IPA調査でいきなり「第4位」に浮上した新たな脅威

　IPA（独立行政法人情報処理推進機構）が毎年発表している「情報セキュリティ10大脅威」のレポートで、今年初めて第4位に登場した組織向けの脅威がある。それは「サプライチェーン（商流）の弱点を悪用した攻撃」だ。


　従来は自社のセキュリティ対策で済むことも多かったが、いまはグループ企業や海外法人、関連取引先まで含め、全体の対策を実施しなければならない。攻撃者はセキュリティの甘い組織の穴を見つけ、そこを攻撃の足掛かりに狙ってくるためだ。

　実際、昨年起きた事例では、ある製造系企業の委託企業が標的型攻撃を受け、そこから関連会社のメールアドレス情報が漏れてしまうというインシデントの報告もあった。製造業も最近はIoTで接続先も増え、脅威の範囲も広がっている。

　そのためIPAでも、外部の委託企業などから自社に被害が拡大しないように、適切な情報セキュリティ管理を喚起しているものの、まだ製造や卸売・小売業では、実施すべきセキュリティ対策をしっかりと明示しない企業が7割にも上るという。

　そこで企業側は、関連会社はもちろん委託企業に対しても、業務の範囲・セキュリティの要件・罰則の規定などを契約に明記することで縛りをかける、あるいはシステムの脆弱（ぜいじゃく）性診断サービスを定期的に実施してもらうことでセキュリティ対策を進めている。

　とはいえ、たとえ契約で縛っても、それはあくまで机上の話だ。現実問題としてどんなリスクが企業に潜んでいるか分からない。また脆弱性診断を行うのも、そう簡単なことではなく、相応のコストもかかる。診断時には疑似攻撃をかけるので、システムに負荷がかかり、計画から実施までIT担当者の大きな負担になってしまう。