近年、欧州の大手金融機関向けに策定されたサイバーセキュリティ規制により、数千社に及ぶ中小企業に対し、自社のデジタルセキュリティ体制を強化するよう圧力がかけられています。
の新しい規制（ など、 NIS2 や DORA など）が各業界に波及する中、小規模なサプライヤーであっても、契約や顧客を維持するためには対応を強化せざるを得ず、その結果、トップレベルでのコンプライアンスへの圧力が経済全体のレジリエンスを強化するという、一種の「トリクルダウン型セキュリティ」が促進されています。
サイバーセキュリティの専門家や業界アナリストによると、EU および英国全域で、こうした傾向が見られるとのことです。この地域は、内部の対立や官僚的な摩擦があるにもかかわらず、国境を越えたサイバーセキュリティプロトコルの水準を統一するため、近年、さまざまな国際的な規則や枠組みを可決することに成功しています。
新しい法律や基準にはそれぞれ欠点があり、批判する声も少なからずあるかもしれませんが――世界経済フォーラムによると、サイバーセキュリティ専門家の3分の2 が、規制の量と複雑さの増大をコンプライアンスの大きな障害として挙げています――この法案は、（概して）規制を嫌う傾向にある米国 の、より控えめな取り組みとは著しい対照をなしています。 そして、この新たな「トリクルダウン」の傾向が示すように、複雑さを乗り越え、ITコンプライアンスを優先する 企業は、将来的に大きな利益を得ることになります。
サイバーセキュリティの専門家たちは、重要分野を対象として近年制定された規制、例えば……などを指摘しています。
- NIS2—EU加盟国全体における必須サービスおよび重要インフラの保護に重点を置いた、ネットワーク・情報セキュリティ（NIS）指令のこの改正案は、 2023 年に採択され、2024年に国内法として施行されました。
- DORA（）—金融機関のレジリエンスを強化することを目的とした「デジタル・オペレーション・レジリエンス法（Digital Operations Resilience Act）」が、 2023年に施行されました。
- EUのAI法—人工知能を規制する世界初の法律が 2024年に採択されました。
- GDPR—「世界で最も厳しいデータプライバシー法」と称される一般データ保護規則（GDPR）は、 2018年に施行されました。
- 英国のサイバーセキュリティ・レジリエンス法案—重要な国家インフラへの支援を近代化し、サプライチェーンリスクに対する監督を強化するための枠組みであり、現在英国議会で審議が進められており、 2026年中に成立する見込みです。
…これらはすべて、サイバーサプライチェーン全体に、微妙な（そして時にはそれほど微妙ではない）影響を及ぼし始めています。
その影響は臨界点に達しつつあり、その範囲は欧州をはるかに超えています。米国やその他の非EU企業も、欧州市場で事業を展開する際には、同様にこれらの規制を考慮する必要があります。
「これは単なるトップダウンではなく、サプライチェーン全体に波及しているのです」と、欧州サイバーセキュリティ機構（ECSO）CISOコミュニティのベルギー支部長であるマーク・ヴァエル氏は述べています。同コミュニティは、 の最高情報セキュリティ責任者（CISO） を対象とした、欧州最大の独立系官民連合体です。 「サードパーティだけではありません」と彼は付け加え、「フォースパーティやフィフスパーティも同様です」と述べました。
課題：サイバー規制が厳格化される場合
新しい規制のそれぞれが、独自のプレッシャーをもたらしています。
「これは単なるトップダウンではなく、サプライチェーン全体に波及しているのです。 サードパーティだけでなく、フォースパーティやフィフスパーティも含まれます。”欧州サイバーセキュリティ機構（ECSO）CISOコミュニティのベルギー支部会長、マーク・ヴァエル氏
NIS2 では、元の指令を拡充し、より幅広い必須かつ重要な事業体を対象としています。 DORAは、金融サービス業界に対し、厳格な のインシデント報告、 のガバナンス、および のサードパーティ・リスク要件 を追加します。 AI法とGDPRはさらに一歩踏み込み、透明性と説明責任に関する要件を課しています。 規定を遵守しなかった場合、単に罰金が科されるだけではありません。 多くの場合、取締役は個人として責任を問われる可能性があり、 組織は、 評判の著しい低下や、ビジネスチャンスの喪失といったリスクに直面します。
「実際には、多くの企業がまず『コンプライアンスの最低要件を満たしているか』という問いから始めます。」 「」と、世界をリードするサイバーセキュリティソリューションプロバイダー（そして本誌の発行元）であるTaniumのServiceNowソリューションアーキテクト担当ディレクター、エドウィン・ヴァン・デン・ヘーフェル氏は述べています。 「大手アドバイザーから紙ベースの監査報告書を受け取った後、自分たちがどのような重要な資産を保有しているのかについて、依然として手探りの状態であることに気づくのです。」 サイバーレジリエンスは、実は、ネットワーク上の接続デバイスを 100％可視化することから始まるのです。 何が実行されているのかが分かれば、その保護に取り掛かることができます。
[関連記事：見えないものは守れない――資産の可視性がITおよびセキュリティ運用の基盤である理由]
ヴァン・デン・ヘーフェル氏は、企業がこうしたギャップを認識すると、何が関連しているか、何が重要か、そして何がリスクにさらされているかを洗い出し始める、と指摘しています。
サイバー規制と説明責任の連鎖反応
しかし、規制は内部監査の推進にとどまらず、対外的な関係そのものを再構築する役割も果たしています。
「本当の疑問は、サプライヤーが自社の下請け業者をどのように管理しているかということです。 サイバーセキュリティとは、単に自分の家だけの問題ではなく、他の人たちに手渡す鍵の問題でもあります。”スヴェン・ハッツェ氏、CISOおよびCIOアドバイザー、バーキン＆バレ
規制の対象となっている企業は、自らがプレッシャーにさらされている中で、サプライヤーに対してますます厳しい要求を突きつけています。 彼らは、経済界全体のビジネスパートナーのメールボックスに、時には短いものもあれば、時には数百項目にも及ぶアンケートを送付しています。 Vael社の推計によると、ある年において、中堅企業のCISOは、 160 社以上の顧客からのアンケートに回答する必要があり、その質問数は合計で8,000 件以上にのぼる可能性があります。 「圧倒されますね」と彼は言います。 「その都度回答するか、あるいは自発的に認証、監査、またはトラストセンターの文書を自社サイトに公開するかのどちらかです。」
ヴァエルのようなオブザーバーたちは、上層部からの圧力によりパートナー各社がより厳格な防御体制と透明性の向上へと導かれるにつれ、こうしたサイバーセキュリティ対策の積極的な開示が以前より頻繁に見られるようになっていると指摘しています。
対応しきれないサプライヤーは、取引を打ち切られる可能性があります。 そして、期待はそれだけにとどまりません。
「本当の疑問は、それらのサプライヤーが自社の下請け業者をどのように管理しているか、ということです。」 コンサルティング会社バーキン＆バレのCISO兼CIOアドバイザーであるスヴェン・ハッツェ氏は次のように述べています。 「サイバーセキュリティとは、単に自分の家だけの問題ではなく、他の人たちに手渡す鍵の問題でもあるのです。」
ヴァン・デン・ヒューヴェル氏は、その実情を次のように裏付けています。「サプライヤーとして要件を満たせなくなった瞬間、彼らは『契約を更新しない』とあっさりと告げるのです。」 こうした商業的な圧力により、小規模なベンダーでさえ、もともと重要分野向けに定められた基準を満たすようになっています。
[関連記事：オーストラリアの「エッセンシャル・エイト」への対応に、中小企業も苦戦しています――その理由と対処法をご紹介します]
こうした説明責任を求める動きは、コンプライアンスが波及していくような、新たなタイプのデジタルエコシステムを生み出しています。 大手企業が下流の企業に対してより厳しいセキュリティ基準を課すにつれ、それらのベンダー（およびそのベンダーのベンダー）も対応し始めています。 この現象は、疫学者が「 」と呼ぶような、デジタル版集団免疫に似ています。
「ヨーロッパ全土を見渡すと、正面のドアが広く開け放たれている企業はますます少なくなっています」とヴァエル氏は述べています。 「5年前なら、必ずどこかに問題が見つかったものです。」 「今では、それは例外となっています。」 彼は、組織に対し、前述の質問票への記入において下請け業者の誠実さを確認するために、オープンソース情報を利用するよう推奨しています。
SolarWindsからスーパーマーケットに至るまでのサプライヤー審査
ソフトウェアサプライヤーのSolarWinds（ ）に対する2020 サイバー攻撃のような事件は、18,000 の組織のセキュリティを侵害する結果となり、規制当局や大手企業にサプライチェーンの監視を強化することを余儀なくさせ、中小企業にも自社の防御体制を強化させることとなりました。 違反が一つ起こるたびに、その結果によって期待の網はますますきつく締め付けられていきます。
「サプライヤーとしての要件を満たさなくなった瞬間、彼らは単に『契約を更新しない』と言うだけです。」エドウィン・ヴァン・デン・ヘーフェル氏、ディレクター、ServiceNowソリューションアーキテクト、Tanium
また、サプライチェーンに関して脆弱なのは、テクノロジー企業だけではありません。 アムステルダムを拠点とするヴァン・デン・ヘーフェル氏は、オランダの運送会社で発生した「 」ランサムウェア の事件を振り返っています。この事件により、 スーパーマーケットへのチーズの配送が停止され 、オランダの食品物流ネットワークに混乱が生じました。
「オランダでは、店頭にチーズが並んでいないというのは、事実上、国家的な緊急事態に等しいのです」と、ヴァン・デン・ヘーフェル氏は冗談を言います。 しかし、彼はこう付け加えます。そこから得られる教訓は深刻なものです。今や、レジリエンスは自社自身のサイバーセキュリティと同様に、サプライヤーのサイバーセキュリティにも大きく依存しているのです。
このチーズをめぐる事件は単発のものではありません。今年、EUと英国では、生鮮食品の「コールドチェーン」配送 に対して、 によるサイバー攻撃の波が押し寄せました。アナリストたちは、こうした攻撃がまもなく米国にも及ぶ可能性があると予測しています。こうした一連の事件は、相互に連携したシステムの脆弱性を浮き彫りにしています。 「企業はセキュリティを確保したいと考えていますが、多くの面で他者に依存しているのです」とヴァエル氏は述べています。 「信頼は双方向でなければなりません。上流の と下流の の両方においてです。」
その信頼を維持するには、多額の費用と多くのリソースが必要となります。 中小企業が排除されるリスクにさらされているのは、セキュリティを重視していないからではなく、その証明にかかるコストが高すぎるためです。 フツェ氏はこの課題を認めています。「すべての中小企業（SME）がISO 27001 認証を取得できるわけではありません」と、フツェ氏は、情報セキュリティマネジメントシステムに関する主要な国際規格に言及しながら述べています。 「だからこそ、分類が重要になるのです。つまり、対象となるデータの種類やアクセス権限に応じて、審査のレベルを段階的に設定するということです。」
つまり、比例性の原則が欠けていれば、規制はかえって逆効果になりかねません。 例えば、EUの「AI法」は、欧州におけるAIシステムの開発、導入、および利用を規制するリスクベースの枠組みを通じて、この考え方に取り組んでいます。 （段階的に施行されるこの規則は、 2026まで順次導入されます。） 「ヨーロッパに何らかの形で関わるAIシステムをお持ちの場合は、『EU AI法』について検討する必要があります」と、グッドウィン・ローのテクノロジー・パートナーであるグレッチェン・スコット氏は、昨年、同法が欧州議会で採択された際、 のインタビュー（ ）において、のフォーカル・ポイント（ ）に対し述べました。 ロンドンを拠点とするスコット氏をはじめとする弁護士たちは、企業に対し、規制で定められた4つのレベルに基づいて、自社のAIシステムのリスクレベルを評価するよう推奨しています。
[関連記事：EUのAI法への準拠が必要ですか？それとも、よくわからないでしょうか？ 【まずはご自身のリスク許容度から】
セキュリティ担当のリーダーも、自社のサプライチェーンを俯瞰する際には、同様のアプローチをとることができます。 ハッツェ氏が提言するように、サプライヤーをリスク別に分類することで、エコシステムの安全性と包摂性を両立させることができます。
結局のところ、企業は2つのプレッシャーの間でバランスを取らざるを得ません。それは、サイバーセキュリティ対策の導入コストと、信頼を失うことによるコストです。 「今投資するか、それとも後でビジネスチャンスを逃すか、どちらかです」とヴァエル氏は述べています。
サイバー規制とツールの役割
自動化とエンドポイント管理ツールを融合させた自律型エンドポイント管理のようなサイバーセキュリティの進歩は、企業が拡大し続ける攻撃対象領域を管理し続ける上で役立ちます。 「単なる在庫リストだけでは不十分です」とヴァン・デン・ヘーフェル氏は述べ、「 のような、 を通じて常に更新され続ける『生きている』在庫リストが必要なのです」と語っています。
「単なる目録ではなく、絶えず更新される『生きた目録』が必要なのです。」ヴァン・デン・ヘーフェル
しかし、どんなに優れたツールであっても、古くから存在する最も根深い脆弱性、すなわち「人間の行動」を防ぐことはできません。 専門家たちは、企業に対し、 継続的な意識啓発研修や教育 を実施するよう呼びかけていますが、多くの企業ではまだ十分に行われていません。 「サイバーセキュリティに関する体系的な研修プログラムを導入している企業は、半数にも満たない」とハッツェ氏は述べています。 「そして、成功した攻撃の 90％以上が人為的ミスが原因となっています。」 「私たちはこのことを承知しているにもかかわらず、依然として人材への投資が不十分なのです。」
ヴァン・デン・ヒューヴェル氏は、DORAのインシデント報告要件が、組織に対し、単に協力を約束するだけでなく、実際に実践することを義務付けることで、その考え方を変える可能性があると主張しています。「企業には、『インシデントが発生したら、その影響を評価し、外部に報告する』というプロセスを確立する必要があります。」 「それにより、他のプレイヤーに警告することが可能になります。」 DORAに組み込まれたその協調的な反応は、この規制がもたらす最も目立たないものの、最も強力な波及効果の一つであるかもしれません。
[関連記事：ソリューション概要――DORAの解説とデジタル運用レジリエンスの確保]
その認識は、トップレベルにまで及ぶ必要があります。 取締役会も、規制のためだけでなく、自らの法的責任が問われるようになったことから、この問題に注目し始めています。 それでもなお、一部の経営幹部は、コンプライアンスをリスク管理に対する戦略的なアプローチではなく、単なるチェックリストとして捉えているようです。 「本当の目標は、単にチェックリストを埋めることだけではありません」とヴァン・デン・ヘーフェル氏は述べています。 「それは、運用上の強靭性を確保するためです。 「万が一問題が発生した場合、どれくらいの速さでそれを検知し、封じ込め、復旧することができますか？」
また、他の人にどのくらいの速さで知らせることができますか？ 特にDORAは、規制当局への迅速な報告の必要性を強調しているだけでなく、同業他社への報告の必要性も強調しています。 「もし被害に遭った場合、その生態系に属する他の者たちにも警告すべきです」と、ヴァン・デン・ヘーフェル氏は付け加えます。
より安全なデジタル経済の実現に向けて
サステナビリティの分野と同様に、大企業が自社のネットワーク全体でより環境に配慮した取り組みを推進してきたように、サイバーセキュリティもまた、責任の範囲が外へと広がっていく段階に入っています。 多くの企業は、法律によって何をすべきかを指示されるのを待っていません。 彼らは、市場の圧力や評判リスク、そしてもちろん、常識に基づいて行動しているのです。
「完璧なセキュリティなど存在しません。」 しかし、規制や監査、そして周囲からのプレッシャーなど、これらすべてが考えさせられます…… 「考えることこそが、成功の半分なのです。」ヴァエル
「すでに多くの企業が独自に取り組みを進めています」とヴァン・デン・ヘーフェル氏は述べています。 「それには法律や規制など必要ありません。」 フツェ氏は、持続可能性についても同様の比較を行っています。多くの企業は、規制によって義務付けられるずっと前から、環境負荷の低減に取り組み始めていたのです。 彼らは、サイバーセキュリティの分野でも、今まさに同じような文化的変化が起こっていると主張しています。
「完璧なセキュリティなど存在しません」とヴァエルは認めます。 「しかし、規制や監査、そして周囲からのプレッシャーは、すべてあなたに考えさせずにはいられません。 バックアップ、オンボーディング、研修、サードパーティリスク、事業継続について。 「そして、考えることこそが成功の半分なのです。」
[関連記事：従業員のセキュリティ研修は、早急に抜本的な見直しが必要です――その解決策はこちら]
こうした新たな状況において、重要なのは単なるコンプライアンスにとどまらず、信頼そのものです。 サプライヤーが貴社を裏切らないと信じてください。 お使いのツールが最新の状態であることをご確認ください。 従業員が、セキュリティ上の問題がある端末をレジに接続しないことを信じてください。 サイバーセキュリティはトップから始まるかもしれませんが、そこで終わるわけではありません。 それは、各種書類、監査、契約、そして会話を通じて徐々に浸透していき、最終的にそのチェーンの中で最も小さな企業でさえ、「何を、どのように保護すべきか」と自問し始めるようになります。
結局のところ、チーズは届けなければなりません。 そして、デジタル経済においては、 誰もがサプライチェーンの安全確保に一役買うことになります。
