業務ノウハウサマリーサプライヤーのサイバーセキュリティ実施状況の調査を買い手企業で実施することを含んだ、産業界でのサプライチェーン・サイバーセキュリティ対策の検討が、経済産業省の「産業サイバーセキュリティ研究会(2017年12月発足)」で進んでいます。サプライヤーに対する調査のため、サプライヤーに対する窓口である購買部門の何らかの関与は不可欠になると思います。調査内容を理解し、実施するには、情報システム技術の専門知識が必要です。購買部門と情報システム部門が協働で制度を実施していくと考えられます。調査の実施までにはまだ期間がある見込みで、直近に対応を迫られるものではなさそうです。サプライチェーン・サイバーセキュリティ:企業単体からサプライチェーン全体へと対応範囲が拡大してきた2018年2月に、サプライチェーンのサイバーセキュリティ対策に関する報道が相次いでありました。拡大して語られているところです。どのような状況が起きているのでしょうか。2月7日の日刊工業新聞では、経済産業省が「産業サイバーセキュリティ研究会」を発足し、サプライチェーン全体でのリスク対策・認証方法の検討を進めようとしていることが報じられました。引き続いて、2月9日の日本経済新聞が報じたのは、防衛省の動向です。米国防総省と同等のサイバーセキュリティ基準を調達先(関連企業は戦闘機と戦車がそれぞれ約1000社、護衛艦は約7000社)に数年の準備期間を設けて義務付けるなどが、その内容でした。2月11日には、より包括的な内容で日本経済新聞が報道しました。これまでは個別企業のサイバーセキュリティ対策が論じられることが多かったと思います。サイバーセキュリティは、個々の企業で対策を行う方向で話が進んでいたようではなかったでしょうか。27001)などが公開され、セキュリティ対策の構築・運用が、各企業毎にそれぞれの情報システム部門を中心に実施されてきたのです。今回は取引先まで含めたサプライチェーンの話に範囲が拡大してきています。サプライヤーと接点がある購買部門は、ISMS認定を取得したサプライヤー企業の名刺などにISMS認定マークがついているのを目にしたことがあるかもしれません。サイバーセキュリティについては、自社の情報システム部門の定めた方針に準拠する以外に、購買部門は特段の対応を行わずに済んでいることがほとんどだったのではと思います。ところが上記の新聞報道のように、サイバーセキュリティ対策の範囲が「サプライチェーン」に拡大すと話が変わってきます。サプライチェーンとなった途端に、サプライヤーがその対象範囲に含まれてきます。なるとサプライヤーに対する窓口部門である購買部門にも関係が及ばずにはいられなくなります。過去を思い起こせば、CSR、紛争鉱物など、サプライヤーの実態調査のニーズが発生する度に、購買部門の関与が発生してきました。今回のサプライチェーンでのサイバーセキュリティ対策はいったいどうなのか、それについて現在の状況を簡潔にまとめてみました。米国政府調達でのサプライチェーン・サイバーセキュリティ基準の検討状況(先行検討の状況)前述のように、日本では経済産業省の「産業サイバーセキュリティ研究会」が2017年12月に発足しました。海外、とくに米国ではそれ以前から検討が進んでいま。政府調達のうち国防総省(DoD)調達にはついて、サプライヤーが米国のサイバーセキュリティ基準に2017年12月までに対応いなければならないとの通達に至りました。9000社に」と日本経済新聞が報じた基準が、これに当たります。サプライチェーン・サイバーセキュリティの今後を推測する材料としても、まずはこの基準の概要から見ていこうと思います。Information)と呼ばれるものです。米国の国家安全保障に関わる重要機密情報が”Classified”とされるのに対して、そこまでには分類されない(unclassified)が機密管理されるべき(Controlled)情報に当たるのがCUIです。米国政府の調達契約に関わる情報もCUIの一部になると定義されました。購入品の技術情報を含めて調達契約が漏れてしまうと、武器や装備などの購入状況が相手に推定される可能性があります。以前は、CUIに相当する情報は政府の各機関で基準統一されずに取り扱われてきました。Order)13556でCUIが定義され、どのような情報がCUIに当たるかが整理されました。Acquisition)区分では、の4つが挙げられています。Selection)ただし政府調達に関わらない、純粋な民間調達関連情報はCUIの対象にはなりません。米国の国家安全保障の観点からみると、国防関係だけに保護対象はとどまりません。水道や自動運転など、悪意をもって操作されると社会騒乱が発生する社会インフラがあります。痛がって、これらもサイバーセキュリティ保護の対象としてを保護範囲を拡大していく動向になってきています。(2).保持している組織~政府機関だけでなく、調達先も保管している以前は政府の各機関で様々な名称や概念でCUI相当情報が取り扱われてきました。政府機関ごとで様々な分類でCUIに相当する情報が扱われていたのです。大統領令13556により、これらの情報が整理され、CUIの範囲が明確にされたのは前述の通りです。(ISOO)の資料です。)しかし、調達に関わる情報は政府機関だけに保管されているわけではありません。当然ながら、写しはサプライヤーに保管されています。技術情報などをサプライヤーが保有している場合もありえます。そのため、CUIのセキュリティ保護の範囲はサプライチェーン上のサプライヤーに拡大して考える必要が発生します。その結果、サプライヤーの保有するCUIのサイバーセキュリティ基準に沿った保護がなされることが求められました。このサプライヤーには、直接の発注先(Contractor)に加えて、その下請先(Subcontractor)も含まれるとされていますが、下請先の階層の深さまでは明確になっていません。Systems)」が制定されました。CUIを保有しているのは、前述のように政府機関のみではありません。Organizations」が、2016年に制定されました。800-171の最新版は、それに1回の改訂が施された改訂第1版(Revision1)で、2018年2月20日付でリリースされています。800-171の基準は、以下の14の大分類(Family)、合計110個の要件項目から構成されています。800-171附属書Dにマッピング表収録)。規定された生成回数の間、パスワードの再利用を禁止する。generations.)」のような、システムの一般ユーザーとして購買部門のスタッフにも容易に理解でき、サプライヤーに説明できそうなものもあります。ベースライン構成とインベントリを確立し、維持する。cycles)」といった情報技術やそれに特有の運用に関わるものとなっています。理解には、専門的な技術知識が必要になると思われます。このような基準となると、CSRや紛争鉱物の場合以上に、購買部門が単独で要件内容をサプライヤーに説明できるものには思えません。サプライヤーに内容の説明するのは、購買部門単独で行うのは難しく、情報システム部門とのコラボレーションが不可欠となると考えられます。800-171」に2017年12月末まで対応するように通達されました。Clause252.204-7012の導入に関する通達(2017年9月21日)」です。Clause252.204-7012自体は2016年10月に出され、以下が規定されています。Information」は最終案が2018年2月20日に提示されたところです。objects)が定義されています。評価手法と対象では、「Examine(仕組みの整備状況の確認)」、「実施状況のインタビュー確認(Interview)」、「実地テスト(Test)」の3つに区分してどう行うべきかのガイドが記述される方式となっています(下図の事例を参照)。運用手順書は、まだパブリックコメント受付(期間:2018年2月20日~3月23日)の最終案の段階です。従って基準の実施状況の確認のやり方などは正式に定まってはいません。正式な/最終的な運用はこれから規定されます。米国サプライチェーン・サイバーセキュリティ基準への先行的な企業取り組み~ロッキード・マーティン社の対応事例このように運用手順の制定が進捗中の状況ですが、すでに一部の企業では独自に取り組みをはじめています。800-171に準拠した、仕組みの整備状況の自己評価(Self-Assessment)の仕組みを公表しています。800-171Aの運用手順書では、実施手順を「Examine(仕組みの整備状況の確認)」、「実施状況のインタビュー確認(Interview)」、「実地テスト(Test)」に区分していましたが、ロッキード・マーティン社ではExamineの最初にサプライヤーの自己評価(Self-Assessment)を置く形にしています。800-171の110個の要件項目に加えて、独自の180個の項目を追加し、それをサプライヤーに自己評価してもらう形式で進めていくExostar社が独自項目の設定に協力した。今後の調査の実施運営を担当していくこの資料では、サプライヤーの自己評価結果の回答入力画面の例も示されています。※Exostar社のサイトにも、入力画面事例がありました。入力手順を説明するフローも提供されています。最初から全てのサプライヤーを対象に詳細対応を進めることは、負荷の面でも困難があります。CSRアンケートと同様に、おそらくはこのようなサプライヤー自己評価の回答収集から、サプライヤーのサイバーセキュリティのチェック作業はスタートするのではと思われます。日本でも経済産業省が「産業サイバーセキュリティ研究会」を2017年12月に発足させたのは前述のとおりです。その設立目的は、以下のように述べられています。産業サイバーセキュリティ研究会の設置について」より)。その背景にあるのは、すこし乱暴に要約すると、以下になるかと思います。Industries」でのネットワーク化の進展は、悪意のある者にとって新たな攻撃の機会を作り出す。攻撃の脅威が増してくる中、サプライチェーン全体、産業界全体の取組として、サイバーセキュリティ対策を強化が必要になっている欧米各国での認証制度の制定に連携し、かつ日本案を国際標準として提案するなどの国際ハーモナイゼーションも進めていく(日本企業の権益も確保する)必要がある※米国での対応が、国家安全保障や社会騒乱を起こす原因となりうるCUIの保護を、政府情報から政府外保有情報に拡大しきた経緯があること、具体的な保護対象情報の分類が提示されていることなどに対して、日本の場合は産業サイバーセキュリティという概念から入り、かつ「サイバーとフィジカルの融合」や「サイバー空間」を含めた意欲的な範囲で取り組んでいるなどから、2月の新聞報道は「産業サイバーセキュリティ研究会」の設立目的などをあまり適切に報道できていないようにも思えました。具体的な検討を進めるために、3つのワーキンググループ(WG)が設置されています。WG1は2月7日と3月29日に、WG2は3月16日に、WG3は4月4日に既に会議が開催され、配布資料などが公開されています。この中で、サプライヤーのサイバーセキュリティ対策実施状況調査に、まず関わってくるのがWG1です。」という表現も出てきています。WG1の第2回(3月29日)では、この内容を産業界が実務的に活用できるレベルで整理した「サイバー・フィジカル・セキュリティ対策フレームワーク」の概要と原案の資料が、第1層も含めて提示されました。WG1の今後の進め方(案)」では、今後のスケジュール感も提示されました。これによると、フレームワークの決定は今年の夏以降となりそうです。ために取引先に確認」するアクションが実際の実施は、今年度は無さそうです。まとめサプライヤーのサイバーセキュリティ整備状況の調査は、購買部門と情報システム部門が協力して(どちらかというと、調査内容に通じた情報システム部門主導で)行われると考えられます。それほど喫緊の対応を迫られること無さそうです。なにか新しい制度が始まるときには、ITベンダーやコンサルティング会社が情報システム部門に働きかけてくるのが、情報システム業界の常です。従って、購買部門は、状況は把握しつつも、声がかかってくるのを待っている姿勢で大丈夫のように思えます。CSRアンケートや紛争鉱物調査の際には、各企業それぞれで、Excelで回答フォームを作成・配布したり、Web回答ツールを用意したりしました。その結果、サプライヤーから、「各社ずつ少しずつだけ違う内容を何度も提出させられて面倒」とか、「システムのログイン方法が各社別々で良くわからない」など、サプライヤーからだいぶチクチクやられました。サプライヤー対応窓口の購買部門の負担が軽減されるような標準ツールのようなものが準備されれば、業務効率上の効果が大きいように思われます。※随分前になりますが、私自身がシステム監査の資格を持ち、かなりの数実務をこなしてきた経験を有しています。それとIBMの調達購買コンサルティングサービスのグローバルリーダー(日本のトップ)としての経験を踏まえて書いてみました。極端に大外れはしていないと思っています。※さらに、3月29日のWG1の第2回目を傍聴させていただく機会を得ました。その際の理解反映できていると思います。原則非公開の会議ですで、公開資料に従って書きました。経済産業省は昔からのこのような情報公開を積極的に進めていらっしゃいるところであり、産業サイバーセキュリティ研究会もワーキンググループの傍聴受付が開催都度行われています。Topicsなぜ、有償支給品を収益計上したら「不適切」なのか東芝の事例から、部品の有償支給に関する様々な声があがるようになってきています。その議論の主体の多くは会計処理に関わるものですが、有償支給制度がサプライヤーとの取引に関するもののため、購買調達部門にも声が掛かるなど影響を受けている事例を耳にするようにもなりました。そこで、以下の3点から、有償支給の処理について取りまとめてみました。to...記事を読む企業版マイナンバー(法人番号)がやってくる個人に対するマイナンバーの10月通知を控えて、企業版マイナンバーとも呼ばれる「法人番号」に関する新聞記事も出てきました。企業業務全般を対象にした法人番号セミナーの案内なども見かけます。法人番号は、サプライヤーを取り扱う購買業務にはどのような影響があるのでしょうか。その制度の概要と、業務への影響をまとめてみました。結論としては、サプライヤーの法人番号のデータ入手準備には可能であれば着手しておくべきですが、特に緊急を要する必要も無さそうです。アマゾンは法人向け(B2B)小売業に乗り出さないのだろうか、それほどに法人向け販売は魅力はないのだろうか。...もしかするとそのように思われている方もいらっしゃるかもしれません。それは正しくありません。アマゾンは既に乗り出して、米国で急速にビジネスを拡大してきています。すると、我々はアマゾンの画面に向かって、全ての間接材を手配するような将来を迎えるかもしれません。その時には、ア...記事を読むAI(人工知能)は購買の仕事をどのように奪うのか?(1)人間の道具として適用が進むIA(知識増幅)をAIと捉えて、人工知能が導入されても人間が機械を操作する現在の環境に大した変化はないとする論調があります。人間の知的作業を代行するAI(人工知能)は、IAとは別物です。そこで、AIを導入したならば、どのような変化(人間の購買業務の消滅)が起こりうるのかを、1人手作業が現時点で必須の業務領域の明確化、2AI技術の発展状況、3その技術を人手必須領域に適用したらどうなるのかの順に、ソーシング業務で明らかにしていきます。購買・サプライチェーン領域へのブロックチェーンの適用で、大きな効果が見込めるのは「企業間の文書/取引情報管理」です。効果が上がる領域に導入する場合にも、確実にチェックしておくべき留意事項(後述)があります。日本政府では、内閣官房の行政改革推進会議が主体となり、様々な調達改善の取り組みを行っていまが、その内容は民間企業の購買業務でも参考になると考えています。そこで、政府施策に対する実施状況の比較ツールを作成し、比較できるようにしてみました。第14回中四国購買ネットワーク会サプライヤーを切れないバイヤーは、バイヤーとしては失格ではないか。社内の誰かが"情"に流されたような恣意的な判断に陥ったとしても、既定の判断基準に即して適正な提言ができる、それこそが購買部門というものではないか。閉会間際に提起され、皆が頷きあっていた、当日の結論の1つと思われる発言は、このようなものでした。広告宣伝は、購買担当者にとって難物のイメージがあるとともに、担当社内部門との関係にも難しいところがあります。第52回関東購買ネットワーク会では、社内部門との関係に"共創"という観点の提案がありました。それとともに、広告宣伝購買への購買観点でノウハウをまとめてみました。第52回関東購買ネットワーク会では、10月31日に満員の活況で、2人の方の講演を聞くことができました。それらのご講演ついての私のメモをまとめてみようと思います。