サプライチェーンは繊細です。サプライチェーンの各接点は潜在的なサイバー攻撃の標的であると考えた場合、これはハッカーが見過ごすはずのない機会と言えます。

一般的にサイバー犯罪は増加しており、サプライチェーンを狙うサイバー犯罪も同じように増えています。サプライチェーンのサイバー攻撃は、2020年から4倍に拡大し、攻撃の規模と深刻度も増大しています。今年の初めに、正体不明のハッキンググループがMicrosoftの信頼性の高いソフトウェアモデルを悪用して本物そっくりのマルウェアを作り、大規模なサプライチェーン攻撃を行いました。このインシデントによって数百社が被害を受けており、潜在的には何千もの企業が被害を受けた可能性があります。

デジタル化が進むこの世界で、サプライチェーンは、メーカーとサプライヤー、卸業者、小売店をシームレスに結ぶ、グローバルな商取引のライフラインとしての役割を果たしています。ところが、このような接点には大量のサイバーリスクが潜んでおり、サプライチェーンの完全性とセキュリティにとっての脅威となっています。サプライチェーンがサイバー攻撃を受けると、業務の中断のみならず財務上の損失、企業イメージへのダメージに至るまで、壊滅的な状況に陥る場合があります。

現在サプライチェーンが直面するサイバーリスクTOP5に目を通し、このような脅威を緩和する戦略について検討しましょう。

1.第三者の脆弱性

サプライチェーンにおける主要なサイバーリスクの1つが、第三者ベンダーおよびパートナーに関連する脆弱性です。多くの場合、サプライチェーンには数多くの外部組織が関わっていますが、それぞれのサイバーセキュリティ対策のレベルは異なります。サイバー犯罪者は、これらの弱い接点を悪用して機密データに不正アクセスを仕掛けたり、サプライチェーンネットワークにマルウェアを注入したりします。通常は、請負業者や下請業者の保護対策が不十分なシステムを利用して最終的な標的に到達します。

対応策：

企業は、ベンダーを選定する際にデューデリジェンスを実施し、そのベンダーが厳しいサイバーセキュリティ基準を満たしていることを確認する必要があります。定期的なセキュリティ監査や契約上の義務によってコンプライアンスを強化し、第三者の脆弱性を軽減することができます。

2.フィッシング攻撃とソーシャルエンジニアリング

フィッシング攻撃とソーシャルエンジニアリング戦術は、今でもサイバー脅威の世界に蔓延しています。サイバー犯罪者は、サプライチェーン内の信頼のある個人になりすまし、複数の従業員宛に不正なメールやメッセージを送信します。これによってログイン情報や金融データなどの機密情報が漏洩します。

対応策：

フィッシング攻撃の従業員向けの意識向上トレーニングや堅牢なメールフィルタリングシステムは、フィッシング攻撃に対応する重要な防衛策です。疑念を持つ文化を推奨し、疑わしいコミュニケーションを特定することを従業員に教え込むことで、ソーシャルエンジニアリングスキームのリスクを大幅に改善できます。

3.データ漏洩

IBMのデータ侵害コストレポートによると、2023年に起きたデータ漏洩の平均的なコストは、445万ドルでした。これは、ミリ秒単位で発生するイベントにしては大きすぎる金額です。データ漏洩によってサプライチェーンには、顧客データや財務記録、所有権情報といった機密データが晒されるという大きな脅威がもたらされます。サイバー犯罪者は、サプライチェーンのデジタルインフラに存在する弱点を狙い、脆弱なデータに不正アクセスして抽出します。

対応策：

暗号化やアクセスコントロールを実装したり、定期的なセキュリティ診断を実施したりすることで、機密情報を保護できます。また企業は、インシデント対応プランを策定し、データ漏洩を速やかに検知して阻止し、その影響を緩和する必要があります。

4.ランサムウェア攻撃

サプライチェーンには相互接続という性質があり、タイムリーなデータ交換に依存していることから、ランサムウェアの攻撃者にとっては魅力的な標的となります。ランサムウェアの巧妙さが増しており、重要なデータを暗号化し複合キーと引き換えに多額の身代金を要求します。現在FBIは、同じ組織が短期間に何度も狙われる二重ランサムウェア攻撃についても警告しています。

対応策：

ランサムウェア攻撃のリスクを緩和するには、サプライチェーンの関係者は、定期的にソフトウェアを更新する必要があります。併せて、堅牢なサイバーセキュリティツールを採用し、定期的に重要なデータのバックアップを行います。攻撃が発生した際の回復期間と財務損失を最小限に抑えるためにも、ランサムウェアシナリオについて記載した包括的なインシデント対応プランの開発が必要不可欠です。

5.サプライチェーンの障害

直接的なサイバー攻撃以外にも、サプライチェーンは、交通システムや製造施設などの重要インフラへの攻撃による障害に対しても脆弱です。これらの障害がサプライチェーン全体に広がると、遅延や製品の不足、金銭的な損失につながる可能性があります。

対応策：

サプライチェーン企業は、サプライヤーベースを多様化し、主要なサプライヤーのサイバーセキュリティ状況を評価する必要があります。また、不測の事態に備えた計画を構築すると、サプライチェーンの潜在的な障害の影響を緩和するのに役立ちます。また、協力体制も鍵となります。サプライチェーンは本質的に大きなコミュニティであり、これを前提とした考えが役立ちます。パートナーやベンダーと協力することで集団の耐性を強化し、サイバーリスクに対する姿勢を作り上げます。

‍