IPAの10大脅威に急浮上、「サプライチェーン攻撃」対策に現実解はあるか
記事をお気に入りリストに登録することができます。
従来までセキュリティというと、自社の対策のみで済んでいたかもしれない。しかし近年では、IoTの普及もあり、部品の調達から、製造、在庫管理、物流、販売、業務委託までを含めた一連の商流のなかで、セキュリティを見なければいけない時代になった。対策の甘い関連企業から攻撃を仕掛けられ、そこを踏み台に本社まで狙われるリスクがあるからだ。このような時代に企業セキュリティを盤石にする術はあるのか。
（Photo/Getty Images）
IPA調査でいきなり「第4位」に浮上した新たな脅威
IPA（独立行政法人情報処理推進機構）が毎年発表している「情報セキュリティ10大脅威」のレポートで、今年初めて第4位に登場した組織向けの脅威がある。それは「サプライチェーン（商流）の弱点を悪用した攻撃」だ。
（出典：独立行政法人情報処理推進機構発表を一部加工）
従来は自社のセキュリティ対策で済むことも多かったが、いまはグループ企業や海外法人、関連取引先まで含め、全体の対策を実施しなければならない。攻撃者はセキュリティの甘い組織の穴を見つけ、そこを攻撃の足掛かりに狙ってくるためだ。
実際、昨年起きた事例では、ある製造系企業の委託企業が標的型攻撃を受け、そこから関連会社のメールアドレス情報が漏れてしまうというインシデントの報告もあった。製造業も最近はIoTで接続先も増え、脅威の範囲も広がっている。
そのためIPAでも、外部の委託企業などから自社に被害が拡大しないように、適切な情報セキュリティ管理を喚起しているものの、まだ製造や卸売・小売業では、実施すべきセキュリティ対策をしっかりと明示しない企業が7割にも上るという。
そこで企業側は、関連会社はもちろん委託企業に対しても、業務の範囲・セキュリティの要件・罰則の規定などを契約に明記することで縛りをかける、あるいはシステムの脆弱（ぜいじゃく）性診断サービスを定期的に実施してもらうことでセキュリティ対策を進めている。
とはいえ、たとえ契約で縛っても、それはあくまで机上の話だ。現実問題としてどんなリスクが企業に潜んでいるか分からない。また脆弱性診断を行うのも、そう簡単なことではなく、相応のコストもかかる。診断時には疑似攻撃をかけるので、システムに負荷がかかり、計画から実施までIT担当者の大きな負担になってしまう。
この記事の続き ＞＞
・攻撃者の目線からセキュリティ状況を把握、簡単かつ迅速にスコアリング
・目標のレベルを設定し、具体的な推奨のセキュリティ対策まで示唆
・政府御用達の製造業のほか、保険業界や金融業界での活用事例も
今すぐビジネス＋IT会員にご登録ください。
すべて無料！ビジネスやITに役立つメリット満載！
-
ここでしか見られない
1万本超のオリジナル記事が無料で閲覧可能
-
多角的にニュース理解
各界の専門家がコメンテーターとして活躍中！
-
スグ役立つ会員特典
資料、デモ動画などを無料で閲覧可能！セミナーにご招待
-
レコメンド機能
あなたに合わせた記事表示！メールマガジンで新着通知
関連タグ
