企業において常時接続が当たり前となり、データがあらゆる場所に存在する今、サプライチェーンのセキュリティは、組織のレジリエンスを確保するうえで極めて重要な要素である。
それでも、常時稼働のサービスへの需要はかつてないほど高まっている一方で、サプライチェーンがこれほど脆弱になったことはない。
ベストプラクティスを採用し、マルチステークホルダーの協力を促進することで、組織はより強靱で安全なデジタルサプライチェーンを構築できる。
デジタル変革は産業を変革し、イノベーションを推進し、業務を効率化するとともに、顧客の期待を新たな高みへと引き上げている。企業はデジタルを前提とする度合いを高め、常時接続が当たり前となり、データがあらゆる場所に存在する中で、サプライチェーンのセキュリティは組織のレジリエンスを確保するうえで極めて重要な要素である。それでも、常時稼働のサービスへの需要はかつてないほど高まっている一方で、サプライチェーンがこれほど脆弱になったことはない。
サプライチェーンが単純で直線的であった時代は終わった。今日のデジタルサプライウェブは、ほぼすべての組織が製品やサービスの供給者であると同時に消費者でもある、絡み合い、高度に接続された複雑な網の目である。整然とした鎖というより、もつれたケーブルで満たされた引き出しに近い。もしそれが一本の鎖であったなら、いくつもの箇所で切れているだろう。
サプライチェーンのセキュリティは、なぜこれほど是正が困難なのか。
サプライチェーンのセキュリティを確保することがこれほど困難な理由は複数あり、関係者の複雑さと多様性がその課題をさらに深刻にしている。
評価負荷の過多：すべてのサプライヤー（または自社がサプライヤーである場合は自社）のセキュリティを評価することは容易ではない。多くの組織には、顧客ごとに個別のセキュリティ質問票に回答するだけの経営資源がない。
インセンティブの不一致：サプライヤーがセキュリティを市場における優位性とみなすことはまれである。顧客が求めるのは、より良いセキュリティではなく、より低いコストである。パッチ適用やアクセス管理といった基本的なセキュリティ対策は、新しいAI機能と同じようには売上を生み出さない（そして新機能の方が実現しやすいことが多い）。
強制力の欠如：消費者は、侵害が発生するまで強固なセキュリティを求めることがまれである。その時点では、すでに手遅れである。
フォーラムはグローバルなサイバーセキュリティの課題にどう取り組んでいるのか。
サイバーセキュリティセンターは、進化するサイバーリスクとその体系的な影響を理解するため、リーダーが集まる信頼できるプラットフォームを提供している。同センターは、ますます相互接続が進むデジタル社会における理解と信頼の構築に重点を置いている。
セクターを超えた協働と知見の共有を可能にすることで、同センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に取り組むことを支援している。
需要チェーンの紹介
端的に言えば、サプライチェーン管理は実行が難しく、市場のインセンティブは機能不全に陥っている。しかし、消費者であるあなたは無力ではない。あらゆるサプライチェーンには、それに対応する需要チェーン、すなわちサプライチェーンを消費するユーザーのネットワークが存在する。理論上、供給は需要に従う。経済学の基本原理のように、需要が増えれば供給はそれに応じて調整される。需要が減れば、供給は縮小する。そして、需要が供給を上回ったらどうなるか。価格は上昇する。
しかし、サプライチェーンのセキュリティにおいては、顧客がより良いセキュリティを求めている場合でも、この原理は機能しないように見える。なぜか。
需要チェーンをどう是正すればよいのか。
サプライチェーンはすでに複雑で脆弱であるが、整合性、協働、そしてサプライチェーンに対する強固な要件が確保されれば、需要チェーンはそれを強化しうる。ただし、まず取り組むべき課題がいくつかある。
セキュリティよりもコストが優先され、誰もが他者に費用を負担させようとしている：サプライヤーは市場が求めるものを供給する一方、需要側はサプライヤーを選定する際に、セキュリティではなくコストと機能を優先する。多くの場合、需要側は初期設定として一定の基準を前提とするか、あるいは（これはより是正が難しい問題であるが）サプライヤーを評価する際に、組織のセキュリティ態勢を主要な基準に含めない。これはセキュリティを意図的に軽視しているわけではなく、事業上の圧力によるものであり、影響がすぐには現れないため、組織はそれを問題だとは考えないか、潜在的なセキュリティ上の不備に伴うリスクや責任は他の誰かがすでに負っていると想定している。
一貫したサプライヤー評価は実現しておらず、共通の基準を定義する必要がある：需要側はサプライヤーを一貫して評価していない。需要側は、サプライヤーを評価するために類似しているが異なり、標準化されていない手法をそれぞれ採用している。重複する部分は多く存在しうるものの、共通のセキュリティ要件、最低限の基準群、あるいは評価のための共通手法は存在しない。類似した要件が複数ある場合でも、重複した取り組みの中で、需要側はそれぞれがサプライヤーを確認するための作業を個別に行っている。この退屈で冗長な作業は、合意によって策定された技術標準によって少なくとも部分的に解決しうるが、エコシステムは協働に消極的であるか、共通の基準を見いだせずにいるように見える。業種ごとに取り組めばより効果的になりうるが、分断が障壁となっている。デジタルのゲートキーパーや支配的なプラットフォームも、衛生水準を引き上げる役割を担いうるが、それらは反競争的行為や過剰な介入との非難を受けるリスクがある。
動的なサプライヤー評価もまた実現しておらず、少ない労力でこれを実現する共通の体系的な方法を見いだす必要がある：需要側は、サイバーが動的であることを反映する方法をまだ見いだせていない。サプライヤーの状況を分単位で監視することは過剰である一方、年次の質問票では、組織におけるセキュリティの現在の変化する状況を伝えることができない。ソフトウェア部品表（SBOM）およびVEXは、リスクとエクスポージャーを一貫した方法で自動的に把握し理解するための第一歩であるが、サプライチェーンは提供されるソフトウェアだけにとどまらない。サプライヤーの評価をより定期的に行うと、個々の評価の深度が不足するか、追加の人員が必要になりうるが、評価の大部分が自動化されるか、反復利用と定期的な更新のために標準化されない限り、その事態は避けられない。
中小企業は単独では影響力を行使するには小さすぎ、エコシステムへの影響には規模が必要である：中小企業は、より良いセキュリティを要求できるほどの購買力を持たない。大企業が求めるものの中から選ばなければならず、それが自社のニーズに合わないこともある。中小企業が団結して自社の要件を求めることは難しい。政府は、技術的に制約のある中小企業でも基本的な機能を初期状態から利用できるよう、自らの契約を通じて市場の立ち上げを後押しできるが、これは場当たり的な手法であり、中小企業にとって一貫した成果を欠いている。
フィードバックは任意とされがちであり、透明性と一貫性を備えたフィードバックの循環が必要である：需要側は、セキュリティの優先事項やロードマップに影響を与えるため、サプライヤーへフィードバックを行っていない。内部規程で多要素認証（MFA）が求められている場合、契約時にサプライヤーへこの要件を課すことができる。これは市場力学を形作り始める。当該サプライヤーにとって、MFAの導入に関連する収益源が生まれるからである。この動きは雪だるま式に拡大しうるが、サプライヤーがその収益はコストに見合わないと判断するリスクは常に残る。
全体的、リスクベース、協働的な行動の呼びかけ
消費者としての組織は、サプライチェーンのセキュリティは「そういうものだ」と諦めることが多い。特定の側面を是正するために集中的な取り組みを行うこともできるが、課題は単独では大きすぎ、費用がかかりすぎ、困難すぎると感じられることが多い。集団的な取り組みが明白な解決策に思えるが、調整もまた困難であり、標準化も存在しない。エコシステムは休眠状態にある。
市場が良好なセキュリティの成果をもたらしていない場合、供給、需要、あるいは規制上の取り組みを通じた市場力学の形成によって「是正」することができる。それぞれの是正策には固有の問題がある（既存の規制と市場力学が織りなす複雑な体系については言及するまでもない）。特に、プロセスや真の変革の推進要因よりも、最終製品やチェックボックスの充足に過度に重点が置かれている場合はそうである。しかし、評価の標準化されたアプローチの構築、より良い成果のための購買力の活用、あるいは適切に設計された規制はいずれも、有形・無形を問わず、これまでとは異なる、より良い取り組みを行うためのインセンティブとなる。
セキュリティコミュニティとして、サプライチェーンセキュリティの基本的な衛生を確保するために行える最小限のことは何か。需要側は、サプライヤーを選定し、そのサプライヤーと関わる際に、どのような基準を検討過程に含めるべきか。
企業がよりデジタルな業務へと移行するにつれ、サプライチェーンのセキュリティはより重要かつより困難なものとなる。これらの課題に対処するには、全体的、リスクベース、協働的なアプローチが必要である。
これらの研究分野と問いを前進させるため、産業サイバーレジリエンス・イニシアチブは、あらゆる規模と形態のサプライチェーンを持つ主要なステークホルダーを結集している。ベストプラクティスを採用し、マルチステークホルダーの協力を促進することで、組織はより強靱で安全なデジタルサプライチェーンを構築できる。
世界経済フォーラムの最新報告書を読む：サイバーレジリエンス・コンパス：レジリエンスへの道のり
