｢食の流通｣が激震…ニチレイへのサイバー攻撃､たった1社の被害で"サプライチェーンが止まる"現実にどう備えるか

2つ目は、重要な取引先や委託先が停止することで、自社の事業にも影響が及ぶリスクである。

今回のニチレイの事案は、まさにこちらのリスクを強く示している。攻撃を直接受けていない企業であっても、物流や製造を担う事業者が停止すれば、商品の供給や店舗運営に影響が及ぶ。

約7割の中小企業に残る「体制の空白」

こうしたリスクに対し、中小企業の備えは十分とはいえない。独立行政法人情報処理推進機構（IPA）が公表した調査によると、中小企業の約7割では、組織的なセキュリティ体制が整備されていない。

また、サイバーインシデントが発生した中小企業の約7割が、取引先にも何らかの影響があったと回答している。不正アクセス被害を受けた企業のうち、他社を経由して侵入されたケースも約2割に上る。

被害は自社だけで完結しない。自社の停止が顧客や取引先の事業を止めることもあれば、自社が他社への攻撃の足がかりとして利用されることもある。

一方で、中小企業では、セキュリティ対策に割ける予算や専門人材が限られている。「何から対策すべきかわからない」「費用対効果を説明できない」といった理由から、対策が進まないケースも少なくない。

だからこそ、すべての対策を一度に実施しようとするのではなく、自社の事業にとって重要なシステムや取引先を把握し、停止した場合の影響が大きい部分から優先的に対策する必要がある。

企業のセキュリティ支援に携わる中で繰り返し目にするのは、「何も検知できていない」企業だけではない。アラートは検知できているのに、その後に何を判断し、どこまで対応すべきかを決められない企業も少なくない。