宮田健の「セキュリティの道も一歩から」（66）

セキュリティの重要性を経営層に理解させるには？（2/3 ページ）

公開 2021年10月29日 09時00分

更新 2024年01月24日 10時00分

著者

宮田健

[TechFactory]

印刷する連載新着通知を受け取る

サプライチェーンセキュリティのリスクに対処すべき理由は

　エバンジェリストの石原氏は、サプライチェーンセキュリティを「プロセス」そして「エコシステム」の両面で見るべし、と述べます。プロセスとは供給ライフサイクルを原料、部品から製品まで直線的に捉える観点であり、これはおそらく皆さんの認識と一致しているはずです。そしてもう一つ、自社を含む経済圏をネットワークとして捉える観点をエコシステムとして捉えることが重要であるとします。

図1　サプライチェーンセキュリティを2つの観点で考える

　そもそもサプライチェーンのリスクに対応する理由は、自社の事業を継続することにあります。これは製品を作る上でも重要ですし、エコシステムの観点でいえば「自社組織がサプライチェーンの中に居続けること」のために、対応が必要といえます。

　いま、サイバーセキュリティ対策はどの業種でも喫緊の課題です。特定の業種だからサイバー攻撃者が見逃してあげる、ということは残念ながらありません。ありとあらゆる業種がまんべんなく攻撃を受けているため、製造業もこれに対応する必要があります。

　本来ならば、サプライチェーンの一員として経済圏の仲間入りをした際に、契約として「サイバーセキュリティ対策」が明記されていることが必要なのでしょうが、おそらくまだそこまで進められていないというが現状でしょう。すると、サプライチェーンの上流と下流でやっておくべきセキュリティ対策レベルが共有されないまま、運用が行われてしまうでしょう。今のサイバー攻撃は弱い部分から侵入することがほとんどですので、その弱い部分として自社組織が狙われ、実際に侵入を許してしまったとき、サプライチェーンから外されてしまうかもしれません。これこそが、サプライチェーンセキュリティの最大のリスクなのではないでしょうか。

　石原氏は、「かつては自社がどのようなセキュリティ対策を行っているかを言わないことが正しいとされていた。それが攻撃のヒントになってしまうことをリスクと考えていたからだ。しかし、もはやサプライチェーンリスクを考えると、巻き添えを食らってしまう恐れがあるため、どこまでセキュリティ対策を行っているかを明確にしておかなければ『一緒にはやれない』と判断されてしまう。もはやセキュリティ対策はしっかりしていると外部にアピールすることが必要というフェーズだ」と述べます。

　そのフェーズでは、プレイヤーも大きく変化します。

次ページへもはやセキュリティはセキュリティの人のものだけではない