SHOEISHA iD

※旧SEメンバーシップ会員の方は、同じ登録情報(メールアドレス&パスワード)でログインいただけます

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

直近開催のイベントはこちら!

Data Tech 2022

2022年12月8日(木)10:00~15:50

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けの講座「EnterpriseZine Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。

お申し込み受付中!

Security Online Day 2022レポート(PR)

CISOと外部コンサルの“二刀流”、内海氏がNIST「171ガイドライン」から必要な対策を読み解く

厳格化が進むサプライチェーンセキュリティ

 2020年頃からのランサムウェア攻撃の多発や最近の国際情勢の変動を受け、企業のセキュリティ担当者には、増大する脅威にいかに立ち向かうかが問われている。9月16日に行われた「Security Online Day 2022」では、外部へのコンサルティングと自社でのCISOという、“二刀流”のニュートン・コンサルティングの内海良氏が登壇。「サプライチェーンセキュリティの実践 〜時勢と事例から読み解く今後求められる対応とは〜」と題した講演を行った。

多様化するサプライチェーン攻撃

 「一口に『サプライチェーン攻撃』と言っても、昨今では複数のタイプがあり、それぞれが思い描く攻撃イメージが異なる可能性がある」と内海氏は指摘する。JPCERTコーディネーションセンターの資料を参考に、内海氏は以下の3つでサプライチェーン攻撃を整理する。

物理被害サプライチェーン攻撃

 ターゲットになる企業の関連企業や取引先が直接的な攻撃を受け、部品供給などが滞るなど、物理的な被害が発生するものを指す。サプライチェーンの1次取引企業だけでなく、2次取引企業が攻撃されると部品供給が困難になる。その結果、川下のメーカーの製造中止を余儀なくされる複数の例が報告されている。2022年3月に起きたトヨタ取引先の小島プレス工業へのランサムウェア攻撃は、記憶に新しいところだ。

ソフトウェアサプライチェーン攻撃

 ソフトウェアベンダーやマネージドサービスプロバイダーが提供するシステムに、マルウェアやバックドアが混入し、サービスユーザーやアプリケーション利用企業にまで被害が及ぶようなものを指す。OSSのモジュールに脆弱性があり、そこを攻撃される例が見られるようになってきた。たとえば2020年12月に起きたSolarWindsへの攻撃では、同社の製品にバックドアが混入し、18,000社の顧客が影響を受けた。

アイランドホップ攻撃

 ターゲットになる企業の関連企業や取引先を複数攻撃し、いくつかの経路から段階的にターゲットへの攻撃を行う方法を指す。標的はターゲット企業が持つ重要な情報のこともあれば、その下請けの関連企業が持つ重要情報のこともある。これに該当するのが、2020年7月の米Kaseyaへの攻撃である。同社製品の脆弱性を突かれ、ランサムウェアの拡散に利用されてしまった。

画像を説明するテキストなくても可
ニュートン・コンサルティング CISO 兼 第二カンパニー長、プリンシパルコンサルタント 内海良氏

 このようにサプライチェーン攻撃には複数の種類があるが、「日本と海外で毛色の違いがあるように思う」と内海氏は続ける。海外ではソフトウェアサプライチェーン攻撃が中心で、攻撃テクニックにも様々なものがあるが、ターゲットになる資産がソフトウェアであるケースが多いという。具体的には、先行的に公開されているソフトウェアやライブラリーである。世の中のソフトウェアの99%がオープンソースソフトウェアのコードを利用しているとの指摘もあり、その関係でSBOM(Software Bill Of Materials:ソフトウェア部品表)を公開するべきという意見も聞かれる。

次のページ
サプライチェーンセキュリティの必要性

この記事は参考になりましたか?

  • Facebook
  • Twitter
  • Pocket
  • note
Security Online Day 2022レポート連載記事一覧

もっと読む

この記事の著者

冨永 裕子(トミナガ ユウコ)

 IT調査会社(ITR、IDC Japan)で、エンタープライズIT分野におけるソフトウエアの調査プロジェクトを担当する。その傍らITコンサルタントとして、ユーザー企業を対象としたITマネジメント領域を中心としたコンサルティングプロジェクトを経験。現在はフリーランスのITアナリスト兼ITコンサルタン...

※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です

この記事は参考になりましたか?

この記事をシェア

EnterpriseZine(エンタープライズジン)
https://enterprisezine.jp/article/detail/16685 2022/10/24 11:00

Job Board

PR

おすすめ

アクセスランキング

アクセスランキング

イベント

EnterpriseZine(エンタープライズジン)編集部では、情報システム担当、セキュリティ担当の方々向けに、EnterpriseZine Day、Security Online Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。

2022年12月8日(木)10:00~15:50

新規会員登録無料のご案内

  • ・全ての過去記事が閲覧できます
  • ・会員限定メルマガを受信できます

メールバックナンバー

アクセスランキング

アクセスランキング