「サプライチェーン」とは、原材料の調達から製造・販売までの各プロセスに関わる複数の企業それぞれの活動の繋がり全体を指します。これには、サプライヤー、製造業者、流通業者などが含まれます。

ターゲットとなる企業のサプライチェーンを悪用したサイバー攻撃を「サプライチェーン攻撃（Supply Chain Attack）」と言います。これは、ターゲットとなる企業に直接攻撃を仕掛けるのではなく、まず関連企業や取引先、委託先企業など、セキュリティ対策に弱点がある企業を攻撃するサイバー攻撃です。つまり、攻撃者はサプライチェーン内の複数の企業や段階を利用し、それらの関係性やネットワークのつながりを巧みに利用して、最終的にターゲットとなる企業の内部に侵入することを目的としています。

この攻撃手法は、セキュリティ対策が手薄な企業を踏み台にしてサプライチェーンを通じて最終的に標的とする企業に侵入し攻撃を行うもので、近年国内外で甚大な被害を与えています。

不正侵入の具体例

不正侵入の具体的な内容としては、サーバーの脆弱性利用、サプライチェーンのサーバー経由でのデータ盗難、フィッシング攻撃などがあります。

例えば、攻撃者はまずサービス提供業者のセキュリティ対策の脆弱性を見つけ出し、そこから悪意のあるソフトウェア（マルウェア）を仕込むことで侵入します。このマルウェアは、サービス提供業者のサーバーを通じてターゲットとなる企業のデータにアクセスし、不正に取得または破壊することができます。

サプライチェーン攻撃の対策例

サプライチェーン攻撃は、サプライチェーン全体を通じて行われるため、対策もサプライチェーン全体で考えることが重要です。具体的な対策として、OSやソフトウェアを常に最新の状態に保つこと、ウイルス対策製品の導入、そして自社および取引先のセキュリティ状況の確認が推奨されます。

特に、サプライチェーン攻撃によって被害が広がるリスクがあるため、自社の対策だけでは不十分です。取引先や関連企業のセキュリティが弱ければ、そこから被害が拡大する可能性があります。そのため、取引先のセキュリティ状況を確認し、セキュリティ契約を交わすことが有効です。また、子会社については、自社のセキュリティ対策を共有することで、グループ全体のセキュリティを強化できます。サプライチェーン全体で連携して、対策を進めることが重要です。

関連リンク

フューチャーメディア：

新たなサイバー対策格付制度ができる！？「第8回産業サイバーセキュリティ研究会事務局説明資料」を読む

「モノづくり企業のためのDX推進カンファレンス Day4 BCP対策DAY」レポート