｢食の流通｣が激震…ニチレイへのサイバー攻撃､たった1社の被害で"サプライチェーンが止まる"現実にどう備えるか

自社が攻撃を受けていなくても、重要な物流会社や委託先、クラウドサービスが止まれば、自社の商品やサービスを提供できなくなる。サイバーリスクは、もはや情報システム部門だけの問題ではなく、調達、物流、製造、販売を含む経営上のリスクなのである。

システム障害の影響で店舗運営に影響が出ていた日本ケンタッキー・フライド・チキンから出された「通常営業再開のお知らせ」（画像：日本ケンタッキー・フライド・チキンのホームページより）

サプライチェーンには2つのサイバーリスクがある

今回の事案について、攻撃者が子会社や取引先を経由してニチレイグループへ侵入した、いわゆる「サプライチェーン攻撃」であったかどうかは、現時点の公式発表では明らかにされていない。

一方で、今回のシステム障害が、ニチレイグループ内にとどまらず、外食、小売、食品メーカーなど多くの企業へ影響を及ぼしたことは、サプライチェーンを介して被害が広がる現実を示している。

サプライチェーンを巡るサイバーリスクには、大きく分けて2つの側面がある。

1つ目は、今回の事案が該当すると確認されているわけではないものの、一般に、取引先やグループ会社が攻撃者の侵入経路として悪用されるリスクである。

セキュリティ対策が比較的強固な大企業を直接狙うのではなく、ネットワークや業務システムで接続されている子会社、業務委託先、仕入先などへ侵入し、そこから本来の標的へ攻撃を広げる手口がある。