グローバルで戦う2人のCISOが議論:「どこまでセキュリティ対策すべきか」に答えを出す“2つの糸口”
人材不足の海外拠点でインシデントが発生……CISOはどう対応した?

サイバー攻撃への対策が重視されて久しく、特に大企業の本社では様々な対策が施されている。サイバー攻撃者はこうした企業に対し、正面突破ではなく、支社や関連企業などの脆弱性を狙って攻撃を仕掛けるようになったことで、サプライチェーンのサイバーセキュリティリスクはとどまるところを知らない。特に巨大なサプライチェーンを抱えるグローバル企業のCISOは、サプライチェーンセキュリティにどう向き合うべきか。イオングループでCISOを務める吉田俊介氏と、自社のCISOを務めながらもグローバル企業のセキュリティコンサルティングも行うニュートン・コンサルティング CISO 内海良氏による議論から、グローバルにわたるサプライチェーンセキュリティのトレンドや対策を紐解く。
チェックシートも煩雑に……セキュリティ対策評価を効率化するには
パネルディスカッションでは、グローバル企業におけるサプライチェーンリスクマネジメントやCISOの役割について論じられた。登壇したのはイオン CISO ICT推進 吉田俊介氏と、ニュートン・コンサルティング 執行役員 兼 CISO プリンシパルコンサルタント 内海良氏。
吉田氏は長年システムの研究開発やセキュリティ施策に携わり、現在はイオンのCISOとしてグループのITマネジメントやセキュリティガバナンスを推進している。一方、内海氏はニュートン・コンサルティングのCISOを務めると同時に、企業におけるCISOなどのセキュリティ責任者に向けてコンサルティングする立場でもある。
まずは、大企業の足をすくいかねないサプライチェーンのセキュリティリスクについて議論が展開された。2023年11月には、LINEヤフーの関連企業の委託先企業に勤める従業員のPCがマルウェアに感染したことで、LINEヤフーと共通で利用していた認証基盤を介した不正アクセスが発覚。これにより、LINEヤフーで約44万件の個人情報が流出する事態となった。同様にJCOMでは2023年11月、販売代理店が提供しているスマートフォンアプリのサーバーへの不正アクセスを通じて、約23万件の顧客情報が流出している。これらのケースは個人情報を保有する企業そのものではなく、関連企業から侵入され、最終的に個人情報流出につながった例だ。
このようなサプライチェーンリスクに企業はどう対応しているのだろうか。吉田氏は、「イオンではグループ企業や委託先にセキュリティチェックシートを配布し、しかるべきセキュリティ対策を行っているかを確認しています」という。これを受けて内海氏は、こうしたセキュリティチェックシートは「良くも悪くも、もはや文化と呼べるほどに根付いてきていますね」と補足した。

とはいえ、世界各国に拠点を持ち、関連会社も多いとなれば、個別の細かいセキュリティチェックは依頼する本社側も回答する企業側もかなりの負担になる。この負荷や工数も課題だ。これに対して吉田氏は「チェック項目を減らすことは難しいので、社内で回答結果を共有して再利用できるようにすることで、工数を削減できるように工夫しています」と話す。他の企業事例でいえば、セキュリティのレーティングサービスやアタックサーフェスマネジメントのスコアを提出することで、それをチェックシートに代える企業も出てきていると内海氏は説明する。
また、チェックシートは基本的に自己申告による確認手段のため、どこまで信頼に値するかもあいまいだ。加えて、取引先に対して厳しく強制しすぎると「下請けいじめ」になりかねない。そのため、「法務観点での調整も重要になってきます」と内海氏は説く。
この記事は参考になりましたか?
- Security Online Day 2025 春の陣レポート連載記事一覧
-
- 出荷前から出荷後まで──三菱電機の製品セキュリティを掌る「PSIRT」は事業部門との“協働...
- 齋藤孝道教授が語る「デジタル影響工作」の実態 “茹でガエル型の脅威”に侵される日本企業が今...
- グローバルで戦う2人のCISOが議論:「どこまでセキュリティ対策すべきか」に答えを出す“2...
- この記事の著者
-
加山 恵美(カヤマ エミ)
EnterpriseZine/Security Online キュレーターフリーランスライター。茨城大学理学部卒。金融機関のシステム子会社でシステムエンジニアを経験した後にIT系のライターとして独立。エンジニア視点で記事を提供していきたい。EnterpriseZine/DB Online の取材・記事も担当しています。Webサイト:https://emiekayama.net
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか?
この記事をシェア