• リスク・課題

昨今、企業を取り巻くサイバーセキュリティ環境は、攻撃の巧妙化・高度化によりますます厳しさを増しています。特に、自社だけでなく、グループ会社（海外拠点含む）やサプライヤー（特に中小企業）といったサプライチェーン全体のサイバーセキュリティリスクを包括的に管理することの重要性が、強く認識されるようになりました。
こうした状況を受け、経済産業省では、サプライチェーン全体のセキュリティレベル向上を目的とした新たな評価制度の構築に向けた検討が進められています。

日本企業においては、本社は高度なサイバーセキュリティ対策を講じている一方で、国内・海外の各拠点やグループ会社、サプライヤーは独自にシステムを運用していることも多くあります。サイバーセキュリティに対する意識やビジネス上の優先順位が異なることから、足並みが揃わないなどで統制が取れず、そこを起点として情報漏洩や改ざんなどの被害に遭う危険性が高まっています。

本社の目が届かない脆弱なサイバーセキュリティを突破されるリスク

日本企業のサイバーセキュリティリスクは日々高まっており、攻撃手法や被害が多様化・増加の一途を辿っています。

特に最近では、大企業と国内各拠点やグループ会社（海外拠点含む）、サプライチェーンとの相互依存関係の弱点に目を付け、直接大企業の本社を狙うのではなく、サイバーセキュリティ対策が手薄な国内各拠点やグループ会社（海外拠点含む）、サプライヤー（特に中小企業）を狙う攻撃が増加傾向にあります。

その理由として、大企業では本社については高いサイバーセキュリティ基準を実装している一方で、国内各拠点やグループ会社（海外拠点含む）、サプライヤー（特に中小企業）とのサイバーセキュリティの取り組みに落差が生じているケースが多いことが挙げられます。

こうした状況下では、本社の目が届かない国内各拠点やグループ会社（海外拠点含む）、サプライヤー（特に中小企業）の脆弱な箇所が狙われ、そこを起点に本社が持つ重要な情報に接触され漏洩・改ざんなど悪用される危険性があります。

また、攻撃者に接触された情報、例えば顧客のID・パスワードなどは、「ダークウェブ（闇サイト）」と呼ばれる、特殊なブラウザを要し一般的なユーザーがアクセスしないような領域で売買される可能性もあります。

ガバナンス強化を阻む『現場任せ』の慣行と組織・制度の課題

日本の大企業のサイバーセキュリティの取り組みは、本社のITセキュリティ部門が国内各拠点やグループ会社（海外拠点含む）、サプライヤー（特に中小企業）を含めた全体的なサイバーセキュリティ対策を担っていることが多く、本社側で全てを把握・管理することは難しい状況にあります。

それにより、例えばこんな課題が考えられます。

グループ会社にサイバーセキュリティに関する調査票を送付したが…

こうしたことから、グループ全体の実態に沿ったサイバーセキュリティ状況を網羅・把握すること自体が難しく「どこに最も大きなリスクが潜んでいるのか」「どこから優先的に手を付けるべきか」が判断できないという課題を抱えてしまうこともあります。

サプライヤー（特に中小企業）に重大な脆弱性が見つかり改善を促したが…

こうしたサプライヤー管理の難しさは、多くの企業にとって共通の課題です。この状況を背景に、経済産業省ではサプライヤーのセキュリティレベルを客観的に評価する新たな制度の検討を進めています。この制度は、発注側と受注側が対策レベルの共通認識を持つための「ものさし」となることが期待されており、今後の動向が注目されます。

日本ならではの大企業の組織や制度にも課題が

グローバルでは内部調査・外部調査を組み合わせた「サイバーリスクスコアリング（360度評価）」がスタンダードになりつつありますが、これにはサプライチェーンのサイバーセキュリティ管理を「サプライヤーのプロフィール（業務内容）、取引度合い（ビジネス依存度）、契約内容（SLA含む）等を理解、把握している調達部門を筆頭に置き、それを陰からIT部門とセキュリティ部門がサポートする」といった形で連携して、包括的に取り組むことが求められます。

しかし日本の大企業では、

というように、同じサイバーセキュリティ調査であっても別部門に分かれてしまい、連携が図れなくなっていることが多くあります。

サプライチェーンも含めた体制整備、仕組み構築、継続のための負荷軽減の必要性

こうした課題を解決し、サイバーセキュリティリスクを軽減していくには、国内各拠点やグループ会社（海外拠点含む）、サプライヤー（特に中小企業）も含めた企業全体を客観的な指標に基づいて網羅的に可視化し、サイバーセキュリティの品質を維持・向上させる下記のような仕組みが必要になってきます。

先の通り、大企業とそのサプライヤーのみでこれだけの仕組みを整え、運用していくにはリソースの限界もあります。サプライヤー向け対策支援など、マネージドサービス利用による業務負荷の軽減も検討したいところです。

サプライヤー（特に中小企業）側も積極的に取り組みを進めたくなる仕掛けを

もちろん仕組みを取り入れるだけではなく、発見された課題に対して、国内各拠点やグループ会社（海外拠点含む）、サプライヤー（特に中小企業）と協力しながら改善を進めていく企業側の取り組み姿勢も重要です。

「対応したいがやり方がわからない」のであればサポートもできますが、責任者が「本当に必要なのか？」と首をひねっているままでは、サイバーセキュリティ対策は遅々として進みません。アンケートによるサイバーセキュリティ調査票も、実情とかけ離れた当たり障りのない回答内容に終始するといったこともあるでしょう。

そこで例えば、進んでサイバーセキュリティ対策に取り組んだ拠点やサプライヤーを表彰して信頼できるパートナーと見なすなど、積極的に取り組みを進めたくなるような仕掛けも考えていかねばなりません。

こうした仕組みや仕掛けを整えるためには、国内各拠点やグループ会社（海外拠点含む）、サプライヤー（特に中小企業）を含む広範囲のサイバーセキュリティを守る仕組みに精通し、また海外拠点を踏まえてグローバルなコミュニケーションも支援できるパートナーを確保しておきたいところです。