サプライチェーンのデータ漏えいをどう防ぐ？ 7つの手法を解説：今こそ見直したいサプライチェーンセキュリティ

サプライチェーン組織の脆弱性などをきっかけにデータ漏えいが発生するケースがしばしば見受けられます。本稿はこれを防ぐための7つの対抗策を紹介します。

[藤本 大，SecurityScorecard株式会社]

　サードパーティー（サプライチェーン）由来のリスクへの対処法をお伝えする本連載。第1回では、デューデリジェンス（リスク評価）強化に向けた7つのステップを解説しました。

　第2回は、サイバーセキュリティ対策を強化するための包括的なガイドとなる「サプライチェーン由来のデータ漏えい対応策（インシデントレスポンスに関する手順や要領を整備したチェックリスト）について紹介します。

筆者紹介：藤本 大（SecurityScorecard　日本法人代表取締役社長）

1996年に日本電信電話に入社し、東日本電信電話、NTTコミュニケーションズで法人営業に従事。 製造業、サービス業、金融業等の大手日本企業や外資企業を担当し、ネットワークサービスのみならずさまざまなセキュリティサービスを提供。 2017年にファイア・アイに入社、パートナー営業部長として主に大手通信事業者とのパートナービジネスの拡大に貢献。 2020年7月1日にSecurityScorecardに入社し、2021年6月24日より現職。1971年長崎県長崎市生まれ。青山学院大学国際政治経済学部卒業

サプライチェーン由来のデータ侵害に対抗する7つの方法

　データ漏えいのリスクは、企業や組織にとって常につきまとう懸念となっています。サイバー犯罪者の手口が高度化する今、サイバーセキュリティ戦略の重要な側面の一つに、サプライチェーン由来のデータ侵害への準備と対応があります。潜在的な被害を軽減して迅速な復旧を実現するためには、綿密に構築された対応策が不可欠です。

　ただ、まずは対応策を読み解く前に、サプライチェーンにおけるデータ侵害の本質を把握しましょう。インシデントはサプライチェーンの組織が保有する機密情報が漏えいし、不正アクセスやデータの悪用につながる可能性がある場合に発生します。情報漏えいはサプライチェーンやベンダーとの関係、その他外部とのつながりの脆弱（ぜいじゃく）性が悪用されるケースが多く、サイバーセキュリティの中でも対応が難しい側面があります。

　効果的な対応の基本は、組織内のプロアクティブなサイバーセキュリティ文化にあります。これには意識改革やセキュリティのベストプラクティスに関する従業員のトレーニング、リスク評価の定期的な実施などが含まれます。従業員は最新のフィッシングの手口を知り、強力なパスワードの重要性を理解し、セキュリティプロトコルを順守していなければなりません。

　以下でサプライチェーン由来のデータ侵害に対抗する7つの方法を紹介します。

1．特定と評価

　サプライチェーン由来のデータ侵害に対応するための最初のステップは、インシデントの迅速な特定と評価です。

　役割と責任を明確化したインシデント対応に特化したチームを設置することが極めて重要になります。このチームは状況を迅速に分析し、侵害の範囲を決定し、影響を受けるシステムとデータを特定する機能を備えている必要があります。自動化された監視ツールと脅威インテリジェンスは、この段階で重要な役割を果たし、リアルタイムのアラートとインサイトを提供します。

2．コミュニケーション計画

　データ侵害の影響を管理するには、明確に定義されたコミュニケーション計画が重要です。具体的には、社内外のコミュニケーション戦略の概要を示し、透明性のある協調的なアプローチを確保する必要があります。内部的には、従業員にインシデントについて迅速に通知し、取るべき手順を明確に指示する他、対外的には信頼とコンプライアンスを維持するために、影響を受ける当事者や規制機関、一般市民とのコミュニケーションを慎重に調整すべきでしょう。

3．法規制の順守

　データ侵害に対応する上で、法的および規制での状況を把握することは非常に重要です。対応策には「一般データ保護規則」（GDPR）や「HIPAA」、その他業界特有の要件など、関連する法規制を十分に理解し、それらに関する条項が含まれていなければなりません。これには、情報漏えいを報告するスケジュールや潜在的な法的責任、規制当局の調査に準拠するために必要な手順などを理解することも含まれます。

4．修復と回復

　情報漏えいが特定され、報告された後は、修復と回復の取り組みに焦点が移ります。これには、侵害されたシステムを隔離し、脆弱性にパッチを適用し、影響を受けたデータをバックアップから復元することが含まれます。

　これらをうまく進めるには、ステップ・バイ・ステップのガイドを提供し、正常なオペレーションに修復するための体系的で徹底したアプローチを用意するのがポイントです。

5．継続的改善

　インシデント発生後の分析は、対応策で見落とされがちな重要な要素です。組織はインシデント対応プロセスの包括的なレビューを実施し、弱点やギャップを特定し、改善を実施すべきです。この反復的なアプローチによって、新たなサイバー脅威や組織の変化に合わせて対応策が変化とともにアップデートされます。

6．訓練とシミュレーション演習

　サプライチェーン由来のデータ侵害対応策は、それを実施するチームがあってはじめて効果を発揮します。定期的なトレーニングとシミュレーション演習は、インシデント対応チームが現実のシナリオに対処するための十分な準備が整っていることを確認するために不可欠です。これらの演習は、コミュニケーションを改善やボトルネックを特定し、管理された環境で対応策の有効性をテストするのに役立ちます。

7．パートナーとの協力

　サプライチェーン由来の情報漏えいは多くの場合、外部の組織を巻き込むため、ベンダーやパートナー、その他利害関係者との画一の基準を確立することが極めて重要です。対応策には、サードパーティーとの対応調整や責任ある情報共有、侵害の影響の全体的な軽減に関するガイドラインを含めるべきです。このような体制を事前に構築しておくことで、インシデント発生時の対応プロセスを効率化できます。

　第3回は、サプライチェーン由来のサイバーセキュリティリスクを防ぐためのチェックリストを解説します。