サプライチェーンリスク／サードパーティリスク

商品の企画・開発から調達、製造、在庫管理、物流、販売までの一連のプロセスなど、商流に関わる組織群を「サプライチェーン」と呼び、この「供給の連鎖」に何らかの要因で障害が発生し、事業の継続に支障をきたす危険性を「サプライチェーンリスク」と言います。

一般的なサプライチェーンリスクとしては、以下のようなものが挙げられます。

• 環境的要因によるリスク：大地震の影響で工場が稼働停止に陥る、あるいはパンデミックに伴う外出制限で外食産業・観光業などの客足が鈍るリスクなど
• 地政学的要因によるリスク：政情不安や戦争などに伴う制裁または禁輸措置で材料が入手困難となるリスクなど
• 経済的要因によるリスク：急激な為替変動で輸入原料や製品の仕入れ値が高騰するリスクなど
• 技術的要因によるリスク：仕入れ先企業がDDoS攻撃を受けて事業停止に陥り、材料の供給が滞るリスクなど

一方、情報セキュリティにおけるサプライチェーンリスクとは、サプライチェーンでのセキュリティインシデントが自社事業に支障をきたすリスクや、サプライチェーンのセキュリティ上の弱点を突かれた結果、自社でセキュリティインシデントが発生するリスクなどを意味します。

例えば、A社という企業からデータを窃取したい攻撃者がいるとします。しかしA社のセキュリティが堅牢で侵入は難しいと考えた攻撃者は、A社の業務委託先であり、セキュリティの比較的手薄なB社にまず侵入し、B社を踏み台にしてA社のデータを盗み取ろうとするかもしれません。

また、悪意のあるサイバー攻撃に限らず、委託先や仕入れ先の従業員による不注意に起因するリスクも、サプライチェーンリスクに含まれます。例えばB社の従業員が情報の公開設定を誤り、B社に預けられていたA社の非公開情報をネット上に流出させてしまう危険性などが、このリスクに該当します。

さらに、サプライチェーンリスクの原因となるのは、上記のようなビジネス上のつながりにおける弱点だけではありません。サイバーセキュリティの文脈においては、ソフトウェア開発のライフサイクルに関わるモノ（コード、ライブラリ、プラグイン、各種ツール等）・人（開発者、運用者等）・組織のつながり（ソフトウェアサプライチェーン）における脆弱な部分を狙った「ソフトウェアサプライチェーン攻撃」も、重大なリスク要因の1つとなっています。

＜インシデントの性質に基づくサプライチェーンリスクの分類＞

• サイバー攻撃：サードパーティへのサイバー攻撃を踏み台に自社が狙われるリスクや、攻撃されたサードパーティに提供した自社の情報が被害を受けるリスク。ソフトウェアの供給過程で悪意のある改ざんが施され、ユーザーの情報が被害を受けるケース（ソフトウェアサプライチェーン攻撃）もある。
• サイバー攻撃以外：サードパーティにおけるシステムの設定ミスやEメールの誤送信などで自社の情報が被害を受けるリスク（不注意）のほか、サードパーティの従業員が意図的に自社の情報を漏洩させるリスク（内部不正）。

また、このサプライチェーンリスクと似た言葉に「サードパーティリスク」があります。サードパーティとは第三者、つまり国内外の子会社や材料の仕入れ先、利用するクラウドサービスの提供者、業務委託先など、自社以外で自社の事業活動に関わっている企業・組織を意味し、外部の組織で発生したインシデントによって自社事業に不都合が生じる危険性や、サードパーティにおいてセキュリティ上の弱点を突かれた結果、自社でインシデントが発生する危険性をサードパーティリスクと言います。

なお、サードパーティは自社の顧客への商品・サービス提供に関わっていることから、サプライチェーン内に含めて考えることもできます。そのため、サードパーティリスクはサプライチェーンリスクとほぼ同義で使われており、焦点を合わせる先が供給網なのか、供給網の中の個々の組織なのかという違いで使い分けられます。

サプライチェーンリスクについて、さらに詳しくはこちらの記事もご覧ください