近年サプライチェーンへの攻撃が増加し、社会基盤を揺るがすような事件も発生するなど、セキュリティリスクの影響の大きさに注目が集まっています。企業や国境の壁を越えたサプライチェーン・ネットワークが広がる現在、リスクを最小化して企業活動を維持するためにはセキュリティの視点が欠かせません。脅威の種類や被害を食い止めるための対策について、野村総合研究所（NRI）の寺坂和泰とNRIセキュアテクノロジーズの山口雅史に話を聞きました。

サプライチェーンはサイバー攻撃の格好の標的

――サプライチェーンを取り巻く脅威とはどのようなことでしょうか？

サプライチェーンそのものの毀損や情報漏えいのほか、生産・販売する製品に不具合が埋め込まれるリスクにも気を配る必要があります。例えば、ある電子部品の供給を依頼している委託先がサイバー攻撃を受けて部品に組み込まれるソフトウエアにバックドアが仕掛けられ、そこから情報が漏れる可能性や、エンジンの出力を制御するソフトウエアが書き換えられることで事故につながる可能性など、デジタル時代ならではの脅威が存在します。

山口：DXの加速化によってサプライチェーンもすべてITでつながるようになったため、その一カ所にでもほころびがあると、かつては考えられなかった規模でのセキュリティインシデントによる影響がありえます。わたしたちはリスクの種類を大きく2つに分けており、一つは「グループ会社・委託先を含めて情報システム環境が攻撃され、本社まで被害が拡大する」ケース、もう一つが「サプライヤーが開発・納入した製品がサイバー攻撃の対象になる」ケースです。

潜在化しているリスクを洗い出すデジタルサプライチェーン

――どのように対応すればよいのでしょうか？

山口：ポイントは2つあります。一つは、つながっているサービスやシステム全体においてどのようなリスクがあって、そのリスクに対してどのような対応をすればよいのかを可視化し、それぞれの脆弱性を解決していくことです。
もう一つは、委託先も含めて、提供されるソフトウエアや機器などに対してリスクや脆弱性がないかどうかチェックしてから受け入れるセキュリティゲートの導入です。プロダクトライフマネジメントの一環として、そのようなセキュリティチェックが必要だと考えます。

――管理工数が増えることについては、どう考えればよいでしょうか？

寺坂：事故が起きた時のインパクトを分析する考え方が必要です。例えば製造業のサプライチェーンであれば、その製造ラインがストップした場合の１日あたりのサプライチェーン全体の損害額を可視化計算することで、対策の重要性に気づいていただけるのではないでしょうか。
設備なら設備、サーバーならサーバーと、個別のセキュリティ対策は当然どの企業も行っていますが、サプライチェーンのリスクが顕在化した時の影響範囲の広さについて気づかれている企業はまだ少ないと感じています。わたしは「デジタルサプライチェーン・マネジメント」を専門にしていますが、これは物理的なサプライチェーンをサイバー空間上にモデル化（デジタルツイン）して全体像を可視化し、最適化シミュレーションによって理想的なネットワークやオペレーションを備えたサプライチェーンを実現しようとするものです。この技術を応用し、製造から物流、自社工場から委託先～再委託先までの広義のサプライチェーンを横断的に分析して、潜在化しているリスクを洗い出したり、リカバリーコストも含めた影響額を推定したりすることで、企業の意思決定の一助となるようなご支援を行っています。

サプライチェーンの高度化を通じて、つながる社会の安全・安心に貢献

――何から始めればよいか教えてください。

――最後に、NRIグループができること、貢献したいことをお聞かせください。

山口：日本の企業間連携は信頼関係で成り立っている側面がありましたが、現在もまだまだ性善説的な対応が続いている状態です。長く付き合いのある会社だから、日本の企業だから、という理由だけで、「まあ大丈夫だろう」とリスクを考慮しないケースもめずらしくありません。しかし、かつては思いも寄らなかったようなリスクが存在するデジタル時代には、お互いに脆弱性があるものと認識しあって付き合うことが大切です。わたしたちは、サプライチェーンセキュリティをより高度化することで、つながる社会の安全・安心を実現していきます。

寺坂：企業がDXに邁進しているのは、デジタルを使うことで飛躍的な成長が可能だからです。しかし裏を返せば、リスク面でも想像をはるかに超えた脅威にさらされる危険性があるということです。わたしたちはデジタルの力を使ってお客さまの成長をご支援すると同時に、それが持続可能な成長となるようにセキュリティ面での対策もとりながら、サプライチェーンの高度化に貢献していきたいと考えています。