最新セキュリティマネジメント（第11回） サプライチェーン全体の対策及び状況把握

　経済産業省が策定した「セキュリティ経営ガイドライン」で、経営者が社内に対して指示すべきポイントとして示された「重要10項目」。今回は9番目の項目「ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策及び状況把握」について解説する。

サプライチェーン全体の対策が重要

　経済産業省と独立行政法人情報処理推進機構（IPA）が共同で策定した「サイバーセキュリティ経営ガイドライン Ver2.0」では、企業のIT活用を推進する上で経営者が認識すべきサイバーセキュリティに関する原則や、経営者がリーダーシップをもって取り組むべき項目がまとめられている。

　企業が行うサイバーセキュリティ対策は、当事者となる自分の組織だけに限られたものではない。商品・サービスの取引先をはじめ、ビジネスパートナーや業務委託先など、多くの関係者で構成されるさまざまな業務プロセスの集合体である「サプライチェーン」全体で取り組む必要がある。

　例えば、サイバー攻撃では、対策が不十分な状態にある1つの企業を「踏み台」として、その取引先である企業へと攻撃を拡大し、重大な被害をもたらすケースが後を絶たない。また、関係する企業の被害状況を十分把握できないことが原因で対策が遅れた結果、サプライチェーン全体の運用が停止する事態を招くケースも発生している。このような場合、「委託先の対策が不十分で被害を防げなかった」といった説明は通用しない。外部から見た場合、このような主張は責任転嫁と捉えられ、全ての関係者が姿勢を問われることになる。

　今回は監査の実施や対策状況の把握を含むサイバーセキュリティ対策のPDCAについて、系列企業、サプライチェーンのビジネスパートナーやシステム管理の運用委託先などを含めた運用を進める方法と、システム管理などの委託について、自分の組織で対応する部分と外部に委託する部分で適切な切り分けを行う方法について解説する。

契約時にセキュリティ対策を確認

　言うまでもないことだが、サイバーセキュリティ対策には相応の「労力」と「コスト」が必要だ。サプライチェーン全体で考えた場合、企業によっては人員不足で対策が不十分になっていたり、思うように関連予算を割り当てられていなかったりするケースも出てくるだろう。

　本ガイドラインでは、サイバーセキュリティ対策は自分の組織だけで完結するものではなく、サプライチェーン全体で取り組むべき課題であると指摘しているが、現代のサプライチェーンは非常に大規模なものとなっており、全ての関係先が十分な対策を取っているかを確認することは難しい。さらに、海外の拠点や取引先まで含めなければならない場合にはグローバルな対応が必要になり、さらに把握が困難になっているというのが現状だ。

　そこで、本ガイドラインではサプライチェーンのセキュリティ対策を推進する第一歩として、「契約」の重要性を挙げている。これは、企業間でさまざまな取引を開始するに当たり、相手先が現時点でどのようなサイバーセキュリティ対策を実施しているか、不測の事態が発生した場合にどのような体制で解決を図るのかといった取り組みの内容を確認した上で、契約を行うべきというものだ。

　言い換えれば、ビジネスを始める条件の1つとしてセキュリティ対策を挙げ、「条件を満たさない企業とは取引しない」という姿勢を示すべきだとしている。長年取引がある企業に関しても改めて現状を報告してもらったり、報告内容に不備がある場合は再度確認したりする必要もある。「これまで問題なかったから大丈夫だろう」という甘い姿勢、判断が大きなリスクとなり、深刻な事態を招くと認識すべきだ。

「遠慮・忖度」なき協力体制の構築

　多くの経営者にとって、自分の組織のサイバーセキュリティ対策がどのような状況になっているかを把握するのはそれほど難しくはない。日ごろから最新情報の収集に努め、担当者から報告を受けていれば一通りの状況は理解できるだろう。

　ところが、これがサプライチェーン全体を対象とするとなると様相が変わってくる。通常、ビジネスパートナーや委託先とのやり取りは本来の業務に関するものがほとんどで、セキュリティについて情報交換する機会はあまり多くないのが実情だ。また、委託先が委託した先、いわゆる「孫請け」企業の状況を把握するのは極めて困難だ。そうした状況ではあるが本ガイドラインでは系列企業、サプライチェーンのビジネスパートナーやシステム管理委託先などのサイバーセキュリティ対策状況の報告を受け、把握する必要性を指摘している。

　ここで大切なポイントとしては、「協力体制の構築」が挙げられる。被害を受けたときだけでなく、日ごろからサイバーセキュリティ対策に関する情報を報告、交換し、サプライチェーン全体の課題として共に取り組む姿勢を確立しておくことで、結果的に被害を最小限に食い止められる。

　これはある程度容易にできるようにも思われるが、実際には意外に難しい。企業間には目に見えない「序列」的な要素が存在し、完全に対等でオープンな環境は構築しづらいという現実があるからだ。何らかの「遠慮」や「忖度（そんたく）」などで報告が行われなかった場合、緊急時の原因特定などの際に、これらの企業からの協力を得られなければ事業継続に支障が生じる恐れがあるので注意したい。

委託先に求められる要素は

　企業によっては社内の担当部署に加え、外部企業にセキュリティ対策業務を委託しているケースがある。このような場合、自分の組織で対応する部分と委託する部分の境界が不明確となり、対策漏れが生じる恐れがある。

　例えばシステム管理の場合、「どちらがどこまで担当するか」をあらかじめ決めておくことが難しいケースがあるため、緊急時に混乱するケースが少なくない。本ガイドラインでは個人情報や技術情報などの重要な情報を委託先に預ける場合、委託先の経営状況なども踏まえて、情報の安全性の確保が可能であるかどうかを定期的に確認するよう求めている。

　また、系列企業、サプライチェーンのビジネスパートナーやシステム管理の委託先を評価する方法として、IPAが実施している制度「SECURITY ACTON（セキュリティ対策自己宣言）」の活用を推奨している。これは中小企業自らがセキュリティ対策に取り組むことを宣言する制度で、IT活用による「攻め」と同時に、情報セキュリティによる「守り」が不可欠であると示したものだ。

　対策を進めるに際には、このような姿勢を重視するパートナーを選ぶ必要があるだろう。なお、委託先を選ぶ際のその他のポイントとして、本ガイドラインでは委託先がISMS（情報セキュリティマネジメントシステム）などのセキュリティマネジメント認証を取得していることや、委託先に起因する被害に対するリスクマネーの確保としてサイバー保険に加入していることなどを挙げている。

　サイバーセキュリティ対策は、当該ビジネスに関わる全ての企業が互いに協力することで成果が上がる。自分の組織の対策をレベルアップすることに加え、外部委託先を含めた幅広い層の組織の人々が「自分の問題」と捉えて対策を講じておき、解決に臨む姿勢が重要だと言える。