サプライチェーンを守る10の必須ステップ：実証済みサイバーセキュリティプレイブック

グローバルサプライチェーンがますますデジタル化する中、企業は数え切れない間接的ソースからのリスクにさらされています。システムは最も弱いリンクと同じ強さしかなく、ハッカーは脆弱なコンポーネントを発見するために入念に狩りを行います。

この搾取は高い代償を伴います。IBMの「データ侵害コストレポート」によると、従業員25,000人超企業の侵害平均総コストは552万ドル、500人未満組織では264万ドルです。ほとんどの企業はハッカーが要求する身代金を支払っています。今夏、Colonial PipelineとJBS SAは、大規模サイバー攻撃後、暗号化データ復旧のためそれぞれ440万ドルと1,100万ドルをハッカーに支払いました。

その他の影響には、顧客サービスの混乱、信頼の損なわれ、競争優位性の喪失があります。

サイバー犯罪者は、これまで以上に効果的にバリアを回避し、弱点を特定してサプライチェーンを悪用しています。Colonial Pipelineのケースでは、ハッカーはシングルファクタ認証のみを要求するレガシーVPN（仮想プライベートネットワーク）プロファイルを悪用しました。

攻撃は企業を麻痺させるだけでなく、顧客も傷つけます。侵害の80%が個人識別情報（PII）を含みます。ハッカーはPIIとパスワードを使い、個人のウェブ上のさまざまなアカウントにアクセスします。さらに、サプライチェーンのあらゆる断絶（自社、サードパーティ、フォースパーティベンダー問わず）は、製品とサービスの生産に影響し、価格を押し上げます。

CrowdStrikeセキュリティレポート（1,000人超の調査）によると、シニアIT意思決定者とサイバーセキュリティプロフェッショナルの3分の2が、自組織がソフトウェアサプライチェーン攻撃を経験したと明かしました。同数が、将来の侵害に対する十分な防御準備ができていないと告白しています。企業はプロアクティブでなければならず、サイバーレジリエンス構築に注力し、搾取を防ぐ必要があります。

米国商務省傘下の米国立標準技術研究所（NIST）は、IT資産を適切に保護するための以下のステップを推奨しています。

識別

内部リスクと脆弱性評価を実施し、悪意ある攻撃が防御を突破しネットワークを感染させる経路である潜在的脅威ベクトルを特定します。高度な評価を実施する企業の雇用を検討しましょう。

保護

組織を保護し脅威イベントを防ぐために必要なアクションを実行します：

• 露出削減。 ファイアウォールとアンチウイルスソフトウェアによる基本保護に加え、特権アクセス手順の確立が不可欠です。最小権限の原則に従い、機密データへのアクセスを必要とする従業員のみを許可します。

行動分析、エンドポイント検知・対応（EDR）、人工知能（AI）、脅威インテリジェンスといったツールが防御を強化できます。企業はセキュアコーディングプラクティスを採用し、OWASPトップ10 Webアプリケーションセキュリティリスクを参照すべきです。

• 従業員のコミットメントとトレーニング。 従業員はサイバーセキュリティの最後の防衛ラインであり、最も一般的な脅威ベクトルの一つです。全従業員を巻き込むことが重要で、経営陣も例外ではありません。従業員の間に「健全な疑い」の文化を確立しましょう。このアプローチは過度に偏執的に見えるかもしれませんが、賭けは高いのです。

意識向上トレーニングと社内フィッシングキャンペーンを実施し、従業員を最新のスパムとソーシャルエンジニアリング手法にさらします。フィッシングキャンペーンにかかった従業員は即座にトレーニングを受講させるべきです。従業員が多様で安全なパスワードを持つ強固なパスワード文化を醸成し、一つの場所でパスワードが侵害されれば、同じメールに関連付けられた他のアカウントで比較的容易に悪用されることを理解させましょう。

米国国土安全保障省提供のバーチャルトレーニングモジュールなど、従業員学習を補完し、最新業界トレンドを従業員にアップデートさせるための、数え切れないほどの有用（かつ無料）なサイバーセキュリティリソースがあります。

• 保険。 攻撃発生時のために適切な保険を確保しましょう。一部の保険プロバイダーはランサムウェア保護を含みます。サイバー攻撃でカバーされないものが何か、問い合わせておきましょう。
• 物理セキュリティ. 人員、ハードウェア、ソフトウェア、ネットワーク、データを物理的不法侵入とアクションから保護します。監視カメラ、警備員、セキュリティシステム、バリア、ロック、アクセスキーカード、火災報知機、スプリンクラー、その他従業員と財産を守るシステムを検討しましょう。

「相乗り（ピギーバッキング）」に注意しましょう。手荷物で手が塞がった人のためにドアを開けておくのは礼儀正しく見えますが、セキュリティ脅威になります。会社敷地に入るすべての人が許可された人員であることを確認しましょう。

• 選択的なビジネス関係. サプライヤーネットワークを通じたサイバー攻撃がますます一般的になっています。Ponemon Instituteの2020年サイバーレジリエント組織研究によると、56%の組織がサードパーティサプライヤー起因のサイバーセキュリティ侵害を経験しています。許容リスクレベルを決定する際、自社と仕事をする請負業者やパートナーを選択的にしましょう。
• インシデント報告. インシデント報告のための良い文化と教育を浸透させましょう。ITプロフェッショナルは、より早く知れば潜在的ダメージをより多く軽減できます。

検知

煙探知機のない家は、監視のないネットワークと同じだと言われます。物理環境、ネットワーク、サービスプロバイダー、ユーザーアクティビティを含む、セキュリティイベントの継続的監視が必要です。脆弱性スキャンは優れたツールで、機密情報を含むシステムで定期的に実施すべきです。

対応と復旧

対応時間と攻撃コストの間に相関が見られます。検知、反応、対応、是正に最も時間がかかる業界が、最も高いコストを負担します。迅速な対応は影響を緩和できます。それでも可能性を排除できるわけではないため、予防への重点は常に置かれます。

災害復旧計画は、災害後のデータアクセスとITインフラ復旧に不可欠です。復旧は被害範囲に依存します。

すべての潜在的インシデントシナリオについて、対応計画と是正ロードマップをビジネス継続計画の形で策定しましょう。災害時にもビジネスを運営し続ける戦術を含めます。ベンダーの重要度を判断し、主要ベンダーが攻撃された場合の行動方針を決めます。バックアップサプライヤーと、バックアップのバックアップを確保し、必要に応じて別プロバイダーへシフトして顧客に対応できるようにします。

効果的な災害復旧計画の一環として、サイバーセキュリティ侵害シミュレーションを最低年1回実施することが推奨されます。これらの訓練を通じて、関係者が自分の役割と遵守すべき手順を理解します。

サプライチェーンがより複雑になるにつれ、サイバーセキュリティはあらゆる規模の企業にとって顕著な障壁となります。サプライチェーンの弱いリンクを特定し、脆弱性を最小化し、脅威イベントを防ぎましょう。サイバーレジリエンスを構築することで、そうでなければより高コストで破壊的だった最悪シナリオに備えられます。

Marc Lewis氏はVisible Supply Chain Managementの情報セキュリティ責任者。