サプライチェーン攻撃とは
サプライチェーン攻撃とは、セキュリティが強固な大手企業や組織を直接攻撃するのではなく、その企業と取引のある関連企業、子会社、または利用しているソフトウェアなどの「サプライチェーン（供給網）」の弱い部分を踏み台にして、最終的な標的である大手企業へ侵入する攻撃手法です。
大企業自体がいくら強固なセキュリティ対策をしていても、セキュリティ対策が不十分な中小の取引先がウイルスに感染してしまうと、そこから社内ネットワークへの接続口を悪用されて侵入を許してしまいます。そのため、自社だけでなく、サプライチェーンに関わるすべての組織が連携してセキュリティを高める「サプライチェーンマネジメント」としてのセキュリティ対策が不可欠です。具体的には、取引先に対してセキュリティ自己診断の実施を求めたり、外部サービスの選定基準を厳格化したりする対策が取られます。近年では、信頼されたソフトウェアのアップデートファイルにウイルスを混入させるタイプも増えています。
具体例
[攻撃者] --> [中小の部品メーカー（ウイルス感染）] --> [大手企業の社内ネットワークへ接続] --> [大手企業の機密情報流出]もう少し詳しく
サプライチェーン攻撃には、主に「ビジネス上の供給網（取引先や委託先）」を標的にするものと、「ITの供給網（ソフトウェアやハードウェアの製造工程）」を標的にするものの2つのタイプがあります。前者は、本丸である大手企業と日常的にデータをやり取りしている物流業者、保守ベンダー、セキュリティが比較的甘い子会社などを踏み台として利用します。攻撃者はこれらの中小企業に一度侵入し、そこから大手企業へのVPN接続アカウントを盗み出すなどしてネットワークの深部へ侵入します。後者は、広く使われているオープンソースソフトウェア（OSS）や商用製品の開発・ビルドプロセスそのものにマルウェアを混入させ、正規のアップデートとして配布させる「ソフトウェアサプライチェーン攻撃」です。この手法では、ユーザー側がいくらシステムを常に最新状態にアップデートしていても、そのアップデート自体に悪意あるコードが含まれているため、検知や防御が極めて難しいという非常に厄介な特徴を持っています。
試験でのポイント
試験では、サプライチェーン攻撃の概念と具体的な事例、そしてサプライチェーン全体でセキュリティ水準を担保するための管理手法が問われます。特に「委託先管理の徹底」や「サプライチェーン全体のセキュリティリスクマネジメント」が重視されます。具体的な設問では、取引先に対するセキュリティ監査の実施や、契約書におけるセキュリティ水準（SLA）の明文化、さらにはソフトウェア部品の構成表である「SBOM（Software Bill of Materials）」の活用などが正解の選択肢に絡んできます。大企業が自社の防御を固めるだけでは防げない脅威としての共通認識を持つことが合格へのポイントです。
関連する用語
関連用語としては、ソフトウェアを構成する部品や依存関係をリスト化した「SBOM」、ビジネスの委託先や供給網におけるセキュリティ基準を定める「サプライチェーンマネジメント（SCM）」、また信頼された製品の更新プログラムを汚染する「ソフトウェアサプライチェーン攻撃」などがあります。