トヨタ自動車のサプライヤーである小島工業は、2月に が報じたサイバー攻撃 に見舞われ、これにより14 カ所の工場にわたる28 のトヨタ生産ラインが停止を余儀なくされ、サプライチェーンに深刻な支障が生じました。 4か月後、またしてもサプライチェーンの混乱が生じた中、日本の自動車用ホースメーカーであるニチリンは、 の米国子会社である がランサムウェア攻撃の被害に遭ったと報告しました。これにより、同社はネットワークをオフラインにせざるを得なくなり、生産する特殊部品の数を制限せざるを得なくなりました。
の調査によると、このようなサプライチェーン攻撃が増加傾向にあることが示されています（）。そして、米国政府もこの事態に注目しています。
5月、米国国立標準技術研究所（NIST）は、サイバー攻撃からサプライチェーンを保護するための326ページにわたるフレームワーク「 」（ ）を発表しました。一方、サイバーセキュリティ安全審査委員会（CSRB）は7月、Log4j 件の脆弱性の検証結果に基づくサイバーセキュリティに関する提言をまとめた報告書「」（ ）を発表しました。 ごく最近、行政管理予算局（OMB）は、連邦政府機関が共通のサイバーセキュリティ慣行に従って開発されたソフトウェアを使用することを確実にするため、「 」に関するガイダンス（ ）を公表しました。 また、これに関連して、米国証券取引委員会（ , SEC）は、 において、上場企業の経営幹部および取締役会に対し、サイバーセキュリティインシデントを速やかに開示し、組織のセキュリティに関する監督体制を強化することを義務付ける案を提示しました。
サイバーセキュリティ評価会社「SecurityScorecard」のパートナーシップ・政府渉外担当シニアディレクター、ケイト・レデスマ氏は、最近相次いでいる政府による勧告の多さは注目に値すると述べています。 このガイダンスは、過去数年間に発生した一連の重大なサイバーセキュリティインシデント―― Log4j や 、SolarWinds へのハッキング事件など――を受けて発表されたものです。 こうした出来事は、 経営陣や取締役会レベルで、安全なソフトウェア開発やその他のデジタルセキュリティ対策の重要性について 強い関心を喚起したと、彼女は述べています。
「政府が使用する製品には、このセキュリティの基準が組み込まれることになります。これは、政府以外で製品を購入するすべての人々にとっても有益です。」SecurityScorecardのパートナーシップおよび政府渉外担当シニアディレクター、ケイト・レデスマ氏
「現在、政府は『当社と取引を行うには、こうした資料の提出が必要だ』と述べており、これは業界全体を大いに前進させるものとなっています」とレデスマ氏は述べています。 「政府が使用する製品には、このセキュリティの基準が組み込まれることになります。これにより、政府以外の方を含め、購入されるすべての方にとって有益となります。」 「彼らは、公共部門だけでなく、エコシステムに関わるすべての関係者がこれらの問題に注目し、対応していることを示しており、すべての人々のセキュリティの向上に貢献しているのです。」
レデスマ氏は、最近の政府の指針から得られた4つのポイントに加え、組織がどのように対応すべきかについて、自身の専門的なアドバイスも共有しました。
1. ソフトウェアの機能性は過去のものとなり、ソフトウェアのセキュリティが重視されるようになりました
レデスマ氏によると、ここ数年、ソフトウェアの機能性を最優先することから、ソフトウェアのセキュリティを最優先することへと、方針を転換する組織が増えているとのことです。 OMB（行政管理予算局）による新たなセキュリティ指針に関するホワイトハウスのプレスリリースの中で、連邦CISO（最高情報セキュリティ責任者）兼国家サイバー担当副局長であるクリス・デルーシャ氏は、この優先事項を次のように強調しました。「つい最近まで、ソフトウェアの品質に関する唯一の真の基準は、宣伝どおりに機能するかどうかだけでした」と彼は記しています。 「連邦機関が直面しているサイバー脅威を踏まえ、私たちの技術は、強靭かつ安全なものとなるよう開発されなければなりません。そうすることで、米国国民への重要なサービスの提供を確保しつつ、米国国民のデータを保護し、 外国の敵対勢力 から身を守ることができるのです。」
「つい最近まで、ソフトウェアの品質を判断する唯一の基準は、宣伝どおりに動作するかどうかだけでした。」クリス・デルーシャ氏、連邦政府の最高情報セキュリティ責任者（CISO）兼国家サイバー担当副局長
レデスマ氏は、ソフトウェア開発者はNISTのソフトウェアセキュリティ開発フレームワークに沿った実践を導入すべきだと述べています。 同氏は、この枠組みでは組織全体での取り組みが重視されており、安全なソフトウェア開発はもはや開発者だけの責任ではないと付け加えています。 「ベンダー、ユーザー、バイヤーなど、すべての関係者が協力し、この問題に対処するためのツールや枠組みを整える必要があります」と彼女は述べています。
2。 文書化と一貫性は極めて重要です
レデスマ氏は、組織はセキュアなソフトウェア開発における一貫性を文書化し、実証することを最優先すべきだと述べています。 例えば、ホワイトハウスは最近、 に基づき、CISA およびOMBに対し、ソフトウェアベンダーが政府に販売する技術がNISTのセキュリティガイドラインを満たしていることを確認するために使用しなければならない共通の書式を作成するよう指示しました。
[関連記事：最近、サプライチェーンの問題についてよく耳にしますが、ソフトウェアのサプライチェーンには特別な保護が必要です。その防御方法をご紹介します]
レデスマ氏によると、この措置は、ユーザーや政府機関が自組織のセキュリティ状況を説明する方法を合理化するための取り組みの一環として行われたとのことです。 「組織Aと組織Bは、同じことを異なる2つの言い方で表現しているかもしれませんが、それらは同じことを指しているのでしょうか？」 と彼女は言います。 「それぞれの取り組みは、互いに同等の安全性を確保できているのでしょうか？ 「この自己申告制度は、ユーザー、とりわけ代理店にとって、同等の条件で比較を行う上で大いに役立つことでしょう。」
3。 自動化こそが未来です
NISTのフレームワークでは、人的負担を軽減し、精度を向上させ、反復可能なプロセスを効率化するために、 の自動化 が求められています。 これには、ワークフローの追跡、改ざん不可能な記録ログを作成するための署名機能、ツールの継続的な監視、およびツールに関連する運用上・セキュリティ上の問題のログ記録といったタスクが含まれます。 レデスマ氏は、組織が今日求められる規模とスピードで事業を展開するためには、自動化が唯一の選択肢であると述べています。
「単に運用可能であるだけではもはや不十分です。ツールは、運用可能であると同時に、安全でなければなりません。」レデスマ
「これは、ベンダーとソフトウェア購入者の双方に、リスク評価を行い、ソフトウェア製品が安全であるかどうかを検証するためのツールを提供することなのです」と彼女は述べています。 「単に運用可能であるだけではもはや不十分です。ツールは、運用可能であると同時に、安全でなければなりません。」
4。 リスクに基づくセキュリティアプローチは、成果に焦点を当てなければなりません
NISTのフレームワークは成果に重点を置いていますが、その達成方法については具体的な指示を定めていません。 また、組織に対し、 に示されているリスクベースのアプローチを採用し（ ）、必要に応じて戦略を調整するよう推奨しています。 レデスマ氏は、 の成果ベースの実践（ ）という概念自体は目新しいものではありませんが、決して容易なものではないと述べています。「NISTフレームワークは、エコシステム内のすべての組織に共通の出発点を提供し、私たち全員が同じ言葉で話せるようにしてくれるのです。」
レデスマ氏は、組織が政府の指針から得られる価値は、その組織のセキュリティ対策の成熟度によって左右されると付け加えています。 体制がまだ整っていない組織は、まずプロセスや手順の基礎となる枠組みを構築することから始めるのがよいでしょう。一方、より成熟した組織は、その枠組みを活用して、プロセスや手順をさらに洗練・発展させていくことができます。
「NISTのフレームワークが本質的に重視しているのは、ただ一つ、セキュリティです」と彼女は言います。 「そして、これはセキュリティのエコシステムに関する問題でもあります。ご存知の通り、組織間のつながりがあるため、ある組織のセキュリティ対策は、そのパートナー、ベンダー、そして顧客のセキュリティにも影響を及ぼすからです。」 「政府の指針により、すべての関係者に対する基準が引き上げられました。」
