ロシアのウクライナ侵攻の影響で、黒海等で商船140隻が足止めを食い、船員1,000人以上の食料不足が危機的な状況に陥ったとのニュースが生々しく伝えられました。海軍であれば、洋上補給（UNREP）を行える補給艦が配備されているため、食料補給には困らない訳ですが、通常、商船はそこまですることはありません。しかし、現実に紛争で食料の供給がストップしてしまいましたし、ビジネスは言うに及ばず従業員を含めた安全の観点からは大問題です。
デジタルでつながった「海」に浮かぶ我々の「ビジネス船」は、紛争時にも新鮮な食料（データ）の補給（サプライ）を受け取れるでしょうか？ 実は、国際的なサプライチェーンのセキュリティには、日本の実務には無い仕組みが隠されています。
（ここから引用）
紛争時のサプライチェーン確保に向けた5つの手段
May 22, 2022
SOURCE: SupplyChainBrain
By Steve Durbin
SCB Contributor/ISF Chief Executive
インフレ率の上昇、物価の高騰、先行き不透明な景気回復、進行中のロシア＝ウクライナ危機などに現れているように、2022年の世界経済はかなり厳しいスタートとなりました。このような不安定な情勢を背景に、サプライチェーンに連なる会社は、事業の中断、インフラのセキュリティや安全性、機密データの盗難や紛失、ランサムウェアなどの悪質なサイバー攻撃の多発など、大きなリスクと強いプレッシャーに悩まされているのが実情です。セキュリティ研究者の間では、ロシア紛争で少なくとも4種類の「ワイパーマルウェア」（システムを消去し、情報を破壊するマルウェア）が放たれたことが確認されました。実際のところ、私たちの世界では、壊滅的な巻き添えとなった被害をもたらし、最大で半年分以上の利益を帳消しにするほどの被害を引き起こすことが知られているNotPetyaタイプのサイバー攻撃を再び受け入れる余裕はないのです。
ところが、今日のグローバル経済は非常に密接に絡み合っているため、サイバー防衛体制も各組織個別に成り立つことはできません。むしろ、サプライチェーンのパートナーや二次サプライヤーなどの他の階層をも含むサイバーエコシステム全体にわたって対策が講じられなければならないのです。企業もサプライヤーも、サイバーリスクが発現した時点で、そのリスクを積極的に排除するための集団的なレジリエンスを形成する必要があるのです。それでは、潜在的なリスクを軽減し、より優れた防御力を身につけるために、企業は何をすればよいのでしょうか。
継続的にサプライヤーのインベントリを検証
レジリエンス戦略において重要な基礎となるのは、一つのビジネスが、そのサプライチェーンに起因して受ける被害の程度を把握しておくことです。したがって、組織は、アウトソーシングしているサービスの正確な性質（例えば、ソフトウェアの設計と開発）、サプライヤーが製造している製品のタイプ（例えば、ハードウェアやネットワーク製品）、およびその主要な地理的位置に関する最新の詳細を把握しておく必要があります。さらに、サプライチェーンにある情報機器やソフトウェアあるいはプロセスに予期せぬ異常が発生した場合、それを主要な担当者に通知する手段として、テクノロジーを活用することが求められます。
日常的なリスク評価の実施
サプライチェーンの環境は絶えず変化し続けているため、企業にとって、自社のエコシステム全体のサイバーリスク状況をリアルタイムに把握し続けることが重要な意味を持ちます。具体的には、セキュリティ、プライバシー、ファイナンス、品質、地政学的リスクなど、さまざまなリスクをモニタリングする必要があるのです。例えば、リスクの高い地域に存在し、混乱に対して最も影響を受けやすいサプライヤーなど、その重要性および地理的な位置に基づいてサプライヤーの位置づけを決定するところから始めてみましょう。とりわけ、直近に契約解除したサプライヤーや新たに獲得したサプライヤーには、さまざまな形のリスクが存在する可能性があるため、優先度を高くしておきます。また、それぞれのサプライヤーの状況（法的、財務的、資本的、生産的な変化）をモニタリングし、その変化が、規制上の義務、リスク許容度、事業環境など、自社特有のニーズに合っているかどうかを評価します。そして、これまでに問題のあったサプライヤーやリスクの高いサプライヤーのチェックリストを作成するのです。
リスクの高い（またはリスクが明確でない）サプライヤーに集中
サイバー犯罪者は、有力なサプライヤーを積極的にターゲットにしていることが知られています。大規模な組織では、日常的に何百ものサプライヤーに依存しているため、最も高いリスクを抱えるサプライヤーに焦点を当てることが得策でしょう。また、重要なサプライヤーは、統一されたセキュリティレベルを実現するために、できればサプライチェーンオーナーと同等のセキュリティ標準を遵守することが求められます。まずは、供給プロセスと手続きの文書化を行い、すべての主要な担当者が常に最新の情報を確認できるようにします。また、監視ツール（オープンソースの自動アラートシステムなど）を導入し、SSL証明書が最新であることを確認したり、非侵入型のサーフェススキャンを実行したりすることも考えられます。そうして、ソフトウェアの脆弱性に対しては、優先的に迅速な修正を施すようベンダーに働きかけます。さらに、ソフトウェアサプライチェーン全体でソフトウェアのアーティファクトの整合性を確保するためのエンドツーエンドのフレームワーク（SLSA）やソフトウェア部品表（SBOM）など、サプライチェーンのセキュリティを評価するための施策や枠組みを導入すると良いでしょう。
サプライヤーとの契約解除プロセスの導入
昨年、30%の企業が、受け入れがたいサイバーリスクがあるとして、サードパーティベンダーとのパートナーシップを解消しています。政治的またはビジネス上の理由で、特定の地域でのビジネスを中止することが決定された場合、セキュリティを考慮した上でサプライヤーの契約を解除するようにします。これには、データ消去の技術を駆使してすべての情報を消去すること、物理的およびネットワークへの全アクセス権を削除すること、クラウドベースの共有データを含むすべてのユーザーアクセス権を無効にすることなどが含まれます。
インシデント対応計画の実施
とりわけ政情が不安定な時期には、鍵となるサプライヤーが影響を被ったり、孤立したりするシナリオを常に想定しておく必要があります。さまざまなシナリオを使用したワークショップを用意し、社内の利害関係者とサプライヤーの双方と卓上サイバーセキュリティ演習を実施します。また、サプライチェーンのパートナーとの間では、脆弱性やインシデントの通知に関する手順を定めておきます。サプライチェーンにおけるインシデント対応のための協力的な役割分担と体制、そしてプロセスを確立するのです。さらに、必要に応じて、得られた教訓に関しても協力して、共同作業の手順を微調整します。その際には、サプライヤーのサイバーセキュリティのベストプラクティスを向上させるための助言や指導も行い、サプライヤーのインシデント対応のメカニズムの構築もサポートするのです。
現実的には、サプライヤーに混乱が生じるのは何も今に始まったことではなく、その不安定な振り子は常に前後に揺れているのです。もちろん、ますます多くの企業が「ハイパーコネクティビティ」を取り入れるようになれば、サプライヤーによるサイバーリスクは高まる一方でしょう。ビジネスが変動や混乱に強いものになるためには、企業は、サプライヤーの獲得から契約解除までのライフサイクル全体を通じてサプライヤーのリスクを特定するための予防的なプロセスに投資しなければなりません。かの有名なジョン・ロックが遺した言葉に次のようなものがあります。
「世界に対する唯一の防御法は、世界を徹底的に知ることである。」
（引用おわり）
皆さまはどう思われますか。私がこのブログを読んだときに感じたのは、サプライチェーンはまさに「契約の束」であって、これがプッツンと切れた時のことを想定していないセキュリティなんて、本当はあり得ない、という切実な焦燥感でした。いま当たり前にあり、もっと良くしていきたい関係性が、いきなり無くなった時のことまでを想定しておく。このドライな契約感覚は、確かに、昨今の政情不安の中では必須のエッセンスかもしれません。
ISFのサプライチェーンセキュリティ・ツールの詳細を見直してみると、こうしたドライな感覚に裏打ちされた交渉や協調の織り成す手順が要領よくファブリックになっていたことに気づかされます。そうした知恵を実務手順に織り込んだセキュリティプロフェッショナルの必携ツール14個が、さらに新しくなり、The ISF Aligned Tools Suite 2022としてISFメンバーに共有されました（非メンバーの一般の方々への概要公開はATS2020まで）。中でも特に、Supply Chain suiteは、リスクベースでサプライヤーを継続的に評価できる工夫が満載です。絶えずアシュアランスが求められるサプライチェーンの海の上でも新鮮な食料（データ）の供給を止めないためには無くてはならない仕掛けとも言えましょう。
小原：hiro.ohara@securityforum.org
