多要素認証（MFA）導入：現代セキュリティに不可欠な理由

デジタル時代において、長く複雑なサプライチェーンは多くのビジネスにとって常態となりました。大企業から中小企業（SME）まで、多数のコラボレーターとサプライヤーを含むサプライチェーンに関わるビジネスが数多く存在します。この接続性は国際商取引に間違いなく利益をもたらしましたが、欠点がないわけではありません。

規模や業種を問わず、多くのサプライチェーンはサイバーセキュリティ脅威に満ちています。フィッシングキャンペーン、身元盗難、メールベースのなりすまし攻撃など、脅威は標的となったビジネスにコストがかかり、しばしば壊滅的な影響を与えます。サイバーサプライチェーンリスク管理は常にサイバーセキュリティ専門家の主要関心事でしたが、COVID-19パンデミック中にその重要性はさらに高まりました。デロイトの調査によると、回答者の40%が過去12ヶ月間にサイバーインシデントを経験したと報告しています。パンデミックが無期限に続く中、これらの数字はさらに上昇する可能性が高いです。

壊滅的な影響

サプライチェーンを通じて大量の資金と機密情報がやり取りされることを考えれば、サプライチェーン侵害が壊滅的な影響を及ぼすのは驚くことではありません。予測不能性はサプライチェーン攻撃の主要特徴であり、ビジネスはいつ攻撃が現れ、誰から来るかを知る術がありません。

極めて重要なことに、サプライチェーンサイバーセキュリティ脅威は、一般的なサイバー犯罪者だけから来るわけではありません。政府機関を含む、より大規模で確立された主体からも来得ます。2019年後半の著名な事例では、悪名高い中国のサイバー諜報グループAPT10が、中国国家安全部の代理として、アジア、ヨーロッパ、米国の他地域における機密商業データを標的とした悪意あるサイバー攻撃を実行しました。この背景を踏まえ、継続的な警戒と適切なサイバーセキュリティ対策が最善の第一線の防御です。

サイバーリスク管理のベストプラクティス

サプライチェーン攻撃の脅威は理解できる範囲で恐ろしいものですが、ビジネスがリスクを軽減し自衛するために取れる措置は多数あります。企業のインターネットセキュリティ対策はサプライチェーン全体にわたるべきであり、継続的な有効性を確保するため定期的に評価・改善されるべきです。

基本レベルでは、これらの対策には以下が含まれるべきです：

• サービスプロバイダーが使用するリモート管理インターフェースが、安全なネットワークと関連するログイン認証情報によって保護されていることを確認する。
• サプライヤーが準拠すべき測定可能な品質基準を設定する。これには、サプライヤー自身に最低レベルのサイバーセキュリティ対策を義務付けることも含まれる。
• ビジネスネットワークをセグメント化・分離し、関連当事者のみが機密情報にアクセスできるようにする。
• サービスプロバイダーが使用するリモートインターフェースとセキュリティ認証情報が、サプライヤー・ビジネス契約終了時に完全に取り消されることを確認する。
• より広範なビジネスネットワークに導入する前に、すべてのハードウェアとソフトウェアを慎重に審査する。導入後、両方を潜在的セキュリティリスクについて継続的に監視する。
• すべてのソフトウェアが常に最新状態であることを確認する。
• 可能な限り、デバイスとプラットフォーム全体で多要素認証（MFA）を実装する。

多要素認証（MFA）

上記のサイバーセキュリティ対策はすべて、サプライチェーン攻撃からビジネスを守る上で重要な役割を果たしますが、MFAはサプライチェーン全体のデバイスを保護する上で、最も優れた方法の一つです。ファイルやシステムへのアクセス前に、ユーザーに2つ以上の独立したログイン認証情報の提供を要求することで、MFAはより強力なセキュリティを提供できます。2つ以上の認証情報を用いることは、通常のパスワードとは異なり、MFA認証情報が容易に共有されたり、複数アカウントで使い回されたりしないことを意味します。

多くのプラットフォームとデバイスがセキュリティ設定でMFAオプションを提供しており、通常以下の2つ以上の組み合わせを要求します：

• ユーザーが知っているもの：パスワード、PIN、質問やプロンプトへの回答など。
• ユーザーが持っているもの：スマートカード、物理トークン、ソフトウェア証明書など。
• ユーザー固有の生体特徴：指紋、虹彩パターンなど。

すべてのケースで、MFA導入は安価なセキュリティアドオンであり、通常かなり簡単かつ直感的に実装できます。最低限、ユーザーに追加セキュリティ対策が導入されたことを通知し、それに備えるよう促すだけで済みます。

サプライチェーン攻撃は、中小零細企業から多国籍企業まで、あらゆる規模のビジネスにとって壊滅的となり得ます。MFA導入など、この種のサイバーセキュリティ脅威からビジネスを守る適切な対策を講じることで、機密情報を保護し、サプライチェーンを安全に保てます。

更なる保護強化には、上記対策とESET Secure Authentication（ESA）バージョン3.0などのサイバーセキュリティソフトウェアの併用を検討してください。このMFAソリューションは、あらゆる規模のビジネスがネットワーク上のデバイスを保護、関連コンプライアンス要件を満たし、データ漏洩を防止できることを保証します。

ケリー・ジョンソン氏は、グローバルサイバーセキュリティプロバイダー、ESETオーストラリアのカントリーマネージャー。