の「SolarWinds攻撃」 は、サイバーセキュリティコミュニティのほぼすべての関係者の注目を集めました。 世の中には、自組織が侵害されなかったことに間違いなく心から感謝している最高情報セキュリティ責任者（CISO）が数多くいます。 しかし、次の大規模なサプライチェーン攻撃の被害に遭わないと断言できる人はいるでしょうか？ だって、また次があるのですから。
サードパーティのソフトウェア、ハードウェア、あるいはサービスプロバイダーのいずれについてであれ、組織は依然として、サイバーリスクに対する保証を提供するにあたり、信頼や手作業によるスプレッドシートベースのアプローチに過度に依存しています。 業界として、私たちはより良い手法を確立する必要があります。それは、豊富な定量データと、信頼性の高い第三者による証明や評価を組み合わせたものです。
もちろん、サプライチェーンを端から端まで管理することとなると、その難しさはさらに増します。 貴社の委託先がさらに委託している先におけるセキュリティ対策について、保証していただけますか？ 世界的な組織は長年にわたりこの問題に苦慮してきましたが、簡単な解決策はありません。 言えることは、サプライチェーンセキュリティのベストプラクティスにおいては、常に可視性――自社のIT資産およびパートナー企業のIT資産に対する可視性――から始めるべきだということです。
こうした「基本に立ち返る」アプローチをとって初めて、リスクの程度を算出するのに役立つ、次のような根本的な問いへの答えを見出し始めることができるのです。「御社のサプライヤーは誰ですか？」 その組織のセキュリティ成熟度はどの程度でしょうか？ 彼らはどのようなデータにアクセスできるのでしょうか？ では、彼らはそれをどのように利用しているのでしょうか？
サプライチェーンの問題点
現代のサプライチェーンは極めて複雑であるため、リスク管理の取り組みがあっという間に手に負えなくなる恐れがあります。 さらに、何十年もの間、多くの組織がサプライヤーのリスクを算出する際、手作業によるプロセスや、過度に単純化された質問（例： のパッチ管理プログラムはありますか？？）に基づいた監査を行ってきたことも、事態を悪化させています。 このアプローチでは、二者択一の回答や、いかなる形の第三者による検証でも裏付けられない極めて主観的な回答が得られる可能性があります。
SolarWinds事件の余波を例に挙げましょう。 一部の組織は、サプライヤーに対して「御社の環境内に、SolarWinds Orionの脆弱性が確認されたバージョンはありましたか？」と尋ねました。 しかし、これによって得られた「はい／いいえ」という回答だけでは、重要なリスク計算の根拠とするには不十分です。 もし当該サプライヤーの資産およびアプリケーション管理プロセスが不十分であった場合、彼ら自身でさえ、その答えを確実に把握していない可能性があります。 そもそも、不完全なデータや不十分なデータに基づいた保証に、一体どのような価値があるのでしょうか？
後ほど詳しく説明しますが、成熟した組織ほど、より自由回答形式の質問を多く行っていました（例：御社では脅威モデリングにどのように取り組んでいますか？ （パッチ管理に対するご自身の取り組みについてご説明ください。） こうしたより包括的な質問に答えることで、サプライヤーのセキュリティについて、より広範な確信を得ることができます。
さらに、一部の組織では、手作業によるスプレッドシートベースのアプローチから脱却し、サプライヤーのセキュリティ態勢をより厳密に評価しようとする技術的なソリューションの導入を試みています。 しかし、多くのサービスは、限られた基準と主観的な評価に基づいて、サプライヤーに関する不完全な「外部からの視点」しか提供できないに留まってしまうでしょう。 それらは包括的ではないため、あまり役に立ちません。
これは氷山の一角に過ぎません。 サプライチェーンのセキュリティに関するその他の課題としては、次のようなものがあります：
セキュリティ／リスク担当チームが関与し始めたのが遅すぎた：
サプライチェーンのガバナンスは、オンボーディングのプロセスにおいて、往々にして手遅れになってから実施されてしまいます。 その頃には、リスクを軽減したり排除したりするには手遅れになっているかもしれません。 セキュリティおよびリスク担当チームは、新しい取引を承認するよう、事業部門から多大なプレッシャーを受けることがあります。 「ノーばかり言う部署」と見なされることを避けたいCISOたちは、そうするしかないと感じているかもしれません。
再認定は行われません：
オンボーディング前の綿密なデューデリジェンスが重要であるのと同様に、その関係性を定期的に再評価することも極めて重要です。 もともと、テストデータのみを使用して、ごく少数の開発者にのみサービスを展開していたSaaSプロバイダーである可能性があります。
現在、そのアプリは数百人の従業員によって利用されており、重要な業務情報を処理している可能性があります。 リスクの推移に応じて、リスクを動的に管理するためには、定期的な再認証が不可欠です。 残念ながら、多くの組織において、サプライチェーンのセキュリティは「一度設定すれば後は放っておけばよい」という扱いになっています。
エンドツーエンドの可視性と保証：
サードパーティのリスク管理も重要ですが、サプライチェーンの上流や下流へと進むほど、その管理は難しくなります。 御社のサプライヤーのサプライヤーについてはいかがでしょうか？ では、そのサプライヤーについてはどうでしょうか？ ここでの課題は、サプライヤーのリスクをエンドツーエンドで管理するための、業界全体で統一されたベストプラクティスが存在しないという点です。
私はサプライヤーに対し、脅威モデルやリスク分析に基づいた詳細なデータの提供を求めていますが、サプライヤーが自社のパートナーを検証するプロセスは、手薄で表面的な検査にとどまっている可能性があります。 サプライチェーンの各構成要素が異なると、エンドツーエンドでの総合的なリスクを評価することは極めて困難になります。
これからどうなるのでしょうか？
どの組織も、ある程度はこうした課題に直面しています。サイバーセキュリティ対策が比較的整備されている組織であっても例外ではありません。 だからこそ、基本に立ち返り、まずは「サプライヤーは誰か」「そのセキュリティの成熟度はどの程度か」「データをどのように利用しているか（あるいは利用していないか）」といった基本的な問いに答えようとするのが有効です。
これは、要するに可視性の問題です。つまり、自社がどのようなIT資産を保有しているか、それら上で何が実行されているか、そしてどのようなサードパーティの依存関係があるかを把握することです。 言うのは簡単ですが、実行するのは必ずしも簡単ではありません。
この透明性は、御社のサプライヤーに対しても同様に確保されなければなりません。 エンドポイントの状況や、どのソフトウェアのバージョンがインストールされているかを把握するためには、IT資産に関する包括的かつ正確なインベントリを提供できる必要があります。 また、リスクを動的に軽減するために、迅速にパッチを適用できる必要があります。
これは、サプライヤーのセキュリティ態勢の全体的な成熟度を評価するための包括的な取り組みの一環であるべきです。つまり、特定の時点における、往々にして不完全なパッチや脆弱性に関するテレメトリデータだけでなく、脅威モデリング、セキュアなソフトウェア開発、セキュリティアーキテクチャなどに対するサプライヤーの取り組みも考慮に入れる必要があります。
「SolarWinds Orionの悪意のあるアップデートを実行していましたか？」といった、具体的な質問に焦点を当てております。 ある時点では一見確実な保証を提供しているように見えますが、次なる世界規模のサイバー攻撃が発生した際には何の役にも立ちません。 効果的なサプライチェーンのセキュリティには、はるかに広範なアプローチが求められます。
こうした定量的なデータが手に入りましたら、第三者による認証や評価と組み合わせることで、各サプライヤーにおけるリスクを360度の視点から把握することができます。 この件に関しては、 や ISO 27001 といった国際規格を参考にされるとよいかもしれません。
最低限の要件を定義し、それらを契約書に盛り込んでください。 これにより、依然として私たちの多くが固執している、恣意的でスプレッドシートに依存した保証手法に代わる、より一貫性があり、データに基づいた手法を構築するのに役立つでしょう。
その他、以下の点にもご留意ください：
- 新しいサプライヤーのデューデリジェンスプロセスにおいては、セキュリティ／リスク担当チームをできるだけ早い段階から関与させてください。 要件は、提供されるサービスの機密性に基づいて設定されるべきです。
- セキュリティの再認証は、定期的に実施し、提供されるサービスの重要度に合わせて行う必要があります。
- 包括的な脅威モデリング／リスク分析を実施し、主な敵対者、彼らがどこを、どのように攻撃してくる可能性があるかをより深く理解しましょう。 これは、サプライチェーンのセキュリティ戦略を策定する上での参考となるでしょう。
- 万が一の事態に備え、サプライヤーが情報漏洩発生時の通知手順を明確に定めていることを確認してください。
- サプライヤーがセキュリティソフトウェアの開発ライフサイクル（SDLC）に対してどのようなアプローチを取っているかを把握してください。具体的には、アプリケーションセキュリティに関して、その開発者はどのような研修を受け、どのような認定を取得しているのでしょうか？ 静的解析と動的解析については、どのようなプロセスを採用しているのでしょうか？
- インシデント対応のプレイブックを策定し、万が一の事態が発生した際に、どのような状態が望ましいかを明確にしておきましょう。
これは網羅的なリストではありませんし、エンドツーエンドのサプライチェーン保証という課題には触れていないことにお気づきになるでしょう。 これは、業界として、より慎重に検討すべき課題です。
IT環境の健全性を把握したいとお考えですか？ エンドポイントの現状を把握し、重大な脆弱性を特定し、サイバーリスクスコアを確認し、ITセキュリティ対策を改善する方法を理解するために、無料のリスク評価（ ）をご依頼ください。
