広がるサプライチェーン攻撃に中小企業が講じるべき対策とは？

取引先やその関係機関などのサプライチェーンネットワークを経由し、本来のターゲットに侵入する典型的な手法です。近年､大企業ではBCP対策のために、サプライチェーン構成企業は増加傾向にあります。加えて、東日本大震災以降、リスクヘッジのために調達先を増やしている企業もあるはずです。思わぬ企業がサプライチェーンの構成員になっていることも少なくないでしょう。このような複雑性や多様性を逆手にとって､場合によっては複数拠点を経由するなどして本命の大企業を狙います。

標的とする企業が購入するハードウェアやソフトウェアに着目し、その調達ルートで不正なプログラムを潜ませるサプライチェーン攻撃もあります。ファームウェアや組み込みソフトウェアを開発する場合、その外注先として中小企業を利用するケースも少なくないはずです。そうしたガードが低い企業のコンピューターに侵入し、マルウェアやバックドアを仕込んでおくのです。

企業側からすると、いくらセキュリティ強度を高めていても、いつの間にか内部に不正なプログラムの侵入を許すことになってしまいます。従って、企業には購入するハードウェアやソフトウェアの調達先選別の厳格化や、品質管理体制の強化も求められているといえるでしょう。

大企業と比較し、中小企業の経営者は、自社には攻撃に値する価値のある情報資産が多くはないと考えていることが少なくありません。実際に、日本損害保険協会が実施した調査では、サイバー攻撃への対策を講じている中小企業は4社に1社にとどまり、サイバー攻撃を経営課題と認識している経営者は、わずか1.6%にすぎません。サプライチェーン攻撃を仕掛ける攻撃者からしてみると、セキュリティ対策が甘い中小企業、すなわち攻撃対象が溢れているというのが現実なのです。

中小企業が、情報セキュリティ人材を確保しようにも確保できないという事情もあります。自社の実情を加味して適切にセキュリティ対策を施すためには、高度な知識を有するセキュリティ人材が欠かせません。しかし、総務省が発表した「我が国のサイバーセキュリティ人材の現状について」では、2020年にはセキュリティ人材の不足数が19.5万人に達すると見込まれています。大企業でも不足するセキュリティ人材は、中小企業ではより一層確保することが難しいといえそうです。

徹底した効率化で生産性を高めてきた大企業に対し、中小企業は人的資源への依存度が高く、非効率な状況が放置されやすい傾向にあります。十分な資金余力もないため、新しい投資に対して及び腰になる企業も少なくありません。従って、セキュリティ対策にも十分な予算が投じられない状況に陥ります。

こうした実情に加え、働き方改革の機運も相まって、国は中小企業のIT投資を促すために「IT導入補助金」でIT化を後押ししています。中小企業が補助金も有効活用しながらIT投資を積極的におこなうことで、生産性が向上し、同時にセキュリティ対策も進んでいくことが期待されています。

もはやセキュリティ対策は経営と無関係ではありません。そのため、経営者の情報セキュリティに対する意識改革が取り組みの第一歩となります。IPAが公表している「中小企業の情報セキュリティ対策ガイドライン」には、経営者が認識し自らの責任で検討するべき事項について取りまとめられており、参考にするとよいでしょう。

参考: IPA【中小企業の情報セキュリティ対策ガイドライン】

取り組みを始めるにあたっては、自社のセキュリティ状況を冷静に見つめ直すことが求められます。まずは、IPAが公開している「5分でできる！情報セキュリティ自社診断」で、自社の情報セキュリティレベルを客観的に把握しておくことが有益です。診断の結果を受け入れ、十分ではないとされたセキュリティ対策に対し、必要な予算をつけて対策を施すことを検討してください。

参考:IPA【5分でできる！情報セキュリティ自社診断】

十分なセキュリティ対策を講じていても、目に見えないセキュリティ対策を取引先に認めてもらうことは容易ではありません。ISMSなどの客観的な認証制度を活用すれば、セキュリティ対策の見える化につながります。場合によっては、大企業との取引の際に、ISMSなどの認証制度が義務化されていることもあり、その重要性は増しているといえるでしょう。

SOCとは、ネットワーク機器やサーバーのログを監視・分析し、攻撃の兆候を早期に察知するための組織のことです。自社内にSOCを設置することでセキュリティレベルは向上しますが、セキュリティ人材の不足などを理由に、設置のハードルは高まっています。そのような場合、SOCのアウトソーシングを選択するケースも増えてきています。