サプライチェーンがサイバーセキュリティ脅威を増幅、新レポートが判明

セキュリティサービス企業のレポートによると、サプライチェーンが企業にサイバーセキュリティリスクをもたらしています。

ニューヨーク拠点のBlueVoyantは、5カ国で1,500人以上のCIO、CISO、CPOを調査しました。これらのエグゼクティブは製造業を含む多様なセクターに属しています。

レポートによると、回答者の80%が「サプライチェーン経由で侵害を受けた」と答えました。その多くが「少なくとも2回の侵害」、10人に1人が「6回以上の侵害」を経験しています。

コンサルティングファームによると、回答者の29%が「サードパーティベンダーでリスクが発生しても、侵害が発生するまで知る術がない」と答えました。「こうした組織は実質的に目隠し状態で飛行しているようなものです。」

「実際にサプライチェーンへの混乱が発生する問題は現実のものです」と、BlueVoyantのCOO、ジム・ペンローズ氏はインタビューで語ります。

ペンローズ氏は、大手メーカーがベンダーのサイバーセキュリティ支援を行う必要があると述べます。

「我々は互いに依存しています」と同氏。「小規模な企業の多くはセキュリティスタッフを持っていません。」

BlueVoyantによると、回答者のわずか23%が「すべてのベンダーを監視している」とし、19%が「重要ベンダーのみ監視」と答えました。

「これにより、長いベンダーの列が完全に無監視のまま放置され、いずれからもある日突然リスクが生じる可能性があります」とレポートは指摘します。

ペンローズ氏によると、メーカーを含む企業は特定の間隔でレビューを行っています。

「第一歩は、この定期的な評価モデルから脱却することです」と同氏。「定期的なレビューでは遅すぎます。」

BlueVoyantのレポートでは、わずか2%の回答者がリアルタイムまたは日次監視を実施、わずか「10分の1」が週次評価を実施。「5分の1が四半期ごとにサイバーリスクを評価」しています。これらはすべて「急速に変化するサイバー脅威の状況」と比較されます。

企業は自問する必要があります。「どうすれば毎日リスクを下げられるか？」とペンローズ氏はインタビューで語ります。

「組織は問題を発見しても必ずしもサプライヤーに率直ではありません」とレポート。回答者の36%が「サプライヤーに通知して修正を期待し、同じ割合がサプライヤーの適切なセキュリティ確保に依存」しています。

レポートの一節は製造業に特化しています。

生産機械同士が通信する産業用IoT（IIoT）が更なるサイバーリスクを生んでいるとコンサルティング会社は指摘します。「IIoTの全部または一部を無効化するサイバー攻撃、またはそこからデータを収集する攻撃の潜在的影響が増大しています」とレポート。

コンサルティングファームは製造業セクターのエグゼクティブ250人を調査。そのうち57%が過去12ヶ月でサプライチェーンでのサイバー侵害を経験。また82%がすべてのサプライヤーをサイバーリスクの観点から監視していないと答えました。

自動制御システム