東京・築地にあるニチレイ本社へのサイバー攻撃により、「食の流通」に激震が走った。たった1社の被害でサプライチェーンが止まる現実に、どう備えるべきか。
セキュリティ製品導入だけでは不十分
パソコンやサーバーなどの端末を監視して脅威に対応するEDRやUTM、ウイルス対策ソフトなどのセキュリティ製品を導入することは重要である。しかし、製品を導入しただけで、サイバー攻撃への備えが完了するわけではない。
実際の現場では、アラートが発生した際に、次のような判断が求められる。本当に危険な事象なのか、誤検知なのか。端末やシステムを直ちに隔離すべきか。業務を停止する必要があるか。経営層や取引先へ、いつ、何を報告すべきか。どの段階で外部の専門家へ支援を求めるべきか。
—
こうした判断を誰が行うのかが決まっていなければ、アラートが放置されたり、社内で報告が滞ったりする。その間にも被害は拡大する可能性がある。
平時からの準備が緊急時の対応を左右する
だからこそ、端末やシステムを隔離・停止する基準、停止する範囲、事業部門との連携方法を平時から決めておく必要がある。緊急時にゼロから判断しようとすれば、対応が遅れるだけでなく、必要以上に広い業務停止を招く可能性もある。
求められるのは、攻撃を完全に防ぐことだけではない。異常を検知した後に状況を整理し、適切な初動を選択し、被害と事業影響を最小限に抑えて、早期に回復できる体制である。
SCS評価制度を「対策を整理する物差し」に
サプライチェーン全体のセキュリティ水準を高めるため、経済産業省などは「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の整備を進めている。★3と★4については、26年度末頃の申請受付開始が目指されている。
この制度は、取引関係にある企業同士が、必要なセキュリティ対策の水準を共通の物差しで確認できるようにするものだ。
