サプライチェーン

サプライチェーンは、原材料の調達から製造、物流、販売、保守までの一連のつながり全体を指す言葉です。 もともとは製造業の用語ですが、いまはIT・情報セキュリティの文脈で使われることの方が多くなっています。

なぜIT分野で重視されるようになったのか

理由は単純で、攻撃者が「守りの堅い本丸」ではなく「つながっている弱いところ」を狙うようになったからです。

大企業のシステムを直接破るより、そこへ部品や保守サービスを納めている中小の取引先を経由する方が容易です。実際に、取引先の侵害が原因で発注元の工場が止まる、という事故が起きています。

つまり自社のセキュリティが強くても、つながっている先が弱ければ影響を受けるというのが、この言葉が問題として語られる理由です。

「自社の範囲外」が範囲内になる

サプライチェーンの視点で見ると、責任範囲の線引きが変わります。

大企業が取引先へセキュリティ状況の確認票を送る、といった運用が広がっているのはこのためです。中小企業側も「うちは狙われない」では通らなくなってきています。

押さえておきたい注意点

対策として全取引先へ同じ水準を求めるのは現実的ではありません。重要度で階層を分けるのが実務的です。

• 基幹システムに直接つながる先 → 契約と監査で担保する
• 定期的にデータをやり取りする先 → 最低限の確認事項を決める
• 単発の取引 → 過度な要求はしない

どこが止まると自社の業務が止まるかを先に洗い出すと、優先順位が決まります。

実務で見るポイント

• ソフトウェア開発の文脈ではソフトウェアサプライチェーンとして、依存ライブラリやCI/CDまで含めて扱う
• 具体的な攻撃手口はサプライチェーン攻撃を参照
• 委託契約では、事故時の連絡義務と報告期限を明記しておく

ソフトウェアや委託先とのつながりを含めた全体像は、サプライチェーンとは？ITでどうかかわる？ で解説しています。