サプライチェーンセキュリティ問題は待ったなし
3月初めに、日本でも有数のサプライチェーンがランサムウェア攻撃によって丸一日ダウンするという事件が発生しました。関係者の対応は迅速かつ的確で、おそらく今の日本のサプライチェーンセキュリティの一つの到達点が示されたのだと考えます（事件の詳細は関連報道等に委ねます）。とは言え、民間企業だけでなく日本政府も関連省庁もヒヤッとしたようで、本邦もいよいよサプライチェーンセキュリティに本腰が入ることでしょう。
しかし、問題の本丸は「グローバル」サプライチェーンです。それは、チェーンとして一本で繋がっているのではなく、まるで蜘の巣のようなものが、国境を越えて、何層にも重なりあい絡み合っていて、生き物のように変化を続けています。これを現わすのはサプライチェーンというよりも、「供給網」という日本語がより適切だと思いますので、以下では、そのような実態を表現する際にこの用語を使うことにします。
国内スナップショット方式からの脱却
さて、毎月少しずつご紹介しているISF（欧米のグローバル企業を中核とするセキュリティ互助会（NPO））でも、サプライチェーンセキュリティの知恵と経験の共有は頻繁に行われるようになってきました。ISFの専門チームは、メンバーのニーズに応えて、この数年でいくつかのツールやメソッドを体系的に積み上げてきており、2020年の「継続的なセキュリティ保証」メソッドのリリースによりサプライチェーンの七つ道具が完成しました。既存のベンチ―マークやISFスタンダードともつながり、サプライヤーの成熟度の比較をグローバル規模で継続的に行うことが可能になったのです。今年はウェブの対応ツールが準備されています。また、実務展開を確かにするために、危機管理対応演習をサポートするコンサルティングサービスも、BCP視点だけでなく、業界の特殊要因を織り込んだり、サプライチェーンを視野に入れたりと、一層高度な内容に進化しています。
グローバル供給網を操るための三課題
そこで今回は、日本の国内サプライチェーンセキュリティ体系を、「グローバル供給網」に広げるときに、何が必要か考えてみたいと思います。ポイントは3点です。一つ目は、スナップショットのセキュリティ監査で安心することなく、「継続的な保証」プログラムを作るコツ。二つ目は、国内チェーンから「グローバル供給網」に視野を広げる場合の鍵。そして、三つ目は、関係当事者にセキュリティシナリオに沿って実際に踊ってもらう「振り付け」の算段、です。
このために、今月は2本の異なるISF Blogを読んでみました。そして得た結論は5点です。これは、最後の段落で整理することにします。
「継続的な保証」を「グローバル供給網」に
さて、三つの課題の内、最初の二つを取り上げます。いつものように、ISFのSteve Durbinのブログを読んで、筆者なりに解答を引き出したいと思います。
（ここから引用）
供給網の継続的な保証という大仕事
SOURCE: Forbes
April 16, 2021
Steve Durbin Chief Executive, ISF
供給網（サプライチェーン）に、需要に応じた弾力性や即応性を持たせて、ビジネスの果実を得るというのは、一つの大仕事です。複数の大陸をまたがるネットワークを一つ構築するにも、必然的に高度な複雑さが伴ってきます。ロジスティクスを調整するのは、そのうちの一端にすぎません。企業としては、供給網の中のすべての結節点でセキュリティが適切に保たれていることを確認するために、監視する必要があります。
この途方もない仕事には、メーカー、サプライヤー、流通業者、税関当局など、数え上げればきりがないほどの関係者が、複雑な網の目を縫うように無駄なく協力し合う必要があります。供給網が継続的に保証されれば、そのプロセスは安全な管理状態に置かれ、厳しい諸規制にも沿うものにもなりますが、慎重な計画や分析が求められるものでもあります。
潜在的な脅威の特定
大企業となれば、必然的に何千ものサプライヤーと連携しなければならない訳ですが、供給網を管理するというのは複雑なだけでなく思わず怯んでしまうような仕事です。ガートナー社によると、「89%の企業が過去5年間にサプライヤーのリスク事象を経験したことがある」とのことです。
これから起こりそうな脅威を見極めて、階層システム、つまり一種の行動順位決定システムを展開して、最初に最大リスクに確実に対処できるようにしておくことが命運を左右します。現実には、リソースは有限であるため、優先順位が重要なのです。また、セキュリティ対応には利便性や効率性とのバランスも重要です。
曇りのない目で見るには、まず自問することから始めます。供給網の中で、各サプライヤーやパートナーは、どのような役割を担っているかを考えてみます。
・どのようなデータを処理しているのか？
・ある特定のサービスが停止したらどのような影響があるのか？
・どの会社がインターネットに接続しているか？
・インシデントが発生した場合、自社が曝される危険はどのようなものか？
その上で、すべての脅威を特定し、順位付けをしてみます。
信頼を確立する
信頼関係を築くことは、どのような取引関係においても重要ですが、それは容易ではありません。契約全てにおいて、セキュリティ上の期待値を明確に示さなければいけません。サプライヤーにはアンケートに自己評価を記入してもらいますが、調査や監査でそれをフォローする必要があります。とは言え、アンケートの自己評価は、必ずしも正直に記入されているとは限らないということもありますが、分析して意味のあるデータを抽出するためには、それなりにリソースが必要です。また、たとえリソースが得られても、本当に欲しいリアルタイムの情報ではなく、セキュリティスタンダードに照らしたスナップショットしか得られないことも、ままあります。
ネットワークへのアクセスを許可している主要なベンダーや戦略的パートナーなどと密接に連携するには、体系化されたガバナンスを採用しつつ、オープンなコミュニケーションを促進することも重要です。強固でオープンかつ誠実な関係を築くには努力が必要ですが、問題に対して、契約違反として相手を責めるのではなく、一緒に解決できる関係になるのであれば、その努力に見合うだけの価値があります。
自己評価アンケートは、その結果を見極める必要があるサプライヤーを炙り出し、優先順位を付けるための、最も高い効果が得られるツールかもしれません。サプライヤーの下請け会社についても検討し、必要に応じて評価を加え、自社の基準を遵守しているか、忘れずに確認しておくことです。信頼関係を構築することは良いことですが、オペレーションをある程度まで可視化しておくことも重要です。
リアルタイムの可視性
重要と位置付けたサプライヤーを継続的に観察し続けるためには、定例会議や査定報告書に加えて、侵入テスト等あらゆるものを導入することになります。脆弱性を調査し、セキュリティインシデントが発生していないかサプライヤーを監視するのです。サプライヤーのシステムにパッチを当ててもらい、可能な限りリアルタイムで進捗を観察します。そうやってサプライヤーのデータとプロセスを自社のインフラにしっかりと統合して、分析を行うことで、潜在的なリスクが顕在化する前に特定され、アラートが上がるようにするのです。
また、自社で脅威インテリジェンスのモニタリングを行っているのであれば、それをサプライヤーに展開することも有効でしょう。新たにパートナーのドメインが標的にされることを予期して、標的型攻撃の可能性を追跡します。また、重要なパッチの適用状況や、ソフトウェアパートナーで発生した脆弱性についても確認しておきます。問題が発見された場合に、その問題を解決するために話し合うプロセスが存在し、いつでも意思疎通できる状態になっていることを確かめます。
柔軟性のある現実的なアプローチをとる
発生が避けられない問題を管理し、必要な場所にすべて間に合うように届くようなエレガントな解決策を見出すというのは、今なお難題です。そうした対応プロセスにおいても、機密データの保護は必要です。そこで、いざという時には、ルートやサプライヤーを変更できるよう、選択肢を用意し、柔軟性のある対応を準備しておくことが肝要です。
継続的に保証を獲得するには、やり抜く決意に加えて、信頼と検査のバランスも必要です。必要なもの全てを提供してくれる単一の戦略やツールなどはありません。どんなに突き詰めていっても、自社の供給網全体をリアルタイムで完全に把握することは、ほぼ不可能なため、現実的に考えて、最大のリスクが潜む場所に焦点を当てるのが賢明ということになります。
（引用ここまで）
「継続的な保証」と「グローバル供給網」のための解
あれ？と思う様な一言で結んでいますが、相当程度にやることをやったうえで、リスクのレンズを通してみてみる、ということかと理解しました。この短いエッセーを読んでみて、筆者が引き出した、我々が日本において参考にできると思った、課題解決のポイントは四つあります。
まず、Steveが言っていないこと。「英語」です。英国人の彼には当たり前ですが、日本企業にとって必ずしもできていないのが、英語によるセキュリティ体系の構築、さらに、それをベースとしたセキュリティ「契約」、そして信頼構築のための「オープンコミュニケーション」の維持の三つではないでしょうか。
確かに各種のデジタルツールは必要ですし、あればあるに越したことはない訳ですが、ツール偏重となってしまうと、黙ってアラートを見ているだけにもなりがちです。そうした景色からは生まれにくい上述の三つのポイントを、筆者は重要だと考えました。その上で、必要となって来る第四の鍵が、よく練れた「交渉プロセス」ではないでしょうか。交渉にはデータが有用です。サプライヤーのセキュリティ成熟度は、競争相手と比較して上か下か。3年前は自社が直接製造したいたのに、最近は下請けに任せるようになったにもかかわらず、セキュリティ対策の範囲が変わっていない。というような客観的なデータです。その上で、「契約」や「オープンコミュニケーション」をベースに選択肢を探ること。リアルタイムの可視性は、重要には違いありませんが、「交渉プロセス」に資する程度であればよく、むやみにリアルタイム性ばかりを求めてツールへの投資ばかりを増やすことには、若干の異議を唱えたいところです。
「踊ってもらう」算段
さて、仕掛けは上々、交渉も吉と出た、でお終い、にはなりません。数多の関係者にセキュリティ対策のシナリオ通りに踊ってもらってナンボです。所詮サプライヤーは他人の会社。他のバイヤーの力が強ければ、そっちの方に顔が向いてしまいますし、セキュリティ契約を破ったところで、かならずインシデントが起きる訳でもないことからすれば、当社の要請するシナリオに100％従う人ばかり、と思っていたとしたら人が良すぎます。
ここで、ISFという団体に特徴的な「人のココロを捉えるセキュリティ」の話となります。とは言え、たとえ社長が自社の従業員に向かって「セキュリティは大事だ」と述べられたとしても、そう簡単にセキュリティ規程のままに従業員が動いてくれるほど世間は甘くありません。体験して、訓練して、体で覚えていて初めて、無意識に正しく踊れるのです。
そうです、そのための一つの答えが、「振り付け」です。日本でも、重要インフラ事業者を中心にセキュリティインシデント演習が積み重ねられています。皆様の会社ではいかがでしょうか。「振り付け」の良し悪しで、結果に差が出るのは必然です。特に会ったこともない、国も言葉も習慣も違う人々を一緒に舞台に乗せて、はい踊ってください、と言う度胸は、なかなか持ち合わせていないのが普通ではないでしょうか。
「振り付け」の要点はどのようなものでしょうか。まずは、社内に絞ってもこれだけ考えることがある、というポイントをISF主席アナリストに挙げてもらうことにしましょう。
（ここから引用）
優れた演習は文脈次第
SOURCE: ComputerWeeklyCom
22 February 2022
Emma Bickerstaffe
Principal Research Analyst with the ISF
どの企業も、自社従業員が直感的かつ安全に職務を遂行できるように訓練する、インパクトのあるセキュリティ教育プログラムを必要としています。
技術的なソリューションがどんなに進歩したとしても、ヒューマンエラーや過失といったリスクは付き物で、企業が積極的に軽減を図らなければならないものであることには変わりありません。優れたセキュリティ行動を体に覚え込ませて、元に戻らないようにすることは、「人的要因」によって引き起こされるセキュリティインシデントを防止し、特定し、対応するための基本的な対策となります。
こうしたプログラムを自社内で開発して展開した方が良いか、外部のプロバイダに委託すべきなのかは、会社の情報セキュリティ機能の規模や成熟度によって異なってきます。たとえセキュリティ教育プログラムを社内で開発して運営するのに必要な専門的な知識や人的資源のある会社であっても、教育サービスを利用して自社プログラムのアイデアとして取り込むという考え方もあります。
セキュリティ研修プログラムは、従業員がサイバー脅威を判別でき、セキュリティインシデントが起きたこと、またはその疑いのある事象を報告できるように設計されなければなりません。そして、心理学的理論に基づいた一つの総体的プログラムとして展開されるべきです。それには、セキュリティ教育訓練および意識向上プログラム（通称SETAと略されます）が、従業員がセキュリティ的に正しい判断を下せるようになる実践的で独創的なガイドと、組み合わされている必要があります。
例えば、視覚的刺激や音声プロンプトなどを使って、従業員に安全な行動を促しながらも生産性を妨げないようなシステムやアプリケーション、そしてプロセスを開発することで、従業員はSETAで学んだことを積極的に実践できるようになります。大切なのは、そうやって従業員に、利用可能な選択肢が示されるようにしておくことです。
演習サービスを外部調達するのであれば、購入に当たってはコンプライアンス重視の考え方から脱却し、企業の特定の文脈に最も当てはまるソリューションを選択することが求められます。どういう行動がセキュリティに悪影響を及ぼしているのかを理解して初めて、どのようなソリューションの購入が必要なのかが分かるのです。
そのための段取りとしてはまず、従業員がセキュリティ研修にどういう態度で臨むだろうか（多くの場合は企業文化に関連しています）、従業員が与えられた業務をこなす際に端折ってしまいたくなるセキュリティ上の制限事項は何か、セキュリティ対策についての全体的な知識レベルなど、をはっきりさせておくことです。こうした分析を通じて初めて、訓練プログラムには実際に何が必要なのかが特定され、企業にとって最も効果的なソリューションを選択することができるというものです。
訓練プログラムが奏功するためには、受講者の共感が得られなければなりません。それには、期待される知識が得られてスキルや業務効率が上がるような内容であると同時に、従業員がセキュリティ行動を取るのに良い刺激となるような伝え方をしなければなりません。そこで購入に際しては、コンテンツが適切なレベルに調整されているか、必要なら特定の役割や責任に合わせることができるか、また、コンテンツ提供方法が適切かを検討する必要が出てきます。
研修プログラムに期待されるのは、従業員の情報セキュリティに対する認識を高めるような好影響を与えることです。そのためには、ゲーミフィケーションや、短いクイズ、腕試し、謎解き問題など、コンテンツにのめり込む仕掛けによって、プログラムと受講者が相互作用するような形が一般的に求められます。
社員が演習を受け入れようという気になるかどうかは、演習プログラムのスタイルや言語だったり、物語性だったり、口調だったりによることが多いものです。たとえば、演習では、社員がかねてから親しんでいる文化的な規範や価値観、あるいはメッセージの送り方に沿っているでしょうか。また、サービス提供を受けるにも企業の自社ブランドを使って展開したり、自社の経営幹部層が演習の重要性を説く個人的なメッセージを挿入したりすることは可能でしょうか。セキュリティ推進リーダー（Security Champions）を指名するのも、セキュリティ演習効果を確かめるのに、一つの有効な手段となります。
サービス購入に当たっては、演習の形式や頻度も考慮する必要があります。多くの企業では、演習は年1回と決めていますが、特に変化のスピードが速くなっている現在、むしろ短時間で理解を促進するマイクロコンテンツが、学習したものを記憶に留めるには効果的です。異なる学習スタイルも考慮すると良いでしょう。特にグローバル企業では肝心な点です。
セキュリティ演習プログラムは、社内で実施するにしても外部委託するにしても、ただ予算をとってやればいいという選択問題式の訓練ではなく、時間も労力も必要に応じて投じることで、適切なセキュリティ演習プログラムをしっかりと作り込むことが肝要です。人の心は何に動かされて前向きな反応を引き起こすのか、ということを会社として理解してこそ、社員にポジティブな行動変容を促すことができるのです。
（引用ここまで）
「振り付け」の解
極意として読み取ったのは、「共感」でした。共感を引き出すための演出が必要ということでした。また気持ちだけでなく、身体的にも間違いなく踊ってもらうために、視覚や聴覚を意識したガイドという仕掛けも有用だと。プロンプターやビデオのようなイメージでしょうか。
良い演習は文脈次第、ということですが、実は、文脈を読み切ったうえで振り付けを考える、その手腕次第とも言えるのではないでしょうか。
結論
さて、二つのブログを読みながら少しずつ考えを掘り下げてきました。今一度、グローバル供給網の文脈に引き直して考えてみると、「英語」、「契約」、「オープンコミュニケーション」と「交渉プロセス」の四つの要素が重要でした。
ところが人間に焦点を当ててみると、文脈を踏まえた「共感」を引き出す演習が必要で、そのための振り付けを学ばなければいけない、ということが分かりました。「英語」が苦手な人もいる、「契約」の内容など知らない人もいる、「オープンコミュニケーション」や「交渉プロセス」の輪に入っておらず蚊帳の外の人もいる、という中で関係者全員に正しく踊ってもらうには、例えば、非言語ガイドによる振り付けを用意しておくのが賢いのかもしれません。頭で考える理論に基づくセキュリティのプロセスではなく、相手に合わせて「共感してみせる」ものが映し出されているようなものであると良いでしょう。こちらが先に「共感」するから、相手も「共感」する、という演出が究極なのではないでしょうか。
ISFでは、サプライチェーンセキュリティのメソッドを含めて、セキュリティの十数個の道具を取りそろえた”ISF Security Aligned Tools Suite 2020”があり、2022年版のリリースに向けて開発が真っただ中です。このツールの良いのは、グローバル企業の標準となっているだけでなく、一回ごとの課金でもなく従量制でもなく、使いたい放題なので、使えば使うほど安くなる仕組みという点です。また、NPOの事業構造からして、コンサルティングサービスも市場価格を大きく下回ります。Cyber Security Exerciseも人気が高いプログラムです。グローバル企業のセキュリティ予算も青天井ではないことから、ISFのような互助会に参加しながら、削れるものは削っているというのが世の東西を問わず、事業会社の台所事情のようです。
小原：hiro.ohara@securityforum.org
