事例で学ぶセキュリティインシデント（第13回）対策が脆弱な業務委託先が狙われるサプライチェーン攻撃

　サプライチェーン攻撃を防ぐには、各企業によるセキュリティ対策の状況把握と強化はもちろん、信頼できる業務委託先・取引先を選定することだ。信頼できるかどうかを判断材料として、まず業務委託先や取引先の情報管理規則を確認することだ。そして、業務委託先・取引先とのセキュリティの責任範囲を明確化して合意する。加えて、業務委託先が提出する納品物に含まれるソフトウエアに脆弱性がないかの検証や、業務委託先のセキュリティ対策が継続的にきちんとなされているかどうか、情報資産管理の状況を定期的に確認するといった対策が求められる。

　サプライチェーンの委託元が業務委託先・取引先にセキュリティ体制の整備・強化を求める例は少なくない。対策状況を確認するため、定期的にアンケート調査の形式で業務委託先・取引先のセキュリティ状況を尋ねてチェックしたり、委託元の担当者が委託先・取引先を訪問してセキュリティ対策の要件に合っているかどうか目視で確認したりするケースもある。

　ここまでセンシティブになるのも、万一、業務委託先・取引先から委託元企業の機密情報や顧客情報などが流出する事態になれば、業務委託元としての監督責任が問われるからだ。セキュリティインシデント発生時に社会への説明責任を果たす上でも、業務委託先・取引先を含めたセキュリティ体制の強化が求められる。

　逆に言えば、委託元企業からのセキュリティ強化の要請に応えられない委託先企業は、取引の停止、ビジネス機会の逸失といった事態を招きかねない。これがサプライチェーンに参画する企業の懸念事項とも言えるだろう。

添付ファイルに記載されたURLをクリックしてウイルス感染

　M社のIT担当者は大阪工場・製造課長のパソコンを調べ、ウイルス感染したことを確認した。本社・工場ではウイルス対策ソフトを導入しており、このパソコンがいつ、どのように感染したのか、感染経路を調べなければならない。製造課長に思い当たることはないか尋ねたところ、前日に製造設備の新製品の案内がメールで届き、添付ファイルに記載されていたWebサイトのURLをクリックしたという。

　メールを悪用した典型的なサイバー攻撃の手口といえるが、メールの本文や件名、添付ファイル名は業務に関係しているように偽装されていたため、製造課長は何の疑いもなくURLをクリックしてウイルス感染した。

　IT担当者は同社のシステムをサポートしているIT事業者と連絡を取り、ウイルス感染が他のパソコンやサーバー、社内ネットワークに広がっていないかログを確認した。IT事業者がパソコンを調べたところ、感染したウイルスはランサムウエアとは別のタイプでパソコン内のファイルが暗号化されたり、身代金を要求されたりすることはなかった。

　また、製造課長がパソコンの異常に気が付いてIT担当者にすぐ連絡し、社内ネットワークから切り離したため、他のパソコンやサーバーへの感染被害は免れた。IT担当者はウイルス感染のインシデント発生の経緯を経営層と全社員に報告するとともに、トップの判断でインシデントの発生と対応策をサプライチェーンの大手工作機械メーカーに伝えた。そして、社内のセキュリティ対策を再検討。外部からの脅威をネットワークの出入り口で防御するUTM(統合脅威管理)の導入や、端末レベルでウイルスなどの脅威を検知・防御するエンドポイントセキュリティ、社内ネットワーク経由の感染を検知・防御するセキュリティスイッチなどの導入を検討することになった。　

　セキュリティ製品の導入のみならず、メール攻撃などを防ぐには従業員のセキュリティ意識の向上が不可欠になる。今回のインシデントのように、不審なメールを開かないよう改めて徹底するとともに、標的型攻撃メールの訓練を定期的に実施するよう経営層に申し入れた。