IPAの10大脅威に急浮上、「サプライチェーン攻撃」対策に現実解はあるか
- ありがとうございます！
- いいね！した記事一覧をみる
会員になると、いいね！でマイページに保存できます。
従来までセキュリティというと、自社の対策のみで済んでいたかもしれない。しかし近年では、IoTの普及もあり、部品の調達から、製造、在庫管理、物流、販売、業務委託までを含めた一連の商流のなかで、セキュリティを見なければいけない時代になった。対策の甘い関連企業から攻撃を仕掛けられ、そこを踏み台に本社まで狙われるリスクがあるからだ。このような時代に企業セキュリティを盤石にする術はあるのか。
（Photo/Getty Images）
IPA調査でいきなり「第4位」に浮上した新たな脅威
IPA（独立行政法人情報処理推進機構）が毎年発表している「情報セキュリティ10大脅威」のレポートで、今年初めて第4位に登場した組織向けの脅威がある。それは「サプライチェーン（商流）の弱点を悪用した攻撃」だ。
（出典：独立行政法人情報処理推進機構発表を一部加工）
従来は自社のセキュリティ対策で済むことも多かったが、いまはグループ企業や海外法人、関連取引先まで含め、全体の対策を実施しなければならない。攻撃者はセキュリティの甘い組織の穴を見つけ、そこを攻撃の足掛かりに狙ってくるためだ。
実際、昨年起きた事例では、ある製造系企業の委託企業が標的型攻撃を受け、そこから関連会社のメールアドレス情報が漏れてしまうというインシデントの報告もあった。製造業も最近はIoTで接続先も増え、脅威の範囲も広がっている。
そのためIPAでも、外部の委託企業などから自社に被害が拡大しないように、適切な情報セキュリティ管理を喚起しているものの、まだ製造や卸売・小売業では、実施すべきセキュリティ対策をしっかりと明示しない企業が7割にも上るという。
そこで企業側は、関連会社はもちろん委託企業に対しても、業務の範囲・セキュリティの要件・罰則の規定などを契約に明記することで縛りをかける、あるいはシステムの脆弱（ぜいじゃく）性診断サービスを定期的に実施してもらうことでセキュリティ対策を進めている。
とはいえ、たとえ契約で縛っても、それはあくまで机上の話だ。現実問題としてどんなリスクが企業に潜んでいるか分からない。また脆弱性診断を行うのも、そう簡単なことではなく、相応のコストもかかる。診断時には疑似攻撃をかけるので、システムに負荷がかかり、計画から実施までIT担当者の大きな負担になってしまう。
この記事の続き ＞＞
・攻撃者の目線からセキュリティ状況を把握、簡単かつ迅速にスコアリング
・目標のレベルを設定し、具体的な推奨のセキュリティ対策まで示唆
・政府御用達の製造業のほか、保険業界や金融業界での活用事例も
今すぐビジネス＋IT会員に
ご登録ください。
すべて無料！今日から使える、
仕事に役立つ情報満載！
-
ここでしか見られない
2万本超のオリジナル記事・動画・資料が見放題！
-
完全無料
登録料・月額料なし、完全無料で使い放題！
-
トレンドを聞いて学ぶ
年間1000本超の厳選セミナーに参加し放題！
-
興味関心のみ厳選
トピック（タグ）をフォローして自動収集！
関連タグ
タグをフォローすると最新情報が表示されます
