サプライチェーンのサイバーリスクを軽減するトップ5戦略

現代では、サードパーティサプライヤーの助けなしにビジネスを運営することはほぼ不可能です。外部パートナーとの連携は、プロセスの合理化や高まる顧客ニーズへの対応など、多くのメリットをもたらします。同時に、特にサイバーセキュリティの分野では新たなリスクももたらします。企業が連携し情報を共有すると、一社のリスクがチェーン全体のリスクになります。

サプライチェーンへのサイバー攻撃の急増

サプライチェーンへのサイバー攻撃は増加しており、2021年第1四半期には米国で42%増加しました。この種の攻撃はサイバー犯罪者に人気があり、単一のサードパーティサプライヤーを通じて組織のネットワーク全体に侵入できるためです。

幸い、あらゆる種類のリスクと同様、これらの脅威を問題になる前に管理する方法があります。以下は、サプライチェーンへの攻撃リスクを最小限に抑えるために企業が取れる主要なアクションです。

1. リスクアセスメントの実施

新たなサプライヤー関係を結ぶ際、そのサイバーセキュリティ体制を把握することが重要です。どのような管理策を講じているか？データ保護のためにどのようなプロセスとポリシーを用いているか？特に機密性の高い顧客情報を共有する場合、それが安全に保たれることを確認する必要があります。

また、サプライヤー関係が全体でどの程度重要かを考慮することも大切です。直近のサプライチェーンの一部となるのか、アドホックな支援なのか？すべてのパートナーを審査する必要がありますが、サプライチェーンで不可欠な役割を果たすパートナーはより多くのリスクを伴うため、より慎重な対応が求められます。

2. セキュリティ要件の設定

サプライヤーとの透明な関係を促進し、明確な期待値を設定するため、サプライヤーポリシーの策定が有効です。

この文書で、サイバーセキュリティとデータ保護に関するセクションを設け、サプライヤーが示すべきセキュリティレベルを明記できます。最も簡単な方法の一つは、既存のサイバーセキュリティ標準や認証への準拠を求めることです。米国では、国際的に認知されているISO 27001やNISTフレームワークが一般的です。英国では、政府のサイバーセキュリティ標準「Cyber Essentials」が、5つの重要な技術的管理策に準拠することでリスクの80%を削減できます。これらの標準への準拠は、サプライヤーが優れたサイバーセキュリティ態勢を示す容易な方法となります。

サプライヤーにセキュリティ要件を課す際、自社がすでにそれらを満たしていることを確認するのがベストプラクティスです。サプライチェーンに参加することは、その中のすべての関係者と繋がることを意味します。自社のセキュリティ態勢の改善は、チェーン全体を強化することにつながります。

3. サイバーセキュリティ研修の実施

人的ミスは依然としてサイバー攻撃の第一要因です。そのため、対処すべき最も重要な要素の一つです。自社内でサイバーセキュリティ意識の文化を醸成することは常に重要ですが、この実践をサプライチェーン全体に広げることも奨励すべきです。

サプライヤーとリソースを共有し、従業員のサイバーリスク教育を支援することを検討してください。企業向けのガイダンスを提供する無料のオンライン演習や記事が多数あります。

4. データ転送の保護

サプライチェーン内のデータは安全なチャネルを通じて転送され、常に保護される必要があります。ハッカーはデータが移動中に最も傍受しやすいため、このプロセスでのセキュリティ維持が極めて重要です。転送前にデータを暗号化することは、このリスクを最小化する優れた方法です。

企業はまた、サプライチェーン内に存在するさまざまな種類のデータとその所在を完全に把握する必要があります。これには社内データ（バックアップシステム含む）とサプライヤーがアクセスできるデータが含まれます。これらの情報は機密度が異なる可能性があります。データを正しく分類・ラベリングすることで、最も価値の高い情報がどこにあるかを把握し、不正アクセスを防止できます。

5. 自身も誰かのサプライヤーであることを認識する

ハッカーはしばしば中小企業を標的とし、そのサイバー防御が最小限か存在しないことを期待して、そこからサプライチェーン全体にアクセスしようとします。2013年にメディアで大きく報じられた最初の主要なサプライチェーン攻撃の一つでは、Targetと取引していたサードパーティ請負業者が侵害され、小売業者の社内ネットワークから数百万件の顧客クレジットカード情報が盗まれました。

中小企業はサプライヤーのセキュリティを考慮するだけでなく、自社も高いサイバーセキュリティ基準を維持し、大手パートナーに「セキュリティリスクではない」ことを示す必要があります。特に公共部門の多くの企業が、契約締結前にすべてのサプライヤーが特定のセキュリティ基準を満たすことを要求するようになっています。

サプライチェーン内のサイバー脅威管理は困難な作業ではありませんが、自社のリスクに責任を持ち、サイバーセキュリティの一貫した基準を維持することが重要です。すべてのパートナーのセキュリティプロセス、ポリシー、ソリューションを理解することは、あらゆるビジネスの利益になります。これらのステップはサプライチェーン全体のリスクを低減するだけでなく、クライアント、パートナー、ステークホルダーに対して「彼らの秘密はあなたの元で安全だ」ことを示すことにもなります。

Clive Madders氏はCyber Tec Securityの最高技術責任者です。