※この記事は、以下企業の提供でお届けしています。
・株式会社ソリトンシステムズ様
・e-Janネットワークス株式会社様
・株式会社ZenmuTech様
・横河レンタ・リース株式会社様
・アップデータ株式会社様
サプライチェーン攻撃とは
サプライチェーン攻撃とは、標的企業に直接侵入するのではなく、信頼されている取引先や委託先、子会社、クラウドサービス、ソフトウェアなどを踏み台として、最終的に標的企業への侵入を行う攻撃手法です。
企業活動は、原材料や部品の調達、システム開発、保守、物流、クラウドサービスなど、多くの外部企業との連携によって成り立っています。そのなかに対策が不十分な組織やシステムがあると、攻撃者に侵入経路として狙われるおそれがあります。
例えば、取引先のVPN機器から侵入して接続先企業へ攻撃を広げる方法や、正規ソフトウェアの更新プログラムに不正なコードを混入させる方法があります。自社のネットワークが直接攻撃されていなくても、取引先の停止によって部品やデータが届かず、自社の業務まで止まるケースもサプライチェーンリスクの一つです。
取引先や委託先を経由する攻撃
取引先や委託先が利用するVPN機器、リモート保守環境、共有アカウントなどを狙う手口です。攻撃者は比較的侵入しやすい企業を起点として、接続先のネットワークや基幹システムへ攻撃範囲を広げます。
特に、委託先とのネットワークが常時接続されている場合や、接続可能な範囲が広く設定されている場合は、１社の侵害が複数企業へ波及する可能性があります。
ソフトウェアや更新プログラムを悪用する攻撃
ソフトウェアの開発・配布工程に侵入し、正規の更新プログラムなどに不正なコードを組み込む手口です。利用企業は正規の提供元から配布されたプログラムだと考えて導入するため、従来の対策だけでは検知が難しい場合があります。
多数の企業が利用するソフトウェアが悪用されると、１回の攻撃によって広範囲へ被害が拡大する点が特徴です。
サプライチェーン攻撃の代表的な被害事例
サプライチェーン攻撃では、侵入を受けた企業だけでなく、製品やサービスの供給を受ける企業、顧客、社会インフラにも影響が及びます。ここでは、被害の広がり方が異なる３つの事例を紹介します。
取引先の停止が生産へ波及した大手自動車メーカーの事例
2022年２月、大手自動車メーカーの取引先である部品メーカーが、ウイルス感染によるシステム障害を公表しました。同社は一部サーバへの感染と脅迫メッセージを確認し、取引先や外部とのネットワークを遮断して、すべてのシステムを停止しました。
部品の生産や受発注に必要なデータをやり取りできなくなった影響により、大手自動車メーカーは同年３月１日、国内14工場28ラインの稼働を停止しました。翌日には再開したものの、取引先１社のシステム障害が、大手自動車メーカーの国内生産全体へ波及した事例です。
この事例からは、自社のセキュリティ対策だけでなく、重要な取引先が停止した場合の代替手段や連絡方法、必要なデータの受け渡し方法まで準備しておく必要性がわかります。
委託先のシステムから侵入された医療機関の事例
2022年10月、大規模医療機関でランサムウェア攻撃によるシステム障害が発生しました。調査報告書では、給食業務を担う委託先が運用するシステムのリモート保守用VPN機器から侵入され、医療機関のネットワークへ攻撃が広がったと推定されています。
電子カルテを含む総合情報システムが利用できなくなり、救急診療や外来診療、予定手術などが制限されました。電子カルテサーバは同年12月に再稼働し、診療機能が完全に復旧したのは翌年１月です。復旧にあたっては、2,000台を超えるサーバや端末を初期化し、クリーンインストールする対応が行われました。
一方で、オフラインで保管されていたバックアップなどを活用し、段階的に診療を再開しています。侵入防止だけでなく、バックアップを攻撃から隔離して保管し、実際に復元できる状態にしておく重要性を示す事例です。
正規ソフトウェアの更新機能が悪用された事例
2020年、ネットワーク管理ソフトウェアの正規アップデートに不正なコードが混入され、利用組織へ配布される事案が発覚しました。米国の政府機関を含む多数の組織が影響を受けています。
米国のサイバーセキュリティ当局は、影響を受ける製品について、ネットワークから切り離すか電源を停止するよう連邦政府機関へ指示しました。信頼して利用しているソフトウェアや更新プログラムも、侵入経路になり得ることを示した事例です。
サプライチェーン攻撃による主なリスク
サプライチェーン攻撃を受けると、情報漏えいやシステム停止だけでなく、取引先や顧客にも影響が及びます。主なリスクを確認しておきましょう。
機密情報や個人情報の漏えい
攻撃者にネットワークへ侵入されると、顧客情報や従業員情報、設計図、取引情報などを窃取されるおそれがあります。近年のランサムウェア攻撃では、データを暗号化するだけでなく、事前に情報を持ち出して公開をちらつかせる二重脅迫も行われています。
生産やサービス提供の停止
受発注システムや生産管理システム、電子カルテなどが利用できなくなると、企業活動そのものを継続できない場合があります。自社のシステムが稼働していても、重要な取引先から部品やデータが届かなければ、業務を止めざるを得ません。
取引先への被害拡大
侵害されたアカウントやネットワーク接続を利用し、攻撃が別の企業へ広がる可能性があります。その場合、自社は被害者であると同時に、取引先への攻撃経路になってしまうおそれがあります。
被害範囲の調査や関係先への連絡が遅れると、複数企業の業務停止や情報漏えいにつながりかねません。
信用低下や復旧費用の増加
システムの調査や端末の初期化、データの復元、顧客対応などには、多くの費用と人員が必要です。復旧が長期化すれば、売上機会の損失や顧客離れ、取引条件の見直しにつながる可能性もあります。
さらに、原因調査や再発防止策の実施、外部専門家への依頼などが必要になると、復旧後も継続的なコストが発生します。
サプライチェーン攻撃を防ぐための基本対策
サプライチェーン攻撃への対策では、自社の端末やネットワークを守る施策に加えて、取引先との接続や委託業務を継続的に管理する必要があります。
| 対策 | 概要 |
|---|---|
| IT資産と接続状況の把握 | 端末・サーバ・クラウドサービスや、取引先との接続状況を整理する |
| OS・ソフトウェアの更新 | 既知の脆弱性を放置せず、更新プログラムを適用する |
| 多要素認証とアクセス制御 | 不正ログインを防ぎ、必要最低限の権限だけを付与する |
| ネットワークの分離 | 侵入時の被害が社内全体へ広がらないよう接続範囲を限定する |
| ログ取得と異常監視 | 不審な接続や操作を検知し、侵害範囲を把握できる状態にする |
| 取引先・委託先の管理 | 情報管理体制やアクセス権限、インシデント時の連携方法を確認する |
IT資産と取引先との接続状況を把握する
まず、社内で利用している端末やサーバ、ネットワーク機器、クラウドサービス、ソフトウェアを洗い出します。管理されていない端末や古いシステムが残っていると、脆弱性への対応漏れが発生しやすくなります。
あわせて、委託先や保守事業者がどのシステムへ接続できるのか、どのアカウントを利用しているのかを整理しましょう。契約が終了した委託先のアカウントや、長期間使われていない接続設定も削除が必要です。
OSやソフトウェアを更新する
OS、VPN機器、ルーター、業務ソフトウェアなどに更新プログラムを適用し、既知の脆弱性を放置しないことが基本です。特にインターネットから接続できるVPN機器やリモートアクセス環境は、優先的に確認しましょう。
ただし、正規の更新プログラムが悪用されたSolarWindsのような事例もあります。更新元の確認や、更新後の通信・挙動の監視もあわせて実施することが重要です。
多要素認証とアクセス制御を導入する
パスワードだけに依存せず、多要素認証を利用します。特に、管理者アカウントやVPN、クラウドサービス、委託先が利用するリモート保守アカウントには優先的な導入が求められます。
アカウントには必要最低限の権限だけを付与し、管理者権限を日常業務に使用しない運用も重要です。仮に１つのアカウントが侵害されても、攻撃範囲を限定しやすくなります。
ネットワークを分離する
社内ネットワークを一つにつなげた状態では、１台の端末への侵入から基幹システムやバックアップ環境まで攻撃が広がる可能性があります。 業務内容や重要度に応じてネットワークを分離し、委託先から接続できる範囲も限定しましょう。感染が疑われる端末を速やかに隔離できる仕組みも必要です。
ログを取得して異常を監視する
認証ログ、VPNの接続ログ、端末の操作ログ、サーバやクラウドサービスのログを取得し、一定期間保管します。不審な時間帯からの接続や大量のファイル操作、管理者権限の変更などを検知できる体制を整えましょう。
ログが不足していると、侵害された端末や攻撃範囲を特定できません。安全性を確認できない端末をすべて初期化するなど、復旧作業が大規模になる可能性があります。
取引先や委託先の対策状況を確認する
委託先を選定する際は、情報管理体制、インシデント発生時の連絡方法、再委託の有無、アクセス権限の管理方法などを確認します。契約時に確認するだけでなく、定期的な見直しも必要です。
一方的にチェックリストへの回答を求めるのではなく、委託する情報や接続範囲に応じて、必要な対策を双方で整理しましょう。
SCS評価制度をセキュリティ対策の見直しに活用する
サプライチェーン全体のセキュリティ対策を進めるため、経済産業省と内閣官房国家サイバー統括室は、2026年３月に「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の制度構築方針を公表しました。制度はIPAが運営します。
SCS評価制度の概要
SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を、共通の基準で確認しやすくする制度です。
委託元にとっては、取引先へどのような対策を求めればよいのかわかりにくいという課題があります。一方、委託先は複数の取引先から異なるチェックリストへの回答を求められ、対応が負担になる場合があります。
SCS評価制度では、想定される脅威や求められる対策水準、評価方法に応じて★３・★４が設けられています。各段階の基本的な違いは、以下のとおりです。
参考：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）｜ METI/経済産業省
★３と★４で想定される対策水準
IPAによると、★３は一般的なサイバー脅威へ対処できる水準、★４は初期侵入の防御に加えて、内外への被害拡大防止や取引先のデータ・システム保護に寄与する水準として整理されています。
★３ではセキュリティ専門家の確認を受けた自己評価、★４では評価機関による第三者評価と技術検証が予定されています。上位の段階は下位の対策を含みますが、★３を取得してからでなければ★４を取得できないという仕組みではありません。
製品導入ではなく継続的な運用を考える
SCS評価制度を活用する際に重要なのは、評価の取得やチェック項目を埋めることだけを目的にしないことです。
例えば、IT資産を把握する、アクセス権限を管理する、異常を検知する、インシデントへ対応する、バックアップから復旧するといった取り組みは、日常的な運用が伴わなければ十分な効果を得られません。
現在利用しているOSやクラウドサービス、セキュリティ機能を適切に設定するだけで改善できる場合もあります。まずは自社の現状とリスクを整理し、不足している対策を補うことが大切です。
特定の製品を導入すれば制度に対応できるわけではありません。SCS評価制度を、自社や取引先のセキュリティ体制と事業継続を見直すきっかけとして活用しましょう。
サプライチェーン攻撃は完全には防ぎきれない
脆弱性対策や多要素認証、アクセス制御を徹底しても、サイバー攻撃を100％防ぐことは困難です。未知の脆弱性が悪用される場合や、正規ソフトウェアの開発・更新工程が侵害される場合もあります。
また、ISMSなどの認証を取得していても、設定ミスや運用上の不備、人為的なミスまで完全になくせるわけではありません。
そのため、侵入を防ぐ対策と並行して、被害を受けた場合にどこまで影響を抑え、どのくらいの時間で業務を再開できるかを考える必要があります。このような、障害や攻撃を受けても事業を回復させる力がサイバーレジリエンスです。
被害発生後に事業を継続するための復旧対策
復旧対策では、バックアップを保管するだけでなく、「必要なデータを、必要な時間内に、実際に戻せるか」まで確認することが重要です。
| 復旧対策 | 概要 |
|---|---|
| 重要なシステムとデータの優先順位付け | 業務への影響を踏まえ、優先して復旧する対象を決める |
| RPO・RTOの設定 | どの時点まで戻すか、どのくらいの時間で再開するかを定める |
| バックアップの分散保管 | 攻撃や障害に備え、複数の場所や方法でデータを保管する |
| 復旧手順の文書化 | インシデント発生時の対応手順や担当者を明確にする |
| 定期的な復旧訓練 | バックアップから実際に復元し、業務再開できるか確認する |
| 代替手段の準備 | システム停止中も業務を継続できる方法を用意する |
重要なシステムとデータに優先順位を付ける
すべてのシステムを同時に復旧することは困難です。停止した場合の影響を整理し、優先して復旧するシステムや業務を決めておきましょう。
顧客対応、受発注、生産管理、会計、社内コミュニケーションなど、業務ごとに許容できる停止時間は異なります。重要度に応じて復旧の順番を決めることで、限られた人員や設備を有効に配分できます。
RPOとRTOを設定する
バックアップと復旧を設計する際は、RPOとRTOを設定します。
| 項目 | RPO | RTO |
|---|---|---|
| 指標 | 目標復旧時点 | 目標復旧時間 |
| 意味 | 障害発生時に、どの時点のデータまで戻せればよいか | 障害発生から、どのくらいの時間で業務を再開するか |
| 検討例 | １時間前、前日の業務終了時点など | ２時間以内、翌営業日までなど |
RPOやRTOを決めずにバックアップ製品だけを導入すると、実際の復旧に時間がかかり、業務上の要件を満たせない可能性があります。
バックアップを複数の場所に保管する
ランサムウェアは、業務データだけでなく、ネットワーク上のバックアップも暗号化する場合があります。バックアップ先が常にオンラインで接続されていると、感染や不正操作の影響を受ける可能性があります。
バックアップの基本的な考え方として、「３-２-１ルール」があります。データを３つ保持し、２種類の媒体に保存したうえで、１つを別の場所に保管する方法です。
さらに、オフラインバックアップや、保存後に変更・削除できないイミュータブルバックアップを組み合わせる方法もあります。自社の予算やデータの重要度に応じて構成を検討しましょう。
復旧手順を文書化する
インシデント発生後は、端末の隔離、ネットワークの遮断、関係者への連絡、証拠の保全、原因調査、端末の初期化、データの復元など、多くの対応が必要です。
担当者や判断基準が決まっていないと、初動が遅れて被害が拡大するおそれがあります。連絡先、対応責任者、システムごとの復旧方法、外部専門家への連絡方法を文書化しておきましょう。
復旧訓練を定期的に実施する
バックアップが保存されていても、破損していたり、復元方法がわからなかったりすれば、事業継続にはつながりません。
一部のファイルを復元するテストだけでなく、端末やサーバを初期化した状態から業務を再開できるか確認します。訓練を通じて判明した問題は、手順書やバックアップ構成へ反映しましょう。
代替手段を準備する
システムが利用できない期間に備え、紙や電話、FAX、代替端末などを使った業務手順も検討します。代替手段を用意するだけでなく、従業員が実際に切り替えられるよう訓練しておくことが重要です。
復旧を早めるには端末へデータを残さない方法もある
ランサムウェア攻撃を受けた際は、安全性を確認できない端末を初期化し、OSやアプリケーションを再設定したうえで、バックアップからデータを戻す対応が必要になる場合があります。
端末ごとに業務データが保存されていると、データの所在確認や回収、復元に時間がかかります。また、端末の紛失や盗難が発生した場合は、本体内の情報が漏えいするリスクもあります。
こうした課題への対策として、端末に業務データを残さず、外部ストレージで一元管理する「データレスクライアント」があります。
データレスクライアントとは
データレスクライアントとは、通常のPCを利用しながら、業務データを端末内に残さないよう管理する仕組みです。
データを端末内ではなくクラウドストレージや社内ストレージへ保存するため、PCを紛失した場合の情報漏えいリスクを抑えられます。端末を初期化・交換した際にも、外部ストレージに保存されたデータを利用できるため、復旧やデータ移行の負担軽減につながります。
ただし、データレスクライアントだけで、ネットワークやサーバを含むすべての復旧対策を行えるわけではありません。資産管理、アクセス制御、ログ監視、バックアップ、復旧訓練などと組み合わせて運用する必要があります。
端末の紛失・盗難による情報漏えいリスクを抑える
ノートPCを社外へ持ち出す場合や、委託先へPCを貸与する場合は、端末の紛失や盗難によって、保存されている顧客情報や社内資料が漏えいするリスクがあります。ディスクを暗号化していても、認証情報の窃取や設定不備などにより、データへアクセスされる可能性を完全には排除できません。
データレスクライアントを活用し、業務データを端末内に残さない運用へ切り替えれば、端末自体が第三者の手に渡った場合でも、漏えいするデータを最小限に抑えられます。製品によっては、ログオフやシャットダウン時に一時データを削除したり、管理者が遠隔からデータを消去したりする機能も備えています。
テレワークや外出先でPCを利用する従業員が多い企業に加え、委託先や協力会社へ端末を貸与する企業でも、情報漏えい対策として有効です。
端末の初期化や交換後の復旧を効率化する
ランサムウェア感染や不正アクセスが疑われる端末は、被害範囲や安全性を確認できない場合、初期化や交換が必要になります。業務データが各端末に分散していると、必要なファイルの所在確認や回収、復元に時間がかかり、業務再開が遅れる要因になります。
データレスクライアントでは、業務データを端末から分離して管理するため、端末を初期化・交換した後も、所定のストレージに保管されているデータへアクセスしやすくなります。新しい端末に必要なソフトウェアや設定を適用すれば、端末内のデータを個別に回収・移行する場合と比べて、復旧作業の負担を抑えられるでしょう。
ただし、OSや業務アプリケーション、ネットワーク、認証基盤などの復旧には別の対応が必要です。データレスクライアントが支援する範囲を確認し、端末全体の再構築手順もあわせて整備しておきましょう。
ランサムウェア感染時のデータ復旧に備える
ランサムウェアに感染すると、端末内のファイルだけでなく、接続中のファイルサーバやクラウドストレージ上のデータまで暗号化される場合があります。そのため、単にデータを端末外へ保存するだけでは、十分なランサムウェア対策にならない可能性があります。
データレスクライアントを選ぶ際は、保存データの世代管理や感染前の状態へ戻す機能、バックアップ先の保護方法などを確認しましょう。変更履歴を保持できる製品やバックアップサービスと組み合わせれば、ファイルが暗号化・改ざんされた場合でも、安全だった時点のデータを復元しやすくなります。
なお、バックアップや世代管理への対応は製品によって異なります。復旧機能がない場合は、オフラインバックアップやイミュータブルバックアップなどを別途用意しましょう。復元後の再感染を防ぐため、感染経路の特定や端末の初期化、脆弱性への対応も必要です。
PCの入れ替えやデータ移行の負担を軽減する
PCのリース更新や故障、OSの更新に伴う端末の入れ替えでは、従業員ごとに保存されたデータを確認し、新しい端末へ移行する作業が発生します。対象台数が多い企業では、情報システム担当者だけでなく、利用者にとっても大きな負担となります。
業務データをクラウドストレージや社内サーバなどで一元的に管理しておけば、旧端末から新端末へファイルを個別にコピーする作業を減らせます。新しいPCから所定の保存領域へ接続することで、従来の業務データを引き続き利用しやすくなります。
日常的な端末管理を効率化できることは、インシデント発生時の復旧にもつながります。平常時からデータを端末に依存させない運用を定着させることで、緊急時にも同じ仕組みを活用して業務再開を進められるでしょう。
まとめ：自社と取引先を含めて「戻せる仕組み」を構築しよう
サプライチェーン攻撃は、取引先や委託先、利用中のソフトウェアなど、自社だけでは管理しきれない経路から発生します。侵入防止策に加えて、取引先との接続状況や権限、インシデント発生時の連絡方法も確認しましょう。
また、すべての攻撃を完全に防ぐことはできません。バックアップやRPO・RTOの設定、復旧手順の文書化、定期的な訓練を行い、被害発生後も事業を継続できる体制を整えることが重要です。
SCS評価制度を対策の見直しに活用し、自社や取引先に必要な取り組みを進めましょう。端末内のデータ保護や早期復旧が課題の場合は、データレスクライアントも選択肢の一つです。
