製造業に従事する方にとって、他の業種よりも理解しやすい項目は、おそらく「サプライチェーン」というキーワードが含まれるものではないでしょうか。実は今回2位となった「サプライチェーンの弱点を悪用した攻撃」は2019年に登場して以来、6年連続、6回目のランクインを果たしています。

図2　情報セキュリティ10大脅威 2024 「2位 サプライチェーンの弱点を悪用した攻撃」（https://www.ipa.go.jp/security/10threats/nq6ept000000g22h-att/kaisetsu_2024.pdf）より［クリックで拡大］ 出所：IPA（情報処理推進機構）

　情報セキュリティ10大脅威では、サプライチェーンについて「商品の企画、開発から、調達、製造、在庫管理、物流、販売までの一連のプロセスおよびこの商流に関わる組織群」と説明しています。このようにサプライチェーンは製造業にとって重要な一連の流れを意味しており、ここでの弱点を狙った攻撃が組織向け脅威として上位に挙げられているのです。

　なお、情報セキュリティの世界では、ソフトウェアのコンポーネントにおけるつながりを悪用した攻撃のことを「サプライチェーン攻撃」と呼んでいます（分かりやすく分類すれば「ソフトウェアサプライチェーン攻撃」でしょうか）。

　「サプライチェーンの弱点を悪用した攻撃」から身を守ることの難しさは、自社組織だけを守ればよいのではなく、子会社や取引先を含め、自社とつながる全ての組織を守らなければならない点にあります。実際に、大企業／大企業グループでもサプライチェーンの弱さを突かれた事例が増えてきています。情報セキュリティ10大脅威では各項目それぞれに、2023年に発生した事例が付記されています。昨年（2023年）は業務委託先から情報が漏えいした事件も多く、中にはつながりがなかなか見えないであろう関連会社から漏えいしたものもあり、対策の難しさが垣間見えます。

　公開された資料を実際に読んでいただければ、これらの対策が一筋縄ではいかないことがよく分かると思います。ただ、できることが全くないわけではありません。実はサプライチェーンの文脈で、特に製造業において気を付けなければならないことがあります。今回はそこをチェックしてみましょう！

他の業種ではあり得ない？　気を付けたい「BYOD」

　それは、個人の私物を業務に利用するという「BYOD（Bring Your Own Device）」です。先日、セキュリティベンダーの方との会話の中で、「工場などの製造ラインで、情報システム部だけでなく工場側ですら把握していない機器が見つかることが多い」という話を聞きました。

　一般的なBYODといえば、例えば自宅で仕事をする際に、個人が所有しているPCを“借りる”ことを意味します。気が付いていない（無意識的な）BYODという意味では、もしかすると、私物のスマートフォンで個人のLINEアカウントを使い、同僚と業務の会話をしている……なんてケースもあり得ます。これも立派なBYODであり、「シャドーIT」などと呼ばれます。これらの行為は、会社が把握できない部分で業務が行われていることから、ガバナンスを効かせることができず、情報漏えいや不正侵入を引き起こす要因となります。

　加えて、製造業のBYODでは、意外なことに製造ラインのネットワークを便利にするために、個人所有のWi-Fiルーターを空いているポートに接続したり、個人所有の古くなったPCをつないだりしているケースも多く見られるそうです。最近、DX（デジタルトランスフォーメーション）やスマートファクトリーの準備段階で、OT（Operational Technology）ネットワークの「見える化」を行うべく、現状どのようなネットワークがつながっているか、どのような機器が存在するかの洗い出しがよく行われます。多くの工場では台帳を基にそれらを適切に管理しているはずですが、「そこに記載されていない機器がたくさん見つかる」のだそうです。

　当然ですが、社外から持ち込んだ機器などを勝手につなげる行為は本来許されるものではありません。「便利になるから」と個人の判断で、良かれと思ってつなげた機器が、外部からの侵入を許す糸口になり得ます。勝手に追加された機器が完璧に脆弱（ぜいじゃく）性対応されているわけもなく……。それこそが「サプライチェーンの弱点」になってしまうのです。特に、中小製造業の工場などであり得る話ではないでしょうか。