サプライチェーン・セキュリティ・ガイドライン｜基本から実施手順まで - ペンタPRO：ペンタセキュリティが提供するセキュリティ情報まとめサイト

サプライチェーンセキュリティ

企業によるIoT、AI、ビッグデータなどのIT活用が進むと同時に、サイバー攻撃は年々高度化・巧妙化の一途をたどっています。サイバー攻撃により情報流出・インフラ停止などの事態に陥れば、社会的な信用低下を招くだけでなく経営責任や法的責任を追求されることもあり、企業経営に多大な損害を与える大きなリスクを秘めています。このような理由からも、経営者はサイバー攻撃を重要な経営課題として位置づけ、積極的なセキュリティ投資を行う必要性があると言えるでしょう。

そこで本記事では、昨今、企業規模を問わず対策の必要性が叫ばれているサプライチェーン攻撃のセキュリティについて、その代表的な対策法の1つである「ガイドラインの導入/実施」に焦点を当てて解説していきます。

サプライチェーンリスクの移り変わり

本題に入る前に、まずはサプライチェーンリスクの変遷を振り返ってみましょう。従来のサプライチェーンリスクは主に「事業継続性」に重点が置かれてきました。例えば、事故、災害、システム障害、不祥事、テロなどにより、サービスの供給網（サプライチェーン）が損害を受けたとき、「どうやってそれを維持するか？」が重要視されていたのです。

しかし昨今、ITの利活用が急激に進んだことで新たなサプライチェーンリスクが顕在化しました。それが「サプライチェーンにおけるサイバー攻撃」です。この新たなリスクに対応するには「情報セキュリティ」に重点を置いた対策が必須であり、企業経営者は従来のサプライチェーンリスクの捕らえ方を刷新する必要があるでしょう。

サプライチェーン攻撃の危険性、事例、対策方法は以下の記事にて解説しています。リスクへの対処は「リスクを知ること」から始まります。ぜひご一読ください。

サイバー攻撃の観点から見る、サプライチェーンのリスクとその対策とは？

サプライチェーン・セキュリティ・ガイドラインの参考資料

ここでは、日本国内の機関が公表している、サプライチェーンセキュリティに関するガイドラインをいくつかご紹介します。サプライチェーンセキュリティ対策としてガイドラインを導入するには、信頼に足る機関が公表しているガイドラインを参考にするのが手っ取り早いでしょう。

サイバーセキュリティ経営ガイドラインv2.0

経済産業省と情報処理推進機構（IPA）が2017年11月16日に発行した、経営者向けの総合的なセキュリティ対策ガイドラインです。当ガイドラインの中では、サイバーセキュリティ経営の重要10項目の1つとして「ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策及び状況把握」が挙げられており、企業によるサプライチェーン対策の必要性、方針、手法が網羅的に解説されています。その他、セキュリティポリシーの策定方法や、対策に必要な資源（予算、人材）の確保、インシデント発生時の対応体制についてなど、セキュリティ経営の詳細が0から解説されています。

もしあなたが企業経営者（もしくはセキュリティ担当者）であれば、本格的にセキュリティ対策を進める前に、一度じっくりと目を通すことを強く奨めます。

参考：情報処理推進機構｜サイバーセキュリティ経営ガイドラインv2.0

中小企業の情報セキュリティ対策ガイドライン第3版

情報処理推進機構（IPA）が2019年12月19日に発行した、経営者向けの総合的なセキュリティ対策ガイドラインです。先ほど紹介した「サイバーセキュリティ経営ガイドライン」の内容を薄く延ばしたような構成で、より平易で理解しやすい内容となっています。

サプライチェーンセキュリティに特化した内容ではありませんが、企業が取り組むべきセキュリティ対策のイロハが網羅的に解かれていますので、是非一度読んでみてください。

参考：中小企業の情報セキュリティ対策ガイドライン第3版

サイバー・フィジカル・セキュリティ対策フレームワークv1.0

経済産業省が2019年4月18日に発行した、民間事業者向けのセキュリティフレームワークです。IT活用促進により現実空間とサイバー空間が融合したことで、攻撃の起点が大幅に増加した現状に対応するために、民間企業がサプライチェーン全体を通して取り組むべきセキュリティ対策の方針や、リスク源がまとめられています。

参考：経済産業省｜サイバー・フィジカル・セキュリティ対策フレームワーク