アメリカのサプライチェーンを守る：サイバー脅威を緩和する戦略

2月、ジョー・バイデン大統領は大統領令14017に署名し、重要な米国サプライチェーンの包括的見直しを命じました。この措置は、COVID-19パンデミック最盛期に、フロントラインの医療従事者向け個人防護具（PPE）など医療用品が不足したことを受けたものです。同令で特定された他のニーズには、自動車産業やその他のハイテク用途向けの半導体チップが含まれます。

これらの問題は、アメリカ人が必需品を入手する能力を妨げ、影響を受ける産業の労働者に不安定さをもたらします。ホワイトハウスによれば、この新しい令の目的は、こうした問題が再発する前にプロアクティブに対処することです。

「どの危機が襲うか予測はできないが、課題に直面した際に迅速に対応する能力は備えておくべきだ」とホワイトハウスは述べています。「生産不足、貿易混乱、自然災害、外国の競争相手や敵対者の潜在的な行動によって、米国が再び脆弱な立場に置かれることがあってはならない。」

大統領の選挙公約は、政権がサプライチェーンリスクに包括的に取り組むことを明確にしました。しかし、このイニシアチブは成功するでしょうか？

セキュリティの観点から、政権が考慮すべき多くの課題があります。これらに対処しなければ、時間と労力の重複、リソースの浪費、サプライチェーン攻撃につながり得るサイバーリスクの緩和失敗を招きます。

米国サプライチェーンのセキュリティを確保する第一歩は、その脆弱性とリスクを特定することです。バイデン大統領令は6つのセクターに焦点を当てています：防衛産業基盤、公衆衛生、情報技術・通信、電力・エネルギー、輸送、農業。

サプライチェーンがデジタル製品とサービスに依存していることは深刻な脆弱性を生み、サイバーセキュリティをこの見直しの不可欠な部分にしています。国家アクターがサイバー犯罪でサプライチェーンを停止させる恐れは現実的です。大統領令の第4.4条は、サイバーリスク管理が主要な懸念事項と焦点領域であることを明確にしています。1年以内に、サプライチェーンの競合国依存の現状を報告しなければなりません。政府が情報セキュリティコミュニティをどう巻き込むかが、全セクターでの成否を分けます。

1年での成果確保

この取り組みは、1年というタイムフレームで広範な領域をカバーします。過去1年の教訓を踏まえ、情報セキュリティとテクノロジーコミュニティが、イニシアチブを推進する当事者へインプットを提供することが極めて重要です。ISAC（情報共有分析センター）やITSCC（ITセクター調整委員会）など業界団体の取り組みが成功の核心となります。さらに、大手4大コンサルティングファームから出ている膨大なデータと分析を、サードパーティ対応でどのリスクを優先すべきかの判断材料として活用できます。

米国国防総省は、このイニシアチブの円滑な展開で重要な役割を果たすべきです。国防総省が監督する類似の取り組みに、CMMC（サイバーセキュリティ成熟度モデル認証）があり、政府契約材料のサプライヤーに特定基準を要求しています。これまでのCMMCへの官民の反応に基づく重要な助言の一つは、契約授与と審査プロセスをできるだけ混在させないことです。セクターの業界リーダーと政府機関が協力し、各種サプライチェーン全体でシンプルかつ効果的なサイバー基準を決定すべきです。

標準化の重要性

適切なパートナーシップを構築し、情報セキュリティ専門家からインプットを得ることは一つのことですが、米国サプライチェーン全体でサイバーセキュリティ成熟度を高めるのは別のことです。コミュニケーションは、この規模のエコシステムに新要件を展開する際に成否を分ける唯一の要素です。測定によって駆動され、サイバーセキュリティ成熟度のレベルに関わらずグループ全体で結果が標準化されます。NIST CSFサプライチェーンリスク管理サブカテゴリや前述のCMMCなどの標準は、要件を明確にし、サプライチェーン全体で効果的に実装するための優れたツールです。NIST CSFのサイバー評価手法は、情報セキュリティの知識が乏しいサプライヤーに文脈を提供する上で特に価値があります。

測定の面では、グローバルサプライチェーンエコシステムの複雑さを考慮すると、米国サプライチェーンのすべての潜在的リスクをシミュレーションすることは不可能です。それでも、様々な潜在的故障点を検証するシナリオを特定することは価値があります。既存のリスク定量化手法を創造的に活用することが、真のレジリエンス達成の鍵です。企業がサプライチェーンリスクをガバナンス向上の手段として理解することが不可欠であり、セキュリティチームからのインプット、データと情報共有、リスク管理ソフトウェアの進歩を活用すべきです。

バイデン政権のサプライチェーンイニシアチブが、過去のイベントからの既存データと未来への予測分析を活用することを願うばかりです。サプライチェーン全体をベンチマークし、すべての脆弱性を1年で特定できるのか。米国サプライチェーンの深刻なサイバーリスクを緩和できるのか。それは今後の課題です。

パードレイク・オライリー氏は、CyberSaintの共同創業者兼最高製品責任者。