技術に依存し相互に結びついた社会において、グローバルなサプライチェーン内のサイバーリスクを管理することは極めて重要である。
市場インセンティブの不一致、リスクの不平等、サプライチェーン全体での可視性の限界に対処し、エコシステムの耐性を高めるには、新たな原則が必要である。
これら3つの新たな原則は、組み込みを促進し、先進技術を活用し、適応的かつ先回り的であるべきである。
世界中の組織が、パートナー組織で発生するサイバーインシデントの影響をますます受けている。サプライチェーンにおけるサイバーインシデントの件数は増加しており、その影響の大きさも拡大している。
大企業は、25%の確率でサイバー攻撃を受ける可能性があり、平均的な復旧コストは490万ドルに上る。出典：Verizonの「2024 Data Breach Investigations Report」によれば、2023年にはソフトウェアの脆弱性に関連するサイバーインシデントの件数が前年比180%増加し、そのうち15%にはサードパーティのサプライヤーが関与していた。
意図しない上流および下流への影響は社会に影響を及ぼすため、さらに深刻な懸念事項である。このようなリスクプールは最終的にサイバーリスクを保険で引き受けられる範囲の限界に達する可能性がある。残念ながら、わずか27%のサプライチェーンしか、顧客によって定期的に監視・評価されていない。
これらの課題に対する既存の取り組みは不十分である。限られたサプライチェーンの可視性、組織間のセキュリティリスクの不平等および市場インセンティブの不一致に直面する中で、サプライチェーンにおけるサイバーリスク管理のギャップは避けられない。その結果、サプライチェーンのサイバーリスク評価が不十分となり、組織間のコミュニケーションと協力も乏しくなって、深刻な結果を招いている。
2024年7月に発生した世界的なITの障害は、CrowdStrikeによる意図しないサプライチェーンのサイバーインシデントであり、850万台のシステムがクラッシュし、世界中の数千の組織に影響を及ぼした。これは単一の欠陥のあるデータベースのコンテンツ更新が原因であり、社会全体の損失は全体として100億ドルを超えた。意図的に仕組まれたこの種のインシデントであれば、はるかに深刻な事態になっていた可能性がある。
しかし、今回の世界的なIT障害の余波の中でも、市場の議論ではサプライチェーンにおけるサイバーリスク管理についてほとんど言及されていない。議論の焦点は主に、この特定のインシデントの技術的側面に関する戦術的な議論と、損失の責任を誰が負うべきかをめぐる組織間の憶測に基づく非難にとどまっている。
別の例として、Change Healthcareは、米国で行われた150億件の医療請求の約40%を処理している。2024年2月のChange Healthcareへの攻撃により未払い請求が滞留し、医院や病院は緊急の資金繰り危機に陥り、患者の医療へのアクセスも制限された。さらに、数百万人の機密医療データがダークウェブに流出し、United Healthgroupに25億ドルの回復費用を負担させた。すべては単一の障害点に起因するものであった。
社会は既に、多くの重大かつ影響の大きいグローバルなサプライチェーンへの侵害にさらされている。これには、MaerskへのNotPetya攻撃、SolarWindsへのSunburst攻撃、MOVEitへのサイバー攻撃、そしてOktaのサプライチェーンキャンペーンなどがある。しかし、最悪の事態はこれから訪れる可能性があり、多くの経営幹部は今後数年のうちに壊滅的なサイバー事象が起きると予想している。
社会への影響を踏まえると、サプライチェーンのサイバーリスクのより適切な管理が必要である。法規制（例：EUのNIS2や米国のSECサイバーセキュリティ規則など）を通じて、組織の取締役会はこれらのリスクを管理する任務を課されている。ただし、組織間のグローバルなデジタル依存関係の全体像と、そのような依存関係がもたらすリスクおよびレジリエンスへの影響を評価する能力は限られている。サプライチェーンへの侵害が増加すれば、信頼と信用が損なわれ、最終的にはデジタル化の取り組みを阻害しかねない。
堅牢な枠組みの確立
2024年5月、MITのCAMSは、ドイツ政府のAgentur für Innovation in der Cybersicherheit GmbH（Cyberagentur）と連携し、MITにおいて重要なワークショップを開催した。このワークショップは、サプライチェーン内のサイバーリスクを管理し、サイバーレジリエンスを強化するためのより堅牢な枠組みの確立を目的としていた。最高情報セキュリティ責任者、サイバー保険の専門家、テック企業の経営幹部、規制当局者、市場アナリスト、学者など、多様なオピニオンリーダーが参加した。
議論は以下の3つの重点分野に分類された：
1. ガバナンス、監視、協働の強化
サイバーリスクの包括的な監視と効果的な管理を確保するため、首尾一貫したガバナンス構造と、ステークホルダー間の協働的な取り組みの重要性を強調する。
2. システム的なサイバーレジリエンスの促進
サイバー脅威に対するサプライチェーン全体の耐性を高め、混乱に耐え、そこから回復できるようにする戦略および実践を推進する。
3. リスク評価と軽減策の強化
潜在的な脆弱性を先回りして特定・対処するため、高度なリスク評価手法と軽減戦略を開発する。
フォーラムはグローバルなサイバーセキュリティの課題にどのように取り組んでいるのか？
サイバーセキュリティセンターは、リーダーが集まり、進化するサイバーリスクとそのシステム的影響を理解するための信頼できるプラットフォームを提供している。相互接続が進むデジタル社会における理解と信頼の構築に注力している。
異業種間の協働と知見の共有を可能にすることで、同センターはパートナーのサイバーレジリエンス強化と、集団的な対応を必要とする課題への対処を支援している。
グローバルなサプライチェーンリスクに対処するための3つの原則
これらの議論から、組織がサプライチェーンのサイバーリスクとレジリエンスに効果的に対処するうえで不可欠とされる3つの主要な原則が浮かび上がった：
1. 組み込みを促進する
サプライチェーン内、さらに各協働組織の業務プロセスや文化の深部にレジリエンスを組み込み、それが運営上および戦略上の意思決定の基本的な要素となるようにする。
2. 先進技術を活用する
最先端技術を活用して、サイバー防御を強化し、リスク評価を効率化し、全体的なレジリエンスを向上させる。
3. 適応的かつ先回り的になる
柔軟かつ先見的な組織的マインドセットを醸成し、進化するサイバー脅威への迅速な適応と、リスクを軽減するための先回りした対策を可能にする。
これらの原則は3つの重点分野すべてにおいて重要であり、サプライチェーンにおけるサイバーリスク管理とレジリエンス強化のための包括的なアプローチを提供する。
グローバルなサプライチェーンリスクを抑制する3つの方法
サプライチェーンのサイバーリスクを軽減し、サイバーレジリエンスを強化するため、企業は次の取り組みを行うべきである：
1. 協働のための組み込みを促進する
組織がサプライチェーンに組み込まれているため、サプライチェーン全体の集合的な資源、知識、経験は個々の組織の能力を超え、コーペティション（競争と協力の両立）を可能にする。コーペティションにより、競合他社もサイバーレジリエンスなどの特定分野で協力できる。例えば、関連する脅威情報やベストプラクティスを共有したり、共同のサイバー演習を実施し、バリューチェーンまたは業界内で互いのサイバーリスク軽減を支援し、事業継続性と災害復旧を強化するための協働を促進することができる。
また、大企業はセキュリティの不平等の最小化において重要な役割を果たし得る。その役割は、導入に関する助言や意識向上トレーニングの提供といった一般的な取り組みをはるかに超えるものとなり得る。中小企業は、特定の不可欠なセキュリティ機能を取得するための資源や資金が不足していることが多い。特定のセキュリティ機能の導入とサプライチェーンレベルでの資源配分を、個々の組織単位ではなくサプライチェーン全体の観点で検討することは、アクセシビリティを高め、規模の経済を拡大し、サプライチェーンのレジリエンスを強化する。この協働は、協力組織の運用、戦術、戦略の各レベルに影響を及ぼす。
2. サイバーリスクの測定と管理を強化するための先進技術の活用
高度な計算能力、クラウド技術、人工知能を備えた新興技術ソリューションにより、サプライチェーンのシステム的構造と複雑な文脈を捉え、参加者間で効果的に共有することが可能になっている。例えば、企業および産業環境において、複数の独立した構成要素を定量化し、最適化することができる。その際は、レジリエンスの観点から評価することができる。
最近のサイバーリスク分析MITでの研究では、40,000社超の企業のデータに基づき、サプライチェーンの特徴がサイバーリスクの重要な推進要因であり、外部からのセキュリティスコアなどの指標を大きく高めることが実証的に明らかにされた。サプライチェーンのデータに基づくアルゴリズムは、グラフ理論に従い、レジリエンスを脅かす重要なサプライチェーン要素を特定して、レジリエンス強化のための資源と取り組みに優先順位を付けることができる。
Asvin Labsは、その研究において、連合学習が組織個々のサイバーセキュリティに関する知見を大幅に拡張すると同時に、エコシステム全体の知見を強化できることを実証した。ここで重要なのは、共有かつ共同で学習されたAIモデルにおけるデータ集約である。広く受け入れられているサイバーリスク定量化アプローチは、情報技術と運用技術が併存する複雑な環境にも容易に適応できる。明らかに、AIの進歩はサイバーセキュリティの軍拡競争の構図を変える
うえで不可欠であり、より良い意思決定と防御の機会をもたらすだろう。
3. サイバー脅威に対して適応的かつ先回り的になる
適応性と先回り性は、サプライチェーンのアーキテクチャ設計と監視に影響を及ぼす。レジリエンスには、組み込まれた持続性とシステム・オブ・システムズ思考を備えた適応型のアーキテクチャ設計によって、サイバー攻撃の影響をサプライチェーン全体で吸収することが必要である。このような設計には、余剰能力によって生じる冗長性や、不足を補うバッファーに加え、人材、プロセス、システムの多様性も含まれる。多様性は特定のサイバー攻撃の拡散を抑制する。さらに、侵害されたシステムを隔離し、サプライチェーン全体への影響を制限できるよう、モジュール性も備えている必要がある。
レジリエンスに寄与する監視には、強力な経営的先見性が必要である。経営的先見性とは、事業環境に関連する業績指標の将来像を予見し、あるいは起こり得る将来の状態を探索して、先手を打って適切に行動する能力である。経営的先見性は、シミュレーション支援技術によって向上させることができる。シミュレーション支援型の技術は、サイバーセキュリティやサプライチェーンなど、多次元で複雑な環境を捉えた仮想的な戦略レプリカを構築する。このようなシミュレーションは、対話的かつ探索的な環境を提供し、経営幹部がサプライチェーンの業績を強化してレジリエンスを育む最善の戦略オプションを見つけられるようにするとともに、管理ダッシュボードおよびレポーティングを高度化し、主要業績指標の行動的な将来トレンドを予測できるようにする。
さらに、サプライチェーンに焦点を当てた攻撃者対防御者のシミュレーションゲームは、経営層の意識を高め、レジリエンスを育む意思決定を強化するための経営的な経験則を習得させることができる。このように、シミュレーションは攻撃者と防御者の差を縮めるのに役立つ。経営幹部に、起こり得る将来の重大な事象を戦略的に予測するための時間をより多く与えるからである。
今後の道筋
サイバーリスクとレジリエンスの舵取りは、個々の組織の範囲を超えるものである。グローバルなサプライチェーンにおけるサイバーレジリエンスの強化には、協働の強化、測定と評価を強化するための高度な手法の活用、そして新たなサイバー脅威に対するより適応的かつ先回り的な姿勢という3つの主要な原則を取り入れることが求められる。
著者は、本プロジェクト全体を通じて貴重な指導、努力、リーダーシップ、支援をいただいたSander Zeijlemaker（CAMS）、Raphael Yahalom（CAMS）、Ranjan Pal（CAMS）、Mirco Ross（Asvin.io）に感謝の意を表します。
