ちょこ解　なぜ中小企業が狙われる？サプライチェーン攻撃と求められるセキュリティ対策

サイバー攻撃による大規模な被害がニュースで報じられています。大企業の被害として注目されることが多いものの、その影響は取引先や委託先にも及び、多くの企業の事業活動に支障をきたすケースも発生しています。
いま、企業同士のつながりを悪用する「サプライチェーン攻撃」への対策の重要性が高まっています。最終的な標的が大企業であっても、その取引先や委託先が侵入口として悪用されることがあり、中小企業にとっても無関係ではありません。
ここでは、サプライチェーン攻撃の概要や中小企業が狙われる背景を解説するとともに、経済産業省が創設した「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」をご紹介します。
あわせて、中小企業が取り組みたい対策や業務システム管理のポイントについてもちょこっと解説します。

広がるサプライチェーン攻撃

独立行政法人情報処理推進機構（IPA）の「情報セキュリティ10大脅威」では、ランサム攻撃による被害が第1位、サプライチェーンや委託先を狙った攻撃が第2位となっています。一見すると別々の脅威に見えますが、サプライチェーン攻撃は、ランサムウェア被害につながる侵入経路の一つでもあります。

なぜ中小企業が狙われるのか

サプライチェーン攻撃が注目される以前は、大企業そのものを直接狙う攻撃が中心でした。しかし近年は、大企業のセキュリティ対策が強化されたことで、セキュリティ対策に人員や予算を割きにくい中小企業が侵入口として狙われる場面が多くなっています。
こうした状況を受け、企業単独ではなく、取引関係全体でセキュリティ水準を高める取り組みも進んでいます。例えば自動車業界では、日本自動車工業会（JAMA）と日本自動車部品工業会（JAPIA）が「自工会・部工会サイバーセキュリティガイドライン」を策定し、業界全体で対策強化を推進しています。
このように、企業単独ではなく、取引先を含めた対策が求められる中、業種や規模を問わず、一定水準のセキュリティ対策が必要になっています。そこで政府が導入を進めているのが「SCS評価制度」です。

注目されているSCS評価制度とは

SCS評価制度は、企業のセキュリティ対策を共通の基準で評価・可視化する制度です。これは、業種や企業規模を問わず利用できる制度として設計されています。
これまで企業は、取引先ごとにセキュリティ対策の実施状況を確認してきました。しかし、確認項目や評価基準が企業ごとに異なるため、確認する側・される側の双方にとって大きな負担となっていました。
SCS評価制度では、こうした負担を軽減しながら、企業の対策状況を共通の基準で確認できるようになります。その結果、確認作業の負担を抑えながら、サプライチェーン全体のセキュリティ向上につなげることができます。
制度の主なポイントは次のとおりです。

• セキュリティ対策状況を★3～★5で評価する（★5は今後対策事項を検討）
• 自社の対策レベルを客観的に把握できる
• 取引先選定時やリスク管理の参考情報として活用されることが想定

まずは基本的な対策から

では、中小企業は何から取り組めばよいのでしょうか。
セキュリティ対策を一度に整備することは簡単ではありません。まずは、SECURITY ACTIONで示されている、ウイルス対策ソフトの導入やOS・ソフトウェアの更新、パソコンのID・パスワードの管理など、基本的なセキュリティ対策を確実に実施することが大切です。
サプライチェーン攻撃では、メールやWebサービス、受発注システムなど、企業間のやり取りで利用されるインターネット経由の環境が侵入口として悪用されるケースもあります。そのため、業務で利用するパソコンやネットワーク機器、ソフトウェアなどについて、具体的に何がどこで利用されているのかを把握することが重要です。

忘れてはいけない業務システムのセキュリティ

セキュリティ対策は攻撃を防ぐことだけが目的ではありません。万が一被害を受けた場合でも業務への影響を最小限に抑え、早期に復旧できるよう備えておくことが必要です。
データが利用できなくなると、受注・出荷・請求といった会社の根幹を支える業務が停止し、なおかつ復旧そのものが困難になる可能性もあります。そのため、業務システムの適切な管理も重要なセキュリティ対策の一つです。特に、次のような管理はSCS評価制度でも重要な確認項目の一つとして位置付けられています。

• ID・パスワードの適切な管理
• 利用者ごとのアクセス権限の設定
• 操作履歴（ログ）の記録・確認
• 不要になったアカウントの削除

誰が利用できるか、どの範囲まで操作できるかを明確にし、定期的に見直すことが大切です。

業務システムが複数にわかれている場合、それぞれで利用者や権限を管理する必要があり、設定や削除漏れが発生しやすくなります。システム障害が発生した際には、業務を早期に再開することが重要です。しかし、確認や対応がシステムごとに必要になるため、業務再開までに時間がかかることがあります。
統合型の業務システムを選定し、設定や運用ルールを統一しやすい環境を整えることは、管理負荷の軽減だけでなく迅速な業務復旧の観点からも有効です。

まとめ

サプライチェーン攻撃への備えは、中小企業にとっても他人事ではありません。
SCS評価制度は、自社のセキュリティ対策レベルを見える化し、継続的に改善するための新しい指標です。今後は、取引先から「どのレベルの対策を実施しているのか」「SCS評価制度の★3や★4を取得しているのか」といった確認を受ける場面が増えていきます。セキュリティ対策は、攻撃を防ぐためだけでなく、重要な業務データや業務システムを守り、事業を継続するためにも不可欠です。日常的な管理体制の整備は、問題発生時の迅速な対応や復旧を支えます。
「うちは狙われない」ではなく「自社も取引先も守るために何ができるか」。まずはその視点で見直してみてはいかがでしょうか。