宮田健の「セキュリティの道も一歩から」（37）

「サプライチェーン攻撃」対策、その根本を考えて今すぐ検討すべき（1/2 ページ）

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。でも堅苦しい内容はちょっと苦手……という方に向けて、今日から使えるセキュリティ雑学・ネタをお届け！今回は、製造業では避けて通れない「サプライチェーン」でのセキュリティ対策を解説します。

公開 2019年05月14日 09時03分

更新 2024年03月08日 11時29分

著者

宮田健

[TechFactory]

印刷する連載新着通知を受け取る

　2019年4月、情報処理推進機構（IPA）から「ITサプライチェーンにおける情報セキュリティの責任範囲に関する調査」が発表されました。ITセキュリティの世界で“サプライチェーン”というと、同じくIPAが発表した「情報セキュリティ10大脅威 2019」において組織部門第4位にランクインした「サプライチェーンの弱点を悪用した攻撃の高まり」でも指摘されている、重要なポイントです。

サプライチェーンを狙われたとき、よりどころになるものは……

　今回の調査では、ITにおけるサプライチェーンにおいて、委託元と委託先、その再委託先、さらにその先の再々委託先……といった多層構造にあるITシステムの業務委託において、その“全体”を見たときのITサプライチェーンリスクマネジメントの現状を、委託元4091社、委託先3661社の調査結果を集計することで明らかにしようとするものです。この内容はIPAのWebサイトから、簡単なアンケートに答えることで誰でも無料で見ることが可能です。

　委託元と委託先の間には、「契約」や「ガイドライン」が存在します。契約に従い、仕様や要求事項を委託元から委託先へ発注、その成果物を委託元に納入するというのがサプライチェーンの流れです。これがきれいに流れさえすればいいのですが、ITにおける成果物はソフトウェア、サービス提供など、形として明確ではない部分が含まれます。そのため、明文化されないながら実装すべきものが存在したり、何らかのトラブルに遭ったときにその責任範囲があいまいであることが多々あります。

　特に「ITセキュリティ」は、その明文化されない部分でトラブルとなる事例が多くあります。例えばクレジットカードを取り扱うようなECサイト構築を行う際に、例えば「クレジットカード番号は保存しない」といったセキュリティ仕様が盛り込まれていない場合があるでしょう。委託元は当たり前だと思っていた仕様が、委託先にとっては「明確に仕様に書かれていない」場合、それを実装すべきでしょうか？この事例については、＠IT自分戦略研究所における細川先生の連載も参考にしてください。