サプライチェーンを守る：包括的なサイバーセキュリティ戦略

サプライチェーンネットワークの進化は、長年にわたりテクノロジーによって主導されてきた。あらゆる規模の組織がデジタル空間へ移行し、一部は昨年の混乱によって強制された。企業が自社のサイバーセキュリティ要塞を築く一方で、メーカー、サプライヤー、グローバルパートナー、その他サービスプロバイダーとのタッチポイントには、いくつかの脆弱性が存在する。脅威はこうした当事者の周囲に潜み、最初のチャンスでセキュリティ侵害を狙っている。

大手企業のサイバーセキュリティは一定程度成熟しているが、組織の境界内に焦点が当てられている。他のエコシステム主体と取引する個々の部門に対するガバナンスと統制が欠如しており、それらの多くはサイバーセキュリティ強度が低い中小企業だ。これらはハッカーにとって格好の侵入ポイントとなる。

自動運転車、ロボティックプロセスオートメーション、エンドツーエンドのデジタル化といった破壊的テクノロジーの登場により、組織間のサイバーセキュリティ境界は曖昧になりつつある。報告される侵害の約80%がサプライチェーンネットワークで発生している。サプライチェーンのどこにあなたの組織が位置していようと、接続されていればリスクにさらされている。

サプライチェーン脅威には、サービス拒否、データ漏洩、顧客データ窃取、業務妨害、ランサムウェアなどのマルウェア攻撃が含まれる。言うまでもなく、サプライチェーンは最も弱いリンクしか強くない。

サプライチェーンネットワークにおけるサイバーセキュリティへのアプローチは、テクノロジー、人、プロセスの3つのレンズを通じて見るべきだ。

テクノロジー

サプライチェーン全体を、サイバーセキュリティ保護、緩和、対応計画に含める必要がある。対応と復旧は内部テクノロジーセットアップに限定すべきではない。

クラウド技術、IoTデバイス、仮想サーバーの採用は、侵害の新たな展望を開く。内部およびサードパーティシステム全体で、二要素認証や生体認証アクセス制御などの適切なサイバーセキュリティ手順を確保する。リスク緩和と復旧計画は標準プロセスとして文書化しなければならない。

オープンソースソフトウェアの使用は脅威の源となり得るため、これらのセットアップに適切な監視を計画する必要がある。

ブロックチェーン技術は、複数の取引パートナー間で高レベルのデータセキュリティとともに透明性と効率性を高める可能性を持つ新たなトレンドだ。製品、データ、資金の流れをサプライチェーン全体でより可視化できる。複雑な運営を行う企業に広く採用されており、その真の影響はまだ見えていない。専門家は、組織が少なくともブロックチェーンの実行可能性と潜在的メリットを評価すべきだと考えている。

人

すべての従業員と取引パートナーをセキュリティフレームワークに含めるべきだ。保護、検知、対応と復旧措置におけるすべての人員とサードパーティ主体の明確な役割と責任が不可欠だ。

BYOD（私物デバイス持込）ポリシーは、サプライチェーンにおけるマルウェアとフィッシングの主要な供給源であり、重点的に対処する必要がある。私物デバイスを、仮想プライベートネットワーク（VPN）を経由せずに企業インフラに接続させてはならない。

プロセス

自社のエコシステムに新しい主体をオンボーディングする前に、そのサイバーセキュリティ態勢のデューデリジェンスを行うプロセスを確立する。すべての主体によるプロセス遵守を確保するための定期的な監視は、復旧と対応計画の能力を保証するために不可欠だ。

脅威インテリジェンスの伝達は、全体的なサイバーセキュリティプロセスに大きな違いをもたらす要因だが、まだ標準的な慣行として成熟していない。

契約完了後にサードパーティのアクセスを削除するプロセスを確立する。これは多くの企業にとって高コストなミスになってきた。

企業は、特に機密データが組織間で共有される際、全社的なデータアクセスガイドラインと基準を実装する必要がある。

月次のサーバーとネットワーク監査は、すべての特権および管理者アクセスの良好な記録を維持するのに役立つ。

トレーディングパートナーのネットワーク全体のセキュリティプランを策定する際、以下の重要なガイドラインを念頭に置いてほしい。

• 協働的な取り組みでなければ機能しない。あなたと仕事をする中小企業にサイバーセキュリティ脅威を啓蒙・教育する必要がある。中小企業は逆に、大手パートナーから支援を求められる。
• サプライチェーン専門家は、遅かれ早かれ侵害が発生すると想定し、サイバーレジリエンス計画を持つことが今や必須だと提唱している。
• サプライチェーンサイバーセキュリティ管理において、あらゆる規模のビジネスを支援する広範なフレームワークはまだ存在しない。しかし、サプライヤーやその他当事者は、独立した標準化された検証イニシアチブを実施できる。
• ペネトレーションテストで、既知および潜在的な脆弱性を排除できる。
• サプライチェーン全体のサイバーセキュリティ設定を定期的に監視する中央チームまたはマネージャーを設置し、「サイロ化された非管理ネットワーク」を防ぐべきだ。
• 企業は、脅威と侵害をよりプロアクティブに検知し、タイムリーに対応システムを作動させるため、人工知能の活用を検討すべきだ。

Vijaya Rao氏はITサービス企業TechVioの創業者兼CEO。