カテゴリごとにシナリオを作成して、サプライチェーンにおけるデータフローとアクセスフローを示し、発生源ごとにインシデントの影響を理解するとよいでしょう。組織がサプライチェーンリスクを評価しようとしても、ベンダーが行っている採用プロセスに関する情報や、直接の取引先ではないベンダーについての可視性は限られており、コードを効果的に監査する能力などにも限界があります。した限界が原因で、サプライチェーンリスクを効果的に管理するのが難しくなる場合があります。インシデントへの対応手法は、詳細に文書化されたインシデント対応策に基づいて構築するとよいでしょう。インシデントへの対応能力を高めるとともに、ベンダーとのコミュニケーションを拡大し、資産管理を強化することを検討する必要があります。インシデント対応についての徹底的なテストとトレーニングのプログラムを開発して採用することも検討すべきです。氏はかつて、「人は友人の行動に責任を持てないが、その人の評価は交友関係で決まる」と語りました。他にも尊敬に足る思想家たちが、言葉は違えど同じ主旨のことを言っています。個人的な交友関係や仕事上の関係が、社会的信用や会社の存続に直接影響を及ぼしかねないというものです。企業のセキュリティ対策(特に、組織のサプライチェーンを構成するベンダーやビジネスパートナーの選択)にこの知恵を応用してみると、サプライチェーン攻撃からの防御を目的としてインシデントの予防と対応に取り組むうえでどうバランスを取ればよいのか、さまざまな疑問が浮かんできます。組織は、ベンダーやビジネスパートナーの行動にどの程度責任を負うのか、また取引先の行動によりどのような影響を受ける可能性があるのか。組織の資産と社会的信用を守るための予防的な戦略として、十分にベンダー選定を行っているか。インシデントへの対応能力を高める必要があるのか。した疑問の数々に答えるには、一般的なサプライチェーンのリスクシナリオとリスク管理に関連する課題を把握することが重要です。サプライチェーンにおけるインシデントに対応するために採用できる具体的な手段を理解する必要もあります。サプライチェーンの侵害とは「デバイスやソフトウェアなどの製品やそれらの配送メカニズムを、最終消費者が受け取る前に操作すること」です。これは、攻撃者が組織の重要なビジネスの供給経路において事業体や製品を侵害し、その組織の属する「社会集団」に侵入した結果とも言い換えられます。攻撃者がサプライチェーンを利用した攻撃を好む具体的な理由はさまざまですが、その中にリソースの節約と高価値の標的への間接的なアクセスが含まれることは間違いありません。比較的脆弱な標的(サプライチェーン内のベンダーやパートナー)を侵害すれば、ずっと短期間で主要な標的に対する直接的で信頼できるアクセスを取得できます。あれば、わざわざカスタムマルウェアや複雑なソーシャルエンジニアリング攻撃をはじめとするサイバーキルチェーンの構築に何週間も費やそうとはしないでしょう。楽な道を選ぶはずです。このため、組織のアタックサーフェスの概念には、保護された環境だけでなく、組織が所有または管理していない資産や事業体も含まれるようになりました。組織は、サプライチェーンで絶えず発生するインシデントへの対応に備える一方で、取引する企業の選定を慎重に行ってサプライチェーンのリスクをプロアクティブに抑制する必要があります。インシデントへの対応を具体的に検討する前に、一般的なサプライチェーンのリスクシナリオと、サプライチェーンのリスク管理に関連する課題を理解しておくとよいでしょう。したがって、サプライチェーン攻撃を侵害の兆候(IOC)や攻撃者の戦術、手法、手順(TTP)によって分類しようとするのは、的外れとは言えないものの効率的ではないでしょう。ある組織とその取引先(ベンダーやビジネスパートナー)との間のアクセスおよびデータの共有関係に基づいて、サプライチェーンのリスクシナリオをおおまかにまとめることは可能です。サプライチェーンに起因するものに分類できます。これらのシナリオは、相互排他的なものではありません。すべてのシナリオが同時に含まれる場合もあります。アプリケーションとは、サードパーティがクラウドでホストしているアプリケーションやサービスのことです。アプリケーション、教育など多岐にわたります。アプリケーションでは、ユーザーアクセスやデータ共有のフローは、組織からベンダーへの流れとなります。アプリケーションにアクセスしてデータ操作を行います。この場合のサプライチェーンのリスクは、ベンダーのシステムが侵害を受けることに起因し、結果的に機密データの漏洩やユーザーのログイン情報の侵害につながります。サードパーティベンダーのアクセス提携事業者、パートナー、サードパーティベンダーは、世界中の無数の組織の運営にとって不可欠な存在です。つの組織が単独で事業運営に必要な製品やサービスを効果的に生産することはほぼ不可能です。場合によっては、サービスを提供するためにサードパーティがその組織の環境にアクセスする必要もあります。ある環境へのインバウンドアクセスが発生するたびに、リスクが生じることになります。ユーザーアクセスやデータ共有のフローは、サードパーティベンダーから組織への流れとなります。ベンダーの従業員は、システムとデータを管理またはモニタリングするため、組織の内部環境にアクセスします。この場合、サプライチェーンリスクが発生するのは、ベンダーで発生したセキュリティインシデントの影響が、そのベンダーの信頼できるアクセスを介して組織に及んだ場合です。ベンダーが組織のシステムやデータを誤った方法で使用したり、悪用したりする場合にも発生します。サプライチェーンは、組織が業務を維持するために必要なソフトウェアとアプリケーションで構成されています。サプライチェーンに含まれるということに注意が必要です。アプリケーションやサードパーティベンダーのアクセスに起因する脅威に比べ、いっそう特定が難しいというのが通常です。ここでは、サードパーティベンダーによって開発されたソフトウェアが組織の環境の一部となっており、ユーザーアクセスやデータ共有のフローは、サードパーティベンダーから組織への流れとなります。この場合のサプライチェーンリスクは、組織に広がる可能性のある侵害を受けたベンダーアプリケーションを組織がインストールした場合に発生します。サプライチェーンのリスク管理の課題ベンダーとサプライチェーンのリスク管理は、最近再び脚光を浴びるようになりました。年間、世間の注目を集めるサプライチェーン侵害が次々と発生した影響でしょう。万件の結果が表示されます。年の悪名高いデータ侵害について直接的もしくは間接的に記述している記事です。万件の結果が表示されます。サプライチェーン攻撃に関連するコンテンツは、公開頻度も量も増加しており、サプライチェーンの脆弱性や脆弱性への対処に伴う複雑さについて組織が懸念を抱いていることを物語っています。検討が必要な事項には、次のようなものがあります。知的財産やその他の機密データを含む組織データの分散化がこれまでになく進んでいる(サードパーティによってデータが処理、送信、保存されている)。自組織のサプライチェーンに起因するリスクから自らを守るだけでなく、別の組織のサプライチェーンで発生したインシデントに不本意ながら巻き込まれてしまうという事態を避ける必要がある。規制当局がニュースを注視しており、サプライチェーンのリスク管理要件を定める規制基準がますます増えてきている。ベンダーとサプライチェーンのリスク管理プログラムについてインターネットを検索すれば、よくまとまったガイダンスが大量に見つかります。ベンダーのリスク管理を一から検討し直すよりも、サプライチェーンのリスク管理の課題を生む要因となっている複雑さに目を向けた方がよいでしょう。以下に挙げる要因は、最近のセキュリティ調査と業界ニュースに基づいており、上述したリスクシナリオにも関連しています。人材面でのセキュリティは、長い間ベンダーリスクをめぐる懸念事項となってきました。データの所有者は、犯罪目的やその他の理由でデータを不正に管理したことのある人物によって自分のデータとシステムが扱われることのないようにしたいと考えるものです。ベンダーリスクアンケートには、「従業員に対し、採用条件として身元調査を義務付けていますか?」といった質問がよく出てきます。ベンダーがその質問に「はい」と答えたとしても、悪意のある内部関係者が存在するリスクはどの程度軽減されるものでしょうか。氏のケースを見てみましょう。エンジニアとしての仕事に就くために同氏の職務経歴を利用していたことに気付きました。この攻撃者の目論見をまとめると、次のようなものになります。契約業務の求人サイトに、正規の専門職の職務経歴をもとにして不正なプロファイルを設定する。不正なプロファイルを使用して仕事に応募する。面接まで漕ぎつけたら、正規の人物と同様のスキルセットを備えていて、採用企業とのオンライン面接でなりすましをしてくれる人間を探す。面接に合格して採用企業が内定を出せば、その仕事に就ける。このシナリオの場合、提携する可能性がある事業者が従業員の身元調査に関する質問に「はい」と答えたとしても無意味だということになります。身元調査の少なくとも一部は、採用されている人物ではなく、組織が採用していると思っている人物についての調査結果だということになるからです。さまざまな調査が示すように、組織内に潜む脅威は引き続き攻撃チェーンの重要な要素となっています。このため、セキュリティチームはサプライチェーン構成企業の採用プロセスを詳細に確認し、ベンダーの従業員と採用方法について徹底的に把握する必要があります。組織と直接的なやり取りのあるベンダーやサプライヤが主な対象となります。次取引先の提携先となると、まったく把握できていない場合もあります。そのため、セキュリティチームには、ほぼ未知のリスク群を管理するという、とらえどころのない業務が課されることになります。次取引先が、攻撃者の初期アクセスのベクトルとなっていました。