シスコの5ステップで強靭なサードパーティ・サイバーセキュリティを構築

自社内のサイバーセキュリティを固めるだけでも大変です。しかし、グローバル・サプライチェーンを構成するパートナー軍団に対して同じことをするのは、ほぼ不可能に近いです。

週を追うごとに、大手企業のサプライチェーンへのサイバー攻撃ニュースが絶えません。そして多くの場合、侵入経路は脆弱な統制を持つサードパーティです。

現代のサプライチェーンにおいて、サードパーティとは、部品、製品、サービス、サポート、ソフトウェアなどを販売するあらゆる主体を指します。「私にとっては、バリュー・チェーンのあらゆる段階で、我々以外の誰が実際に我々のソリューションに関与しているか、すべてを含みます」と、シスコ・システムズのグローバル・バリュー・チェーン担当チーフ・セキュリティ・オフィサー、エドナ・コンウェイ氏は言います。

シスコは「バリュー・チェーン」という用語を好みます。これは、製品から市場へのエンド・ツー・エンドの旅路を表す一般的な記述子として「サプライチェーン」に取って代わろうとして、多くの企業やコンサルタントが失敗してきた用語ですが、その取り組みに関与する独立した主体のより広い宇宙を示唆するからです。 しかし、企業のバズワードを受け入れるかどうかにかかわらず、パートナーの増加が深刻なサイバーセキュリティ問題を提起することは疑いありません。適切なシステムと手順がなければ、それらのいずれも、ライバル企業、政府、恐喝者、地下室のハッカーなど、悪意ある行為者の餌食になる可能性があります。

コンウェイ氏は、サードパーティ関係の効果的なサイバーセキュリティ・プラン構築のための、以下の5ステップ・アプローチを提示します。

1. サプライチェーンの「誰が、何を、どこで」を知る

自明に見えますが、多くの企業が、ビジネスに何らかの形で貢献するすべての当事者を把握していません。これは特に多階層サプライチェーンで顕著です。今日、多階層構造に依存しない製造製品を想像するのは難しいです。

2. すべての当事者と効果的にコミュニケートする方法を確立する

コンウェイ氏が指すのは、地政学的問題やサプライ継続性をカバーするすべてのやり取りではなく、セキュリティ問題に特化して対処するやり取りです。彼女は3つの主要な脅威タイプを説明します：改ざん（情報が変更される）、スパイ活動（国家レベルと産業界の両方）、妨害（ビジネス停止の試み）。ソフトウェア・ライセンス開発者やサードパーティ・クラウド・サービス・プロバイダーに、これら3脅威すべてへの対策の重要性を印象づけるのは難しい場合があります。工場現場の個人も同様で、彼らの関心はラインを回し続けることに向けられがちです。「セキュリティを、あらゆる役割のあらゆる人の日常的思考の一部にするには、トレーニングが必要です」とコンウェイ氏。

3. 「柔軟で弾力的な」アーキテクチャを開発する

シスコのサプライチェーン・セキュリティ・アプローチは、そのプロセスの複雑性を反映した11の離散的ドメインを包含します。設計、開発、納入、サービス：各分野がサードパティとの関係を所有し、組織内外に無数の弱点を生み出す可能性があります。この戦略は、さまざまな生産領域が、それぞれの運営に固有のガイドラインを必要とすることを考慮しています。「要件をマッピング可能な形で記述したので、あなたが我々に納入するものの性質に基づくものだけが適用されます。皆がカスタマイズされたバージョンを受け取ります」とコンウェイ氏。

4. すべてのサードパティとのあらゆる業務にセキュリティを組み込む

コンウェイ氏は企業に問いかけます。「なぜ彼らを使うのか？ 我々のサービス指標に照らして、彼らはどう機能しているか？」 皮肉なことに、「品質」が横断幕と社内集会で謳われていた時代、その概念は組織内で「説得力を持って浸透」しませんでした。今、サイバーセキュリティにおいて、品質はスローガンや個別機能ではなく、サプライチェーン内のあらゆるプロセスに浸透させるものだとコンウェイ氏は言います。シスコは、サードパティの品質への実証された準拠度に応じてポイントを割り当て、セキュリティをその測定の鍵としています。「数学的に意味を持たせます。サプライヤーとして素晴らしくても、セキュリティがひどければ、優先サプライヤーの地位を維持できないかもしれません」と氏。

5. すべての人が測定しなければならない

コンウェイ氏は、組織全体でパフォーマンス測定を強く推進してきました。「自社の仕様とプロセスに対する許容レベルを設定します。一日の終わりには、セキュリティをビジネスの言語で語らせています。」

シスコのセキュリティ・イニシアチブは一夜にして実装されたわけではありません。以前、同社の知的財産問題を専門とする外部弁護士だったコンウェイ氏は、2000年代初頭にCSOになりました。最初から「モノリシック・アーキテクチャ」を押し付けるのではなく、段階的に進めました。シスコの電子機器製造サービス（EMS）パートナーから始め、プリント基板製造業者、エンジニアリング、そして同社の「バリュー・チェーン」を構成する多数のチャネル・パートナーへと広げました。

サイバーセキュリティの福音を説く際、コンウェイ氏は、損益に根ざした世界観を持つ経営幹部層とのコミュニケーションを不可欠と考えます。「許容レベルをドル・リスクに変換したい。我々全員がビジネスの言語を話す必要があります。」