世界経済フォーラムの『グローバル・サイバーセキュリティ・アウトルック2025』によると、複雑なサプライチェーンへの依存が高まるにつれ、サイバーセキュリティ環境はより不確実で予測困難になっています。
昨年、史上最大規模のIT障害が発生し、サイバーセキュリティ・エコシステムを保護する重要性が浮き彫りになりました
サプライチェーンの相互依存に起因し、複雑化が進む環境をもたらす5つの主要なリスク要因が特定されています。
世界経済フォーラムは『グローバル・サイバーセキュリティ・アウトルック2025』で、2025年にサイバー空間の複雑化を進める主要因として、サプライチェーンの相互依存を挙げています。エコシステムにおける最大のサイバーリスクとされるサプライチェーンの脆弱性は、大規模組織の54%にとってサイバーレジリエンスの最大の障壁です。
サプライチェーンの相互依存から生じる複雑さとリスクには、主に5つの要因があります。
1. サイバー格差
エコシステムのレジリエンスは、しばしば最も弱い部分によって決まります。フォーラムの報告書は、大規模組織では2024年にサイバーレジリエンスが向上した一方、小規模組織は格差の重荷を負い続けており、35%がサイバーレジリエンスは不十分だと回答したことを指摘しています。
レジリエントなサイバーエコシステムを実現するには、大規模組織と比べてリソースが不足しているために、小規模組織がセキュリティ基準の達成で取り残されないようにすることが不可欠です。中小企業はサイバーセキュリティを経営課題と捉え、レジリエンスを高めるための戦略的な選択を行う必要があります。さらに、政府の政策や産業界の連携は、スキルギャップの縮小に役立ち、サイバーセキュリティに関する教育と意識向上を促進できます。小規模組織によるセキュリティ基準の達成を支援することで、リソースが豊富な大規模組織はネットワーク全体のセキュリティを強化し、よりレジリエントなサイバーエコシステムを実現できます。
2. サプライチェーンの可視性の不足
サプライチェーンが拡大するにつれ、組織はサプライヤーのセキュリティ成熟度を完全に把握することがますます難しくなっています。攻撃対象領域の拡大とシステム間の相互依存により、攻撃や損害が生じる可能性の範囲も広がっています。
さらに、サプライヤーにセキュリティ基準を徹底させることもますます難しくなっています。フォーラムの報告書によると、最高情報セキュリティ責任者（CISO）は、サイバー規制を効果的に実施するうえでの最大の課題として、第三者による規制順守の確保を挙げています。規制の厳しい業界ではサプライヤーの可視性確保が進んでいる一方、規制が比較的緩やかな業界には現時点で取り組む動機がなく、エコシステムの脆弱性が高まっています。
3. 第三者によって持ち込まれるソフトウェアの脆弱性
今日の相互接続されたサイバーセキュリティ環境では、ソフトウェアのサプライチェーンにおける相互依存が大きな複雑さをもたらしています。サプライチェーンの拡大に伴い、新たな事業者が脆弱性を持ち込むことが少なくありません。特に、第三者の規制順守を確認するのが難しい場合や、オープンソースコードを使用する場合にそのリスクが高まります。
人工知能（AI）の急速な普及も複雑さを増しています。AIツールのセキュリティを導入前に評価するプロセスを整えている組織は、わずか37%です。こうした保護策の不足は、特に小規模組織の69%で見られ、脆弱性が個々のIT環境だけでなくエコシステム全体に持ち込まれるリスクを通じて、脅威の範囲がより広がっていることを示しています。
EUのAI法などの規制はAIのセキュリティ強化を目指していますが、組織はレジリエンス構築に向けて先手を打つ必要があります。KPMGの『グローバル・テック・レポート2024』は、AIのライフサイクル全体にわたって信頼できる保護策を確立する包括的な枠組みの必要性を強調しています。この枠組みの主要な要素には、バックドア攻撃、データポイズニング、モデル回避などのリスクから守るためのセキュアコーディング、コードレビュー、テストが含まれます。
4. 重要なプロバイダーへの依存
限られた数の重要なプロバイダーに依存すると、サプライチェーンにシステム上の単一障害点が生じます。こうしたプロバイダーの脆弱性は、直接の顧客だけでなく、依存する数千の組織や、その先のサプライチェーンにも影響を及ぼす可能性があります。クラウドプロバイダーはこのリスクを端的に示しています。圧倒的な存在感を持つため、障害が起きれば多くのサプライチェーンやエコシステムに連鎖的な影響が広がりかねません。
プロバイダーにはソフトウェアを安全に開発する責任がありますが、フォーラムの報告書は、CISOや組織が相互依存のリスクを軽減するためにレジリエンスを構築する必要があると強調しています。小規模な相互接続型サービスで構成される現代のITアーキテクチャでは、すべての依存関係や、障害・停止がもたらし得る影響を完全に把握することが困難です。
KPMGは、効果的な事業継続計画の重要性を強調しています。事業継続計画は、業務の中断を防ぎ、対応し、復旧することで、不可欠な機能と中核的な収益創出プロセスを維持します。CIOは、予期せぬ経営上の課題に対処し、プロセスの完全性を保つため、レジリエントな技術スタックとIT運用モデルを構築する必要があります。こうした対策は、重要なプロバイダーや第三者への依存に伴うリスクの軽減に不可欠です。また、相互接続されたシステムやサービスの安定性と信頼性を高め、サイバー空間の複雑さを軽減します。
フォーラムは世界的なサイバーセキュリティの課題にどう取り組んでいるのでしょうか？
サイバーセキュリティセンターは、リーダーが集い、進化するサイバーリスクとそのシステム全体への影響を理解するための信頼できるプラットフォームを提供しています。相互接続がますます進むデジタル世界で、理解と信頼の構築に取り組んでいます。
分野横断的な連携と知見の共有を促すことで、同センターはパートナーのサイバーレジリエンス強化を支援し、集団的な対応を要する課題への取り組みを後押ししています。
5. サプライチェーンに対する地政学的影響
サイバーリスクは地政学的要因の影響をますます受けており、攻撃が国境を越えることも少なくありません。フォーラムの報告書によると、組織のサイバー戦略のほぼ60%が地政学的緊張の影響を受けており、16%はベンダーを変更しました。
地政学的緊張は、世界のサプライチェーンに深刻な混乱をもたらします。熟練労働者、必需材料、先端技術へのアクセスが制限されるためです。貿易障壁や同盟関係の変化は、特に複雑で相互接続されたネットワークに依存する業界で、遅延や不足を引き起こします。こうした混乱は生産を遅らせ、イノベーションを妨げ、世界各地の脆弱性を高めます。
サイバー侵害に使われる手段も地政学的緊張の影響を受けます。緊張が高まるとサイバー犯罪が激化し、下位層の犯罪者が、戦争で放置された軍事機器をすぐに取り入れるようになります。地政学的な主体や緊張の影響に加え、サイバー犯罪者が高性能兵器を使うことによっても、世界のサプライチェーンに対する脅威とその複雑さは増大します。
サプライチェーンの保護
組織は、サプライチェーンの相互依存に伴う複雑さとリスクに先手を打って取り組む必要があります。サイバーリスクが高まる時代には、サプライチェーンの可視性を優先することで、組織は脅威の検知やインシデント対応などの能力を高め、デジタルインフラを保護し、デジタル資産を守る態勢を整えられます。こうした先を見越した対応は、サイバー空間の複雑さを管理するうえで不可欠です。
レジリエンスの構築には、自組織のシステムを保護するだけでなく、サプライチェーンの小規模なパートナーを支援することも含まれます。効果的な事業継続計画、堅牢なIT資産管理、規制基準の順守が不可欠です。連携を促し、サイバーセキュリティ教育に投資することで、組織はエコシステム全体のセキュリティを高められます。この先を見越した対応により、脆弱性を軽減し、混乱の影響を抑え、すべての関係者にとって安定し信頼できるサイバー空間を実現できます。
