サプライチェーン攻撃の実態と企業が取るべき6つの対策

サプライチェーン攻撃は、標的企業に直接侵入するのではなく、取引先・委託先・ソフトウェアやSaaSなどの依存先を経由して被害を広げる攻撃手法です。記事はビジネス型（委託先経由）、ソフトウェア型（アップデート悪用やOSS汚染）、サービス型（クラウド/SaaS経由）の3種類に整理しています。代表例として2020年のSolarWinds事件（Orionのアップデートに悪意あるコードが混入し約18,000組織が影響）や、2022年のトヨタ・小島プレス工業の事例（生産停止で約1万3千台相当の影響）が挙げられています。

国内事例としては、2024年5月の印刷発送業者イセトーのランサムウェア被害で約150万件の個人情報漏えいが発生し、委託元の自治体・企業が二次被害を受けた点、2024年6月のKADOKAWAグループへのランサムウェア攻撃ではサービス停止とデータ漏えいが生じた点、2023年の名古屋港コンテナターミナルの停止（約3日間）など、業種を問わず波及影響が確認されています。

対策は「自社内部」「委託先管理」「ソフトウェア管理」の3層で整備する必要があるとしています。NIST CSF 2.0で新設された「統治（Govern）」の考え方に沿って経営レベルでサプライチェーンリスクを管理することが重要とし、経済産業省のSCS評価制度の整理（★3は要求事項26・評価基準81、★4は要求事項43・評価基準153）など法規制の動向も解説しています。

情シスが今日から実行できる6つの具体策としては、①最小権限の原則、②多要素認証（MFA）の徹底、③シャドーITの検出と排除、④ソフトウェア・ライブラリの脆弱性管理（SBOM活用）、⑤ネットワーク分離とゼロトラスト設計、⑥監査ログの収集と異常検知を挙げています。加えて委託先には定期評価・契約条項へのセキュリティ要件明記・再委託管理などを求める運用が推奨されています。

記事は具体的な運用手順や担当分担（ログを集める担当、規程更新の担当、委託先確認の担当など）を決めること、シャドーITや退職者の権限残存を防ぐためのSaaS可視化とアクセス管理の重要性を強調しており、JosysのSaaS管理機能の紹介で締めくくられています。