ソリューション事例サプライチェーンで考える
サイバーセキュリティ
SUPPLY CHAIN
近年、サプライチェーン攻撃が増加しており、
多くの企業や組織が被害を受けています。
現代のビジネスはサプライチェーンに依存しており、
複数の企業や業界が関与していることでデータや
情報が複数の場所でやりとりされるため、
これによるサイバーセキュリティの脆弱性はビジネスに
対して深刻なリスクをもたらす可能性があります。
特に2022年3月に起きた大手国内自動車メーカーに
おけるランサムウェア被害は、
まさにサプライチェーン上のセキュリティリスクを象徴する
事例となりました。
ただしその一方で、下流の中小企業では
セキュリティ対策にさけるリソースが少ないという
実情があります。
サプライチェーン全体で実現可能な
セキュリティ対策について、今こそ見直しが必要です。
深刻度を増すサプライチェーン攻撃
-
ビジネス上のつながりを悪用した
攻撃の拡大昨今の巧妙化されたビジネスメール詐欺をはじめ、関連会社や子会社、取引先など、業務上のつながり(ビジネスサプライチェーン)を利用して標的組織に被害を及ぼす攻撃が急増しています。
-
アウトソース先を経由した
サプライチェーン攻撃の増加組織のIT環境は、運用や保守をアウトソースすることで様々なパートナー会社との連携によって成り立っています。これら運用サービスなどの提供会社を先に侵害することで、標的組織に被害を及ぼす攻撃も確認されています。
-
DX化で拡大するシステム連携経由の
攻撃リスクDX化により企業の基幹業務システムは様々なサプライヤーとの連携性を高めています。この業務システムを提供している企業や、共有して利用するパートナーを侵害することで標的組織に被害を及ぼす攻撃も確認されています。
サプライチェーンセキュリティは
なぜ難しいのか？
-
予算感の違い
サプライチェーンの構造では、その組織群の頂点となる上流企業が存在し、それに紐づき1次,２次…と縦型の構造になることが多く、上流企業と下流企業ではセキュリティに費やせる予算や人材に開きがあります。
-
用意できる人材の違い
上流企業がCSIRTやSOCといったセキュリティ体制を講じても、それに連なるサプライチェーン全体で足並みをそろえるべく追随することは困難です。また上流企業がサプライチェーン全てのセキュリティ体制を巻き取ることも非現実的です。
-
セキュリティに対する認識の違い
経産省のガイドラインをはじめ、多くの業界に特有のサプライチェーンセキュリティへの推奨事項が存在します。しかし記載内容の実施については企業毎でとらえ方や認識が異なり一体となった対策を講じることは難しいのが現状です。
サプライチェーンのセキュリティ対策にAppGuard
-
取引先経由の攻撃も、
実行前に阻止取引先から送付されたファイルやメールを起点とする攻撃に対し、AppGuardは仕掛けられた不正な命令を実行要求段階で阻止します。侵入を「検知」するのではなく、攻撃を成立させるために必要な命令そのものを止める「要塞化」アプローチです。セキュリティ対策に割けるリソース（予算・人材）が異なる取引先との信頼関係を悪用した攻撃であっても、自社システム側で被害を確実にブロックします。
-
他社のセキュリティ強度に
依存しない防御構造運用保守を委託するパートナーが使用する正規ツールや管理用アカウントが悪用されても、AppGuardは攻撃につながる不正な命令の実行を許可しません。パートナー側のセキュリティ強度や体制に依存せず、自社の重要システムへの侵害を「要塞化」によって防ぎます。これにより、たとえ特権アクセスが悪用されても攻撃の実行を阻止し、システムの侵害を防ぎます。
-
複雑化するシステム連携を
要塞化で守るDXにより連携が複雑化したシステムやサポート終了OSなどセキュリティパッチ適用が困難な基幹システムを「要塞化」します。連携先のシステムが侵害されても、あるいは未知の脆弱性を突かれても、攻撃コードの実行につながる不正な命令を実行要求段階で遮断。システムの可用性を維持しつつ、連携先のセキュリティ体制に左右されることなく、連携の隙を突く攻撃を検知に頼らず無力化します。