サプライチェーンリスクとは、サプライチェーンが何らかのトラブルで滞る・途絶えるリスクのことをいいます。
従来は物理的なリスクが主となっていましたが、現在ではサイバー攻撃が最も重大なリスクとして捉えられるようになってきており、サプライチェーンリスクといえば情報セキュリティ上のリスクを指すようになっています。
今回は、サプライチェーンリスクの定義や種類・対策方法まで解説します。

サプライチェーンとは

サプライチェーンとは、自社製品が企画され、原料の調達、製造、輸送、販売を経てエンドユーザーに届くまでのプロセスのことで、多数の事業者（サプライヤー）が関与しています。

サプライチェーンリスクとは

冒頭でもご紹介したように、サプライチェーンリスクはサプライチェーンが何らかのトラブルで滞る・途絶えることにより、自社製品やサービスの供給がストップしてしまうリスクのことをいいます。
現在では、サプライチェーンを効率的に管理運用するためのICT活用が進んでおり、サプライヤーのトラブルや自然災害などの物理的リスクよりも、悪意のある第三者によるサイバー攻撃がサプライチェーンリスクとして捉えられるようになっています。サプライチェーンリスクを引き起こすサプライチェーン攻撃は主に次の３種類です。

​​ビジネスサプライチェーン攻撃

​​ビジネスサプライチェーン攻撃では、​​標的企業とする企業を直接攻撃するのではなく、委託先や子会社​​を​攻撃します。標的企業のサプライチェーンの中でセキュリティが脆弱なシステムを有する企業を狙って侵入し、そこを踏み台にして最終的な標的企業のネットワークやシステムに不正アクセスをしてきます。自社は厳重なセキュリティを維持していても、委託先や提携企業のセキュリティが脆弱であれば、重大な企業秘密を漏洩するリスクがあるのです。

サービスサプライチェーン攻撃

サービスサプライチェーン攻撃では、​標的企業が導入しているクラウドサービスや外部ITプロバイダーなどサービスの提供元に攻撃を仕掛けます。サービス提供者のシステムやデータに​不正​アクセスし、サービスが提供されている回線などを通じて​​標的企業へ不正アクセスをします。また、サービスの提供元が何らかのマルウェアに感染すると、利用している企業にも影響が及ぶリスクもあります。利用サービスのセキュリティの脆弱さも自社のリスクになりえるのです。

ソフトウェアサプライチェーン攻撃

ソフトウェアサプライチェーン攻撃とはソフトウェアの開発・提供の段階で侵入をして不正なコードやマルウェアを仕掛ける攻撃方法です。他の２種類とは少し異なり、標的企業があっての攻撃ではなく、不特定多数に向けた攻撃であることがほとんどです。ソフトウェアが提供される時点ですでに不正コードやマルウェアが仕掛けられていることになりますので、知らずに利用することで多大な被害を産む可能性があります。また、新規のソフトウェアだけではなくアップデートの際に不正プログラムをばら撒くという攻撃方法もあります。これまで問題なく使用していたソフトウェアをアップデートしたら、そのタイミングでマルウェアに感染してしまうといったリスクがあるのです。

サプライチェーンリスクを軽減するための対策

サプライチェーンリスクを軽減するための対策についてご紹介します

自社セキュリティの確認と対策

まずは、クラウド、ネットワーク、メール環境、アクセス制御など、各ポイントで自社内のセキュリティ対策が十分になされているのかを確認し、必要に応じて対策を強化します。外部からの不正アクセスだけではなく内部不正にも備えなければならないので、IT資産管理や操作ログの取得などの対策も必要です。他サプライヤーからの影響でセキュリティが脅かされる可能性はありますが、反対に自社のセキュリティの脆弱さがサプライヤーへの被害を与えてしまうこともあります。自社が起点となることがないようにしましょう。

委託先、子会社、導入商品のリスク評価を行う

前述の通り、自社のセキュリティを強化していても委託先や子会社のリスクが脆弱であればそこから不正アクセスをされてしまい、最終的に自社へも到達する恐れがあります。自社だけではなく委託先や子会社のリスク評価を行い、委託先は慎重に選定しましょう。「ISMS認証」の取得有無は安心して提携して良いかの一つの判断ポイントになります。子会社に対しては、必要に応じてリスクマネジメントの強化を求めましょう。また、何らかのシステムを導入する​際にも、十分なセキュリティ対策がなされているのかを確認することも重要です。

セキュリティ契約を結ぶ

対策をしていてもサプライチェーンにおいて何らかのトラブルが発生する可能性はあります。問題発生時に円滑に対処するために、サプライチェーン企業とセキュリティ契約を結んでおきましょう。契約によって責任の所在が明確になっていれば、その後の対処をスムーズに行うことができ、被害の拡大を防ぐことができます。

まとめ

現代におけるサプライチェーンリスクは、主にサイバー攻撃による情報セキュリティ上のリスクです。自社のセキュリティを強化するのはもちろんのこと、委託先や子会社、導入システムなどのセキュリティ対策についても十分に検討・対策することが求められているといえるでしょう。

京阪神エリアの「輸送・保管・荷役・流通加工」に関してのご相談は、水岩運送株式会社までご相談ください。
https://mizuiwa-un.co.jp/

お客様と共に考えさせていただき、最適なご提案を致します。