｢食の流通｣が激震…ニチレイへのサイバー攻撃､たった1社の被害で"サプライチェーンが止まる"現実にどう備えるか

評価対象は、特定のセキュリティ製品を導入しているかどうかだけではない。ガバナンス、取引先管理、リスクの特定、システムの防御、攻撃の検知、インシデントへの対応や復旧など、組織的・運用的な対策も含まれている。

ただし、SCS評価制度は任意の制度であり、評価を取得していなければ取引が禁止されるものではない。また、特定の製品を導入することが義務づけられているわけでもない。

重要なのは、評価を取得すること自体を目的にするのではなく、制度の要求事項を、自社に不足している対策を把握するためのチェックリストとして活用することである。

限られた予算や人員の中で、どの対策から優先して取り組むべきかを整理する。そのための共通の物差しとして制度を活用することが、中小企業にとって現実的な向き合い方ではないだろうか。

「侵入されない」だけでなく「止まっても続けられる」組織へ

ニチレイの事案から学ぶべきなのは、サイバー攻撃が一企業の問題で終わらないということだ。

中小企業やグループ企業は、攻撃者の侵入経路になりうる。一方で、大企業や主要な委託先が停止すれば、その影響を受ける側にもなる。企業が確認すべきなのは、セキュリティ製品の導入状況だけではない。

• 重要なシステムや委託先を把握できているか
• 取引先が停止した場合の代替手段があるか
• 異常を誰が判断し、誰へ報告するかが決まっているか
• 外部の専門家へ相談する基準や連絡先が決まっているか
• サイバー攻撃による停止を事業継続計画に組み込んでいるか

こうした仕組みは、事故が起きた後に急いで整えられるものではない。制度の開始に間に合わせるためではなく、自社や取引先の事業を守るために、今のうちから自社の依存関係と対応体制を見直すべきである。

サプライチェーンが複雑につながる現在、必要なのは「自社だけを守るセキュリティ」ではない。取引先と互いに影響し合うことを前提として、攻撃を受けても、重要な委託先が停止しても、事業を継続・回復できる組織をつくることである。

東洋経済Tech×サイバーセキュリティでは、サイバー攻撃、セキュリティの最新動向、事業継続を可能にするために必要な情報をお届けしています。