サプライチェーンのセキュリティ上の弱点に成らないために

サプライチェーンの弱点として有名になることを望んでいる人はいません。しかし、製品のサイバーセキュリティ対策を優先しなかったことで、あまりにも多くの組織がデジタル・サプライチェーンに組み込まれたことによってリスクにさらされています。

このことを証明した最新の事例は、SolarWinds/Orionを悪用したサイバー攻撃です。

ITのネットワークやインフラストラクチャを監視するためのシステム管理ツールを提供するSolarWindsには、Orionと呼ばれるIT全体のパフォーマンス監視システムがあります。攻撃者がOrionのアップデートにマルウェアを注入していたため、専門家の指示どおりにソフトウェアを最新の状態に保つために、何万ものSolarWindsの顧客がOrionをアップデートしたことでマルウェアが拡散しました。

サプライチェーンのセキュリティにおけるドミノ効果

攻撃者は、これらの個々の顧客をハッキングする代わりに、1つのベンダーを侵害し、残りをサプライチェーンに任せて、顧客のデータとネットワークにアクセスできるようにします。

侵害されたアップデートの影響を受ける可能性があるとの同社の当初の見積もりは約18,000でしたが、SolarWindsのCEOであるSudhakar Ramakrishnaは最近、約100の民間企業と9つの連邦機関に対して、見積もりが大幅に下がったと業績発表会で述べました。

連邦政府機関には、国土安全保障、州、司法、商務、財務の各部門に加えて、NASA、FAA、国立衛生研究所、国家核安全保障局が含まれます。

それは、組織を侵害から守り、対処するのを支援する会社であるFireEyeにも影響を及ぼしました。 同社は2020年12月13日のブログで、少なくとも2020年3月以降に行われている、ロシアが関与したとされる「グローバル侵入キャンペーン」を発見したと発表しました。また、同社は自身も被害者であったことも認めました。実際、FireEyeが明らかにしなかった場合、他の何千もの被害を受けた企業や組織は、自分たちが危険にさらされていることに気付いていなかった可能性があります。

これは新しい問題というわけではありません。セキュリティの専門家は、サプライチェーンの脆弱性により、ハッカーが引き起こす可能性のある被害が指数関数的に増加する可能性があることを長年警告してきました。しかし、これらの警告の有効性を確認するニュースが連続していても、過去10年間、サプライチェーンのセキュリティに実質的な改善はあまりありませんでした。

上院情報委員会のMark Warner 委員長（D-VA）は、2021年2月のSolarWindsハッキングに関する公聴会で認めましたが、この攻撃は、「私たちが長い間無視してきた多くの長引く問題を浮き彫りにしました」と述べました。

良いニュースは、議会が関与しなくても改善が可能であるということです。 サプライチェーンのセキュリティを強化する方法は十分に確立されています。 組織がそれらを実装すれば、それらも機能します。

では、どうすればその弱いリンクになるのを避けることができるでしょうか？

今日の相互接続された世界では、ほとんどの組織はサプライチェーンにおける消費者と提供者の両方です。同様に、SolarWindsなどのさまざまなサードパーティからの材料、製品、およびサービスを消費し、他の組織または一般向けの製品およびサービスも作成します。

ただし、セキュリティの重要性は役割ごとに少し異なります。 このブログサイトの別の投稿では、サプライチェーンの消費者向けのセキュリティに関する推奨事項に焦点を当てていました。 これは提供者に焦点を当てます。