他組織の安全性も確認を、広がるサプライチェーンへのサイバー攻撃リスク：製造ITニュース

[池谷翼，MONOist]

　トレンドマイクロは2022年1月12日、2021年に生じたサイバーセキュリティに関する主要な動向について解説するセミナーを開催した。増加するサプライチェーン経由のサイバー攻撃について説明するとともに、こうした攻撃の被害が、1社にとどまらず業界全体に波及する可能性を指摘した。

サプライチェーン全体を考えたセキュリティ対策を

　トレンドマイクロ セキュリティエバンジェリストである岡本勝之氏は、2021年のサイバー脅威動向として、「ビジネスのデジタル化による弱点の分散化」「サプライチェーン攻撃による企業間をまたがる攻撃の増加」「サイバー攻撃によるビジネス継続リスクの業界全体への波及」の3トピックを取り上げた。

トレンドマイクロの岡本勝之氏 出所：トレンドマイクロ

　1つ目のトピックは、テレワークなどによって、企業など法人組織のネットワーク以外にもサイバー攻撃者が標的とする攻撃箇所が増えたことに起因する問題である。自宅などで業務を行う従業員が増加したことで、サーバやVPNなどのネットワーク機器が外部からの攻撃を受けやすい環境となった。

　2つ目のトピックは、標的の企業を直接狙うのではなく、ネットワークでつながった関係のある企業を経由して仕掛ける攻撃が増加したということである。こうした攻撃は、大きく分けるとソフトウェア製品を通じて不正コードを実行する「ソフトウェアサプライチェーン攻撃」、サービスを介して攻撃する「サービスサプライチェーン攻撃」、海外拠点や子会社を経由した「ビジネスサプライチェーン攻撃」の3種類がある。

ビジネスサプライチェーン攻撃の一例［クリックして拡大］ 出所：トレンドマイクロ

　ソフトウェアサプライチェーン攻撃については、2021年12月にJava向けのログパッケージである「Apache Log4j」に脆弱性が発覚し、これを悪用した攻撃が確認されている。また、ビジネスサプライチェーン攻撃では、「BlackTech」や「APT10」といった攻撃者グループによる標的型攻撃が確認されており、以前に比較して活発化している様子が見られるという。

　3つ目のトピックは、ランサムウェアなどによる攻撃の影響がサプライチェーン全体へと広がるリスクについての指摘である。2021年5月には、米国の大手石油パイプライン企業であるコロニアル・パイプラインがランサムウェアによる攻撃を受けて6日間操業を停止する事件が起きた。この結果、米国東海岸地域への石油供給が約50％停止し、18の州で緊急事態宣言が発令されるなど、企業の枠を超えて、被害は大きく広がった。

サイバー攻撃によるビジネス継続リスクの業界全体への波及［クリックして拡大］ 出所：トレンドマイクロ

　岡本氏は、これらを踏まえて「企業がサイバー攻撃から自社を守る上では、自社の安全性だけでなく、他組織の安全性を確認した上で、サプライチェーン全体を考えたセキュリティ対策を講じるという考えが必要になってきている」と説明する。自社の安全性を保つ上では、ゼロトラストアーキテクチャに基づいた対策や、複数の技術で防御策を講じる多層防御の対策が必要になるとともに、これらの取り組みを自社が行っていると外部に示すことも大切だと指摘した。

　岡本氏は「サプライチェーンを狙った攻撃への対策を講じる上では、業界内の数社だけがセキュリティに高い意識を持っている、というのではなく、業界社会全体が危機感を持って対策を考えている、という状況が求められる」と語った。

⇒その他の「製造ITニュース」の記事はこちら