとして提供しています。

具体的な脅威や脆弱性を把握するためには、ASMで調査した後にヒアリングやシステム・チェックで問題を深掘りする必要がありますが、サプライチェーンがグローバルに広がる中で全体をすばやく可視化し、優先的に対処すべき課題を見つけるための第一歩として利用する企業が増えています。

業界主導でビジネスとセキュリティのバランスの見極めを

委託先や受注元を数多く抱える企業であれば、「自社の責任としてセキュリティに取り組まなければ」という意識を持ちやすいかもしれません。一方で、いわゆる「町工場」のように、高い技術力を持ちながらも人手不足やセキュリティ意識の低さなどの問題を抱える企業をサプライチェーン・セキュリティに巻き込むことは、困難なプロジェクトに違いありません。何か良い手立てはないのでしょうか。

岩本氏：
サプライチェーンが多階層構造になっていて、上流と下流で新たなルールに対する温度差があるのは、製造業、特に自動車業界の典型的課題です。モノにしてもソフトにしても、下層に唯一無二の強みを持つ企業があり、仮にその企業がセキュリティリスクを抱えていたとしても仕事を任せざるを得ないケースもあります。そういった企業に対しても徐々にセキュリティ意識や対策を落としていくべきだろうと考えます。

ただし、いき過ぎたセキュリティへの配慮はビジネスのブレーキ要因ともなります。グローバルな競争に打ち勝つためには、得意分野を持つ人に任せるべきことを任せ、ビジネス全体をスピーディに推し進める意識が欠かせません。日本では、業界団体などがビジネスとセキュリティのトレードオフを意識したバランスを見極め、自動化やシステム化などを通じて、各企業に落としどころを示す必要があるでしょう。

いずれにしても、サプライチェーン・セキュリティへの対応は、早かれ遅かれすべての業界に押し寄せる波です。各業界とも今から準備を急ぐ必要があります。

ありがとうございました。今回は「概要編」として、サプライチェーン・セキュリティを概観していただきました。次回の「対策編」では、大企業から中小企業までが取り組み可能な具体的な対策手法をご紹介いただきます。

 

対策編へ続く

（取材・文：渡邊 智則）