宮田健の「セキュリティの道も一歩から」（35）

製造業も狙われる「サプライチェーン攻撃」はどう対策すべき？（1/2 ページ）

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。でも堅苦しい内容はちょっと苦手……という方に向けて、今日から使えるセキュリティ雑学・ネタをお届け！　今回は「情報セキュリティ10大脅威 2019」の中から“サプライチェーンの弱点を悪用した攻撃の高まり”について掘り下げます。

公開 2019年03月15日 09時00分

更新 2024年03月08日 11時37分

著者

宮田健

[TechFactory]

印刷する連載新着通知を受け取る

「情報セキュリティ10大脅威 2019」で注目すべき脅威とは？

　2019年3月、毎年恒例の「情報セキュリティ10大脅威 2019」が公開されました。2018年に発生し、社会的にも大きな影響を与えた情報セキュリティ事案から、情報処理推進機構（IPA）が選出し、120人のメンバーが審議した結果です。

　10大脅威の2019年版はこのような結果になりました（図1）。個人的にも順当な内容だと思います。

図1　情報セキュリティ10大脅威 2019の結果（赤枠は筆者による強調）

「サプライチェーン」の弱点とは？

　今回、この項目が第4位に急浮上した点に関して、IPAは以下のように述べています。

企業や組織では、サービスやソフトウェアを提供するための調達、開発、運用などの一連の流れ（サプライチェーン）の中で、一部の工程や業務を別企業や子会社などに委託しているケースがある。組織を狙った攻撃では、セキュリティ対策が弱いところを狙うのが常とう手段であり、昨今は、サプライチェーン内でセキュリティ対策が弱く、委託元からのガバナンスを効かせにくい委託先の企業が狙われている。そのため、「情報セキュリティ10大脅威 2019」では「サプライチェーンの弱点を悪用した攻撃の高まり」を新しい脅威候補とし、投票の結果、組織4位にランクインした。　⇒「情報セキュリティ10大脅威 2019」8ページより

　これによると、サービスやソフトウェアの開発に関して、別企業や子会社にその業務を委託している場合、納品物の中に脅威が含まれる可能性がある、ということが、今回表面化したリスクといえます。これは単なる不具合、バグといったものではなく、“マルウェアや脆弱（ぜいじゃく）性が入り込んでいる”と読み取れます。今回発表された10大脅威の詳細においても、

例えば、委託先組織に個人情報などの重要情報を扱うWebサイトの運用管理を委託している場合、委託先が不正アクセスを受けることで、その情報が漏えいする恐れがある。また、ソフトウェア開発を委託している場合、セキュリティに配慮した開発が行われないと、脆弱性を含むソフトウェアが納品され、ソフトウェア利用者が脆弱性を突いた攻撃を受ける。⇒「情報セキュリティ10大脅威 2019」より

という文言がありますので、脆弱性が情報漏えいを引き起こすことも含まれています。同じくIPAが2018年3月に公開した「ITサプライチェーンの業務委託におけるセキュリティインシデント及びマネジメントに関する調査」においても、製造業の71.1％が「実施すべき情報セキュリティ対策を仕様書などで委託先に明示していない」という結果が出ており、サプライチェーン攻撃が成立してしまう要因の1つとなっています。