CISOと外部コンサルの“二刀流”、内海氏がNIST「171ガイドライン」から必要な対策を読み解く
厳格化が進むサプライチェーンセキュリティ
2020年頃からのランサムウェア攻撃の多発や最近の国際情勢の変動を受け、企業のセキュリティ担当者には、増大する脅威にいかに立ち向かうかが問われている。9月16日に行われた「Security Online Day 2022」では、外部へのコンサルティングと自社でのCISOという、“二刀流”のニュートン・コンサルティングの内海良氏が登壇。「サプライチェーンセキュリティの実践 〜時勢と事例から読み解く今後求められる対応とは〜」と題した講演を行った。
多様化するサプライチェーン攻撃
「一口に『サプライチェーン攻撃』と言っても、昨今では複数のタイプがあり、それぞれが思い描く攻撃イメージが異なる可能性がある」と内海氏は指摘する。JPCERTコーディネーションセンターの資料を参考に、内海氏は以下の3つでサプライチェーン攻撃を整理する。
物理被害サプライチェーン攻撃
ターゲットになる企業の関連企業や取引先が直接的な攻撃を受け、部品供給などが滞るなど、物理的な被害が発生するものを指す。サプライチェーンの1次取引企業だけでなく、2次取引企業が攻撃されると部品供給が困難になる。その結果、川下のメーカーの製造中止を余儀なくされる複数の例が報告されている。2022年3月に起きたトヨタ取引先の小島プレス工業へのランサムウェア攻撃は、記憶に新しいところだ。
ソフトウェアサプライチェーン攻撃
ソフトウェアベンダーやマネージドサービスプロバイダーが提供するシステムに、マルウェアやバックドアが混入し、サービスユーザーやアプリケーション利用企業にまで被害が及ぶようなものを指す。OSSのモジュールに脆弱性があり、そこを攻撃される例が見られるようになってきた。たとえば2020年12月に起きたSolarWindsへの攻撃では、同社の製品にバックドアが混入し、18,000社の顧客が影響を受けた。
アイランドホップ攻撃
ターゲットになる企業の関連企業や取引先を複数攻撃し、いくつかの経路から段階的にターゲットへの攻撃を行う方法を指す。標的はターゲット企業が持つ重要な情報のこともあれば、その下請けの関連企業が持つ重要情報のこともある。これに該当するのが、2020年7月の米Kaseyaへの攻撃である。同社製品の脆弱性を突かれ、ランサムウェアの拡散に利用されてしまった。
このようにサプライチェーン攻撃には複数の種類があるが、「日本と海外で毛色の違いがあるように思う」と内海氏は続ける。海外ではソフトウェアサプライチェーン攻撃が中心で、攻撃テクニックにも様々なものがあるが、ターゲットになる資産がソフトウェアであるケースが多いという。具体的には、先行的に公開されているソフトウェアやライブラリーである。世の中のソフトウェアの99％がオープンソースソフトウェアのコードを利用しているとの指摘もあり、その関係でSBOM（Software Bill Of Materials：ソフトウェア部品表）を公開するべきという意見も聞かれる。
この記事は参考になりましたか？
- Security Online Day 2022レポート連載記事一覧
- この記事の著者
-
冨永 裕子（トミナガ ユウコ）
IT調査会社（ITR、IDC Japan）で、エンタープライズIT分野におけるソフトウエアの調査プロジェクトを担当する。その傍らITコンサルタントとして、ユーザー企業を対象としたITマネジメント領域を中心としたコンサルティングプロジェクトを経験。現在はフリーランスのITアナリスト兼ITコンサルタン...
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
【AD】本記事の内容は記事掲載開始時点のものです 企画・制作 株式会社翔泳社
この記事は参考になりましたか？
この記事をシェア
