最新セキュリティマネジメント(第11回)サプライチェーン全体の対策及び状況把握

リスクマネジメント 働き方改革

公開日:2022.04.19

  • PDF PDF
  • ボタンをクリックすることで、Myクリップ一覧ページに追加・削除できます。追加した記事は、「Myクリップ」メニューからいつでも読むことができます。なお、ご利用にはBiz Clipに会員登録(無料)してログインする必要があります。

 経済産業省が策定した「セキュリティ経営ガイドライン」で、経営者が社内に対して指示すべきポイントとして示された「重要10項目」。今回は9番目の項目「ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策及び状況把握」について解説する。

サプライチェーン全体の対策が重要

 経済産業省と独立行政法人情報処理推進機構(IPA)が共同で策定した「サイバーセキュリティ経営ガイドライン Ver2.0」では、企業のIT活用を推進する上で経営者が認識すべきサイバーセキュリティに関する原則や、経営者がリーダーシップをもって取り組むべき項目がまとめられている。

 企業が行うサイバーセキュリティ対策は、当事者となる自分の組織だけに限られたものではない。商品・サービスの取引先をはじめ、ビジネスパートナーや業務委託先など、多くの関係者で構成されるさまざまな業務プロセスの集合体である「サプライチェーン」全体で取り組む必要がある。

 例えば、サイバー攻撃では、対策が不十分な状態にある1つの企業を「踏み台」として、その取引先である企業へと攻撃を拡大し、重大な被害をもたらすケースが後を絶たない。また、関係する企業の被害状況を十分把握できないことが原因で対策が遅れた結果、サプライチェーン全体の運用が停止する事態を招くケースも発生している。このような場合、「委託先の対策が不十分で被害を防げなかった」といった説明は通用しない。外部から見た場合、このような主張は責任転嫁と捉えられ、全ての関係者が姿勢を問われることになる。

 今回は監査の実施や対策状況の把握を含むサイバーセキュリティ対策のPDCAについて、系列企業、サプライチェーンのビジネスパートナーやシステム管理の運用委託先などを含めた運用を進める方法と、システム管理などの委託について、自分の組織で対応する部分と外部に委託する部分で適切な切り分けを行う方法について解説する。

契約時にセキュリティ対策を確認

 言うまでもないことだが、サイバーセキュリティ対策には相応の「労力」と「コスト」が必要だ。サプライチェーン全体で考えた場合、企業によっては人員不足で対策が不十分になっていたり、思うように関連予算を割り当てられていなかったりするケースも出てくるだろう。

 本ガイドラインでは、サイバーセキュリティ対策は自分の組織だけで完結するものではなく、サプライチェーン全体で取り組むべき課題であると指摘しているが、現代のサプライチェーンは非常に大規模なものとなっており、全ての関係先が十分な対策を取っているかを確認することは難しい。さらに、海外の拠点や取引先まで含めなければならない場合にはグローバルな対応が必要になり、さらに把握が困難になっているというのが現状だ。

 そこで、本ガイドラインではサプライチェーンのセキュリティ対策を推進する第一歩として、「契約」の重要性を挙げている。これは、企業間でさまざまな取引を開始するに当たり、相手先が現時点でどのようなサイバーセキュリティ対策を実施しているか、不測の事態が発生した場合にどのような体制で解決を図るのかといった取り組みの内容を確認した上で、契約を行うべきというものだ。

 言い換えれば、ビジネスを始める条件の1つとしてセキュリティ対策を挙げ、「条件を満たさない企業とは取引しない」という姿勢を示すべきだとしている。長年取引がある企業に関しても改めて現状を報告してもらったり、報告内容に不備がある場合は再度確認したりする必要もある。「これまで問題なかったから大丈夫だろう」という甘い姿勢、判断が大きなリスクとなり、深刻な事態を招くと認識すべきだ。

「遠慮・忖度」なき協力体制の構築…

続きを読むにはログインが必要です

\ かんたん入力で登録完了 /

会員登録3つのメリット!!

  • 最新記事をメールでお知らせ!
  • すべての記事を最後まで読める!
  • ビジネステンプレートを無料ダウンロード!

執筆=林 達哉

【TP】

「リスクマネジメント」人気記事ランキング

連載バックナンバー

最新セキュリティマネジメント

無料!おすすめのダウンロード資料

  • 企業の情報セキュリティリスク認知調査2023

    企業の情報セキュリティリスク認知調査2023

    テクノロジーの進化によって、生産性の向上や多様な働き方の実現などの恩恵がもたらされる一方、サイバー攻撃も多様化・複雑化の一途をたどっています。こうした中、攻撃手法などの情報セキュリティリスクをどれくらい認知しているのだろうか。その最新動向について調査しました。

  • 情報セキュリティ対策意識調査2022

    情報セキュリティ対策意識調査2022

    DX推進が企業にとって成長のドライバーとなる中、サイバー攻撃も多様化・複雑化の一途をたどっています。AIやRPAなど各種のICTテクノロジーや、社内外のコミュニケーションを円滑化するクラウドストレージ活用が進む現在、企業における情報セキュリティ対策はどうなっているのだろうか。対策度合いや、脅威に感じるもの、対策をするうえでの課題などの最新動向について調査を行いました。

  • その対策は効果ナシ!セキュリティの常識を検証する

    その対策は効果ナシ!セキュリティの常識を検証する

    サイバー攻撃の被害が深刻化し、従来のセキュリティの常識が 崩れ始めています。本当に必要な対策とは何か?情報セキュリティ大学院大学の大久保隆夫教授にお聞きしました。

オンラインセミナー動画

  • 新着記事

配信期間

配信期間:2023年9月15日(金)~2024年8月30日(金)

セキュリティ関連

【経済産業省サイバーセキュリティ課登壇】 サイバー攻撃に対して中小企業が取るべき対策とは

  • 新着記事

配信期間

2023年5月31日(水)~2023年12月26日(火)

法改正関連

税理士登壇!インボイス制度の解説