サプライチェーンセキュリティとは？委託先・取引先を含めた対策の進め方

自社のセキュリティ対策を進めても、取引先や委託先が攻撃を受ければ、そこを経由して自社の情報や事業が影響を受ける場合があります。サプライチェーンセキュリティは、こうした自社の外側まで含めてセキュリティを考える取り組みを指します。

近年は、委託先を踏み台にした侵入や、取引先経由での情報漏えいが実際に起きており、発注する側の企業にも取引先の対策状況を把握する動きが広がっています。ただ、「何を対象に、どこから手をつければいいのか」がわかりにくいという声も多く聞きます。

この記事では、サプライチェーンセキュリティの意味と、混同されがちな「サプライチェーン攻撃」との違いを確認したうえで、委託先・取引先を含めた対策をどこから始めるかを解説します。個々の実務は、関連する記事へリンクでたどれるようにしています。

サプライチェーンセキュリティとは、原材料の調達から製造、販売、サービス提供にいたる一連の流れや、その流れを支えるIT・業務の委託関係まで含めて、セキュリティを確保する取り組みを指します。自社単体ではなく、取引先・委託先・利用しているサービスなど、事業を支える相手も対象に含める点が特徴です。

自社がどれだけ対策をしても、業務を委託した先やデータを預けた先が攻撃を受ければ、その影響は自社にも及びます。そのため、自社の内側だけでなく、つながっている相手の対策状況まで見ようという考え方が広がっています。

「サプライチェーンセキュリティ」と近い言葉に「サプライチェーン攻撃」があります。サプライチェーン攻撃は、取引先・委託先や、利用しているソフトウェア・サービスなど、サプライチェーン上の弱点を足がかりにして、その先の組織へ影響を及ぼす攻撃を指す言葉です。

一方サプライチェーンセキュリティは、そうした攻撃を含むさまざまなリスクに対して、取引先・委託先まで含めてどう備えるかという、守る側の取り組み全体を指します。攻撃手法そのものより広い範囲を扱う言葉だと考えると、区別しやすくなります。

サプライチェーンと一口に言っても、対象になる相手は一つではありません。ここでは理解しやすいように、大きく2つの方向に分けて考えます。なお、これは公的に定まった分類ではなく、この記事で説明のために用いる区分です。

一つは、業務を委託している先や、利用しているクラウドサービスなど、事業やITサービスを支えるつながりです。IPAの「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」も、こうしたビジネス・ITサービスのサプライチェーンにおける委託先経由のリスクを対象にしています（IPA サプライチェーン強化に向けたセキュリティ対策評価制度）。委託先が攻撃を受けて自社のサービス提供が止まったり、預けた情報が漏れたりするリスクがここに含まれます。

もう一つは、ソフトウェアの開発・提供・利用を支えるコード、ライブラリ、開発ツール、インフラなどのつながりです。自社がソフトウェアを開発・提供する場合だけでなく、外部のソフトウェアやサービスを利用する場合も関係します。開発工程や依存するソフトウェアの管理など、ビジネス・ITサービス側とは異なる対策が必要になる領域です。

自社がセキュリティ対策を整えても、取引先や委託先の対策が弱ければ、そこが侵入口になり得ます。SCS評価制度でも、委託先へのサイバー攻撃を起点とした自社事業・サービスの提供途絶、機密情報の漏えいや改ざん、委託先を踏み台とした不正侵入といったリスクが挙げられています。

委託元が「対策していますか」と尋ねるだけでは、実際にどこまで対応できているかは見えにくいものです。発注する側と受注する側では、対策への意識や体制に差が出やすく、確認の仕方そのものを設計する必要があります。自社の内側の対策と、外側の相手の状況把握は、分けて考えることになります。

ここからは、2つの対象のうち、委託先やクラウドサービスなどビジネス・ITサービス側を中心に見ていきます。ソフトウェアサプライチェーン側は、開発工程や依存するソフトウェアの管理など別の対策が必要になる領域です。

IPAは、サプライチェーン全体の対策のファーストステップとして、サイバーセキュリティ上のリスクがある委託先を特定し、その委託先の対策状況を把握することを挙げています（IPA プラクティス・ナビ 指示9）。あわせて、契約のなかでリスクへの対応で担う役割と責任の範囲を明確にすること、相手の規模や状況によっては対策を一方的に求めるのではなく、対策の導入支援や共同実施も含めて考えることを示しています。

どの委託先を対象にし、どのように分類して、選定・契約・運用・更新まで管理していくかは、情報セキュリティ委託先管理とは？必要性から実務の進め方までで詳しく解説しています。

相手の対策状況を確認する方法には、チェックシートによる自己申告、認証・評価制度の活用、規程や証跡の確認、必要に応じた追加確認などがあります。どの方法でも、確認した内容と判断の理由を記録として残しておくと、次回の確認や見直しに役立ちます。自社でチェックシートを使って確認する場合の作り方や使い分けは、セキュリティチェックリスト｜目的別の項目と公的資料、委託先確認での使い分けでまとめています。

委託先の状況や任せる業務は時間とともに変わるため、定期的なタイミングや、委託内容・取扱情報などに変更があったときに見直すことも対策の一部になります。

サプライチェーンセキュリティに関連する国内の制度として、IPAが運営するSCS評価制度があります。この制度は、委託先のセキュリティ対策の水準を★の段階で示し、委託元が取引先に必要な段階を提示して対策を促し、実施状況を確認することを想定した仕組みです。委託元にとっては委託先の対策が見えにくい、委託先にとっては取引先ごとにばらばらの要求に対応する負担が大きい、という双方の課題に対応する狙いがあります。

この制度は、参加を義務づけるものではなく、任意の取り組みとして設計されています。サプライチェーンセキュリティ全体の中では、委託先の対策状況を共通の基準で確認する手段の一つと位置づけられます。制度の★3・★4の違いや取得の流れは、SCS評価制度とは？★3・★4の違い、取得の流れと今からできる準備で詳しく解説しています。

Q1. サプライチェーンセキュリティとサプライチェーン攻撃はどう違いますか？

サプライチェーン攻撃は、取引先やソフトウェアを足がかりに標的企業へ影響を及ぼす攻撃の手口を指します。サプライチェーンセキュリティは、そうした攻撃を含むリスクに対して、取引先・委託先まで含めて備える、守る側の取り組み全体を指します。

Q2. 中小企業でもサプライチェーンセキュリティ対策は必要ですか？

取引先から対策状況を確認される側になることも、自社が委託先を持つ側になることもあります。規模にかかわらず、預けている情報や任せている業務がある場合は、対象を絞ってできる範囲から取り組む形が現実的です。

Q3. サプライチェーンセキュリティでは、すべての取引先を確認する必要がありますか？

最初からすべての取引先を同じ深さで確認する必要はありません。IPAも、ファーストステップとして「サイバーセキュリティリスクのある委託先の特定」と「その委託先の対策状況の把握」を挙げています。まず、自社への影響が考えられる相手を特定するところから始めます。

サプライチェーンセキュリティは、自社だけでなく、取引先・委託先、事業を支えるITサービスやソフトウェアのつながりまで含めてセキュリティを考える取り組みです。まずは影響の大きい委託先・取引先を特定してその対策状況を把握し、契約で役割と責任を明確にしながら、必要に応じて確認と見直しを続けていくのが出発点になります。攻撃手法としての「サプライチェーン攻撃」と区別しながら、自社にとって守るべき範囲を捉えることから始められます。

委託先・取引先への確認は、チェックシートを作成して依頼し、回答を回収し、内容を確認し、必要に応じて差し戻し、その記録を残すという一連の流れで進みます。マモリスは、この作成・依頼・回収・確認・差し戻し・回答履歴の保管までを一つのサービスで扱えるプラットフォームです。回答する委託先はログインなしで回答でき、毎年の見直しに向けた繰り返し依頼や、前回回答を踏まえた更新にも対応しています。