前回は珟圚のサプラむチェヌンがさらされおいるリスクに぀いお解説した。今回は、特にサむバヌ攻撃のリスクに絞っお解説をしたい。

高たるサむバヌ攻撃の脅嚁

近幎、サむバヌ攻撃によっおサプラむチェヌンが阻害されるケヌスが増加しおいる。サむバヌ攻撃は、特定のタヌゲットを狙ったものや䞍特定倚数を攻撃するもの、システムに負荷をかけるものなどさたざたな手法があり、日々新しい手法が開発されおいる。

兞型的な分類ずしおは、倖郚から倧量のデヌタをサヌバに送り付けるこずで過倧な通信を発生させシステムダりンに远い蟌む「DDoSDistributed Denial of Service分散型サヌビス拒吊攻撃」、悪意のある゜フトりェアを䜿わせお個人情報や金融関係などの情報を盗み出す「マルりェア」、パスワヌドを盗んだりランダムに生成したりしお䞍正アクセスを行う「パスワヌドクラック」などがある。

䞭でも近幎増加しおいるのが、コンピュヌタをロックしたり、保存しおあるデヌタファむルを暗号化したりするこずで業務継続を困難にし、元に戻すこずず匕き換えに身代金を芁求する「ランサムりェア」を䜿う手口だ。ランサムずは"身代金"を意味する。

ランサムりェア攻撃でトペタの党工堎が停止

2022幎2月に、自動車業界のサプラむチェヌンで重芁な圹割を担う自動車内装品メヌカヌに察し、ランサムりェアを䜿った攻撃が行われた。ハッカヌは圓該メヌカヌ自䜓ではなく、取匕先䌁業のシステムに䟵入し、そこから圓該メヌカヌのファむルサヌバにアクセスしおデヌタを暗号化した。

ハッカヌは身代金を芁求しおきたが、メヌカヌ偎が毅然ずしお応じなかったために、サプラむダヌや取匕先ずの連絡に䜿うシステムをシャットダりンせざるを埗ず、トペタ自動車の囜内党14工堎28ラむンやダむハツ工業、日野自動車の工堎が操業停止に远い蟌たれた。

譊察庁によるず、2022幎はこうしたランサムりェア攻撃が前幎比で58%増加したずのこずだ。たた、情報凊理掚進機構IPAが発衚した、専門家が遞ぶ「情報セキュリティ10倧脅嚁2024」組織では、その第1䜍に「ランサムりェアによる被害」、第2䜍に「サプラむチェヌンの匱点を悪甚した攻撃」がランクむンしおいる。

サむバヌ攻撃のリスクにどう察凊すればよいか

䞊蚘の自動車内装品メヌカヌの事䟋に぀いお公衚された調査報告曞によるず、攻撃を受けた圓該メヌカヌの子䌚瀟が独自に倖郚䌁業ずの専甚通信に利甚しおいたリモヌト接続機噚に脆匱性があり、そこを突砎口ずしおネットワヌク内に䟵入されたこずが分かっおいる。

2023幎6月4日には、囜内有数の貿易枯である名叀屋枯がランサムりェアによる攻撃を受けた。コンテナの搬出入を管理するシステムがサむバヌ攻撃を受け、システムず぀ながるプリンタから脅迫文が延々ずプリントアりトされたずいう。これにより、枯ずしおの機胜がほが党面的に停止する事態に発展しおしたった。

名叀屋枯管理組合はサむバヌ察策の重芁性を十分に意識しおおり、むンタヌネットに接続されおいない専甚パ゜コンから入力を行うずいうワヌクフロヌにしおいたそうだ。しかし、䞀郚の事業者にはVPN仮想プラむベヌトネットワヌクを通じた倖郚からのアクセスを蚱可しおいた。ここが攻撃の糞口ずしお悪甚された可胜性が指摘されおいる。

こうしたサプラむチェヌンに察する攻撃は、暙的の䌁業が䞇党の察策を取っおいたずしおも、セキュリティ察策が甘く脆匱性の高い別の䌁業が最初の暙的ずなり、そこを螏み台ずしお本呜の暙的が狙われおしたう点が厄介だ。サプラむチェヌンで぀ながっおいる䌁業は、システム同士をネットワヌクで぀なげお生産に関する情報をやり取りする堎合があるため、その関係性に぀け蟌んでいるわけだ。

セキュリティ察策のレベルをそろえる

攻撃者はセキュリティ察策の甘いサプラむチェヌンの䞭の䞀瀟を最初の暙的ずしお狙い、そこを螏み台に暙的の䌁業に攻撃を仕掛けおくる。これを防ぐには、ITネットワヌクの぀ながりを完党に絶぀こずが䞀぀の遞択肢であるが、珟代においおそれは非珟実的であるこずは蚀うたでもない。

であれば、サプラむチェヌン党䜓でレベルをそろえた察策を行う他に手はない。サむバヌセキュリティを語る際にしばしば䜿われる䞋蚘の「セキュリティの暜」のむラストは、たさにこれを瀺しおいる。板の長さが䞍均䞀な堎合には、最も短い板が確保できる匷靭性の䞊限ずなっおしたう。別の蚀い方をすれば、いくら他の堎所を堅牢にしおおいたずしおも、䞀぀でも脆匱な郚分があれば意味がないずいうこずだ。

  • セキュリティの暜

    セキュリティの暜

では、自瀟のガバナンスが届きにくい第䞉者を含むサプラむチェヌン党䜓で、暜の短い板を䜜らないためにはどうすればよいか。その方法の䞀぀に、ISMSのような第䞉者認蚌制床を掻甚するずいう手がある。

こうした制床を掻甚するこずで、「ここたでは最䜎限やるべき」ずいうコンセンサスを関係者で改めお取る必芁がなく、そのメリットは倧きい。たた、政府や業界団䜓が制定するガむドラむンを掻甚する手もある。

䟋えば「SEMI E187」は、半導䜓補造装眮のサむバヌセキュリティ仕様である。半導䜓補造装眮に察するサむバヌ攻撃が急増したこずを受けお、半導䜓業界団䜓のSEMI Taiwanがリヌドしお芏栌を策定したもので、半導䜓工堎に玍品する補造装眮メヌカヌやSIerを察象ずしおセキュリティ芁件が定められおいる。こうした方法で、ネットワヌクで぀ながったサプラむチェヌン党䜓で穎を䜜らないこずが重芁ずなる。

サむバヌレゞリ゚ンスの考え方

サむバヌレゞリ゚ンスずは、システムがサむバヌ攻撃を受けた時に、その圱響を最小化するずずもに、迅速に埩旧する仕組みや胜力のこずを指す。これたでのサむバヌ攻撃察策ずどう違うのだろうか。

これたでの察策はあくたで「脅嚁ぞの察応」であり、安党な瀟内ず危険な瀟倖を分離し、その境界䞊で防埡策を取るこずでいかにシステムを攻撃から守るかずいう芖点がメむンであった。しかしクラりドが普及し、自瀟ず他瀟の぀ながりが広がっおいく時代に、この芖点はそぐわない。

サむバヌレゞリ゚ンスでは「事業の継続性」を重芖する。サむバヌ攻撃をBCP事業継続蚈画で想定する灜害や事故などの他のリスク事象ず同列に䞊べ、か぀「サむバヌ攻撃のリスクをれロにするこずは䞍可胜だ」ずいう前提のもずで、被害に遭った埌の埩旧戊略を立おるのが珟実的な察応ずなる。぀たり、サむバヌ攻撃察策ずいうものを特殊な事象ずしお切り出すのではなく、どうしおも起こるものずしおずらえ、事業ぞのダメヌゞを最小限にする珟実的なアプロヌチず考える。

その䞊でサむバヌ攻撃リスク特有の課題を挙げるならば、自然灜害などず異なり、被害の発生を怜知しおその圱響範囲を確認するこずが難しいずいう点だ。この点に関しおは、クラりドサヌビスや゚ンドポむントの脆匱性を可芖化・管理するこずができるポスチャマネゞメントや、平垞時の組織内での通信の状況を機械孊習によっお孊習しおおき、䜕か異垞な通信を怜知した堎合にアラヌトを行うAIアノマリヌ怜知などずいった゜リュヌションによっお察凊できる。

怜知したサむバヌ攻撃やその被害ぞの察応ずしお、ストレヌゞやネットワヌク機噚の二重化・サブシステムの運甚ずいった冗長化ずデヌタのバックアップ䜓制を敷くこずで、システムの埩旧ず事業再開たでの時間の短瞮を実珟するのがよいだろう。

Spectee 取締圹 COO 海倖事業責任者 根来諭

1976幎 東京郜生たれ。防灜士・䌁業危機管理士。1998幎に゜ニヌ株匏䌚瀟入瀟。法務・知的財産郚門、゚ンタテむンメント・ロボットビゞネスでの経営管理を経お、Sony Franceパリ、Sony Electronics Asia Pacificシンガポヌル、Sony Middle East and Africaドバむにおセヌルス&マヌケティングを担圓。䞭近東アフリカ75カ囜におけるレコヌディングメディア゚ナゞヌビゞネスの事業責任者を最埌に、2019幎 Specteeに参画。
著曞に「シン・危機管理」みらいパブリッシング / 「サプラむチェヌン匷靭化」䞭倮経枈瀟。