グローバルな製造会社のサプライ チェーンをターゲットにする
大企業や上場企業のコンピュータハッキングが急増
中小規模のパートナーの弱点をターゲットにする
米国政府の「ゼロトラスト」移行
多要素認証/最小アクセス セキュリティ原則
パートナーのセキュリティを積極的に強化
ハッカー組織によるサイバー攻撃が従来の製造会社のサプライ チェーン全体に広がるにつれて、企業と消費者の間で不安が高まっています。 昨年 5 月 7 日、米国最大のパイプライン運営会社であるコロニアル パイプラインのコンピューター ネットワークがハッカーの攻撃を受けて無力化され、米国東部への石油供給が遮断されました。 コロニアルはハッカー組織に 500 万ドルを支払い、6 日でシステムを復元しました。 しかし、ガス危機と東部地域のガソリン価格の高騰は避けられなかった。 昨年 5 月 30 日、世界最大の精肉会社である JBS がハッキングされ、米国とオーストラリアのすべての食肉処理場と食肉処理生産ラインが閉鎖されました。 JBS は 2 日でシステムを正常化し、市場の混乱を回避することができましたが、ハッカーに 1,100 万ドルを支払わなければなりませんでした。 従来の企業の注文、生産、配送、請求のプロセスがデジタル化されたため、ハッカーによる攻撃の標的になりました。
一方、今年3月1日、世界最大の自動車メーカーであるトヨタ自動車は、日本の14の工場すべての操業を停止すると発表しました。 これは、トヨタに内外装材を供給している小島プレスがハッカーの攻撃を受け、同社のコンピューター ネットワークが機能不全に陥り、トヨタとのデータ通信が困難になったためです。 工場は一時的なネットワークを使用して 1 日以内に再起動されましたが、日本のメディアは、ハッカーの本当の標的はトヨタであると強調しました。 彼らは、トヨタの強力なセキュリティシステムではなく、比較的脆弱なセキュリティシステムを持つパートナー企業を攻撃することで、トヨタのサプライチェーンに危害を加えようとしたと言われています.
製造業は、昨年最も多くのサイバー攻撃を受けました。 これは、サイバーセキュリティが金融や情報技術 (IT) 業界に比べて比較的脆弱であり、最近のデジタルトランスフォーメーションとスマートファクトリーの導入により、ハッカーの攻撃対象領域が急速に増加しているためです。 韓国の製造会社はサイバー脅威から解放されていますか? 3 月 5 日、Rapsus サイバー犯罪組織が Samsung Electronics にハッキングし、190 GB のソース コードを盗みました。 彼らが盗んだコードの中には、Samsung の Knox セキュリティ プラットフォームに関連するソース コードが含まれていました。 Rapsus は、LG Electronics もハッキングされ、ホームページ上の従業員とサービス利用者のアカウント情報を盗んだと主張しました。
また、過去 5 年間で、韓国水力原子力発電、東南/西南/東西電力などの公共エネルギー企業を対象としたハッキングの試みが 900 件以上あったとされています。 主要なエネルギー生産施設へのハッキングの試みは、韓国の電力網に大混乱をもたらす可能性があるため、国家安全保障上の関心事となるはずです。
サプライ チェーンのサイバーセキュリティとは、サプライ チェーンを構成する企業の IT システム、ネットワーク、ソフトウェア アプリケーション、およびデータを潜在的なデジタル脅威から保護し、サプライ チェーンを安定的に運用することです。
サイバー犯罪組織は、まずサプライ チェーン内の比較的安全でない「弱いリンク」を攻撃し、次にサプライ チェーン全体のシステムとネットワークを脅かします。 特に、トヨタのように、サイバーセキュリティのリソースや能力が不足している中小の下請け業者は、多くのサイバー攻撃の標的になりつつあります。
韓国インターネット振興院 (KISA) によると、ランサムウェアによる国内企業への被害の 90% は中小企業 (SMB) に集中しています。 サプライ チェーンのサイバー攻撃は、ソフトウェア サプライ チェーンで特に深刻です。 2020年に米国企業に衝撃を与えたSolarWindsのハッキング事件は、ロシアのハッキング組織がSolarWindsのソフトウェア更新コードに悪意のあるコードを注入したソフトウェアサプライチェーン攻撃の代表例です。 ハッカーは、セキュリティの高い公的機関や大企業を直接攻撃するのではなく、セキュリティが比較的不十分なソリューション プロバイダーを攻撃することで、米国政府機関やグローバル コングロマリットに間接的に侵入することができました。 多くのソフトウェアがさまざまなオープン ソース コードを使用しているため、ソフトウェアのサプライ チェーンを利用したサイバー攻撃はさらに増加すると予想されます。
あらゆる方向から広がるサプライチェーンのサイバー攻撃にどう対応すべきか? SolarWinds、Colonial Pipeline、および JBS のハッキングを国家安全保障上の問題として認識し、Joe Biden の米国政権は昨年 5 月、連邦政府にゼロ トラスト セキュリティ原則を実装するための大統領令を発行しました。 「誰も信用しない」という意味のゼロ トラストは、ネットワークやデータへのアクセスを要求するユーザーやデバイスを決して信用しないというセキュリティ原則です。 段階的に複数の認証手続きを経た利用者も権限が制限されるため、最小限の領域でシステムを利用でき、他のタスクを実行するには、対応する認証手続きを繰り返す必要があります。 最終的に、ゼロ トラストは、サイバー侵害が避けられない、またはすでに発生している可能性が高いという前提の下でシステムを管理する新しいセキュリティ パラダイムです。
サプライ チェーンにゼロ トラスト セキュリティを実装するには、中小サプライヤーのサイバーセキュリティ機能を強化することが急務です。 主に、サイバー脅威の状況、セキュリティのベスト プラクティス、および最新のセキュリティ テクノロジを積極的に共有するために、セキュリティ ワークショップを定期的に開催し、中小規模のベンダーの CEO、役員、および従業員を対象とする必要があります。 さらに、パートナー企業が脆弱性を監視し、サイバー攻撃を検出して対応できるセキュリティ プロセスを確立できるように、技術的および財政的支援を提供する必要があります。 パートナー企業の定期的な年次パフォーマンス評価にサイバーセキュリティ機能を含めることにより、継続的な改善のための環境を準備する必要があります。 ソフトウェア サプライ チェーンへの攻撃を阻止するには、米国政府が推進するソフトウェア部品表 (SBOM) システムを採用する必要があります。 さらに、ハッカーのサイバー侵害に対する緊急対応計画をパートナー企業と共同で確立し、定期的にレビューおよびテストする必要があります。
サプライ チェーンのデジタル トランスフォーメーションは諸刃の剣です。 デジタル トランスフォーメーションは、サプライ チェーンの可視性、効率性、リアルタイムの速度を向上させることができますが、同時にサイバー攻撃対象領域を拡大し、ハッキングのリスクを高めます。 賢明な管理者は、「サプライ チェーンはその最も弱い部分と同じくらい強力である」ことを認識し、ゼロ トラストへの移行とサプライヤーのサイバーセキュリティの強化に注力する必要があります。
[허대식 연세대학교 경영대학 교수]「テレビオタク。情熱的な料理のスペシャリスト。旅行の専門家。ウェブの第一人者。筋金入りのゾンビ好き。謝罪のない音楽狂信者。」