# オープニング #雑談から生まれたもの どうもー。セキュリティジョッキーの松野です。 6回目のセキュリティ会社企業を目指して、サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は雑談から生まれたものに関する話なんですけども、 そうですね、実はというかですね、このセキュラジーがですね、 もともと僕がしていた雑談から生まれたものだなというふうに今思い出していました。 僕自身ですね、過去に経営していた会社で、そのお客さんだったりとか、 あとは授業員とかともそうですね、本題に入る前に、いわゆるアイスブレイクというかですね、 雑談から入っていくことがあるわけなんですけども、 その時にですね、その話の中で、そういえばニュースで見たこのインシデントってうちに関係あるの?みたいな、 そういった質問をですね、お客さんからだったり聞くことがあったなというところでして、 その際にですね、相手の方がエンジニアだったり、技術的に明るい方であればですね、 そこを深掘りしたような話が喜ばれたというところもあるわけなんですけども、 そうとは限らないというところがあるわけで、例えばその経営者の方だったりとか、 総務とかですね、非エンジニアの方からですね、同様の質問を受けることもありました。 そんな時はですね、例えば話を使ったり、できるだけですね、 分かりやすい内容でお話をして、そのリスクについてですね、 正しく伝えていくということを日々しておりまして、 そういったことを繰り返しているとですね、これって多分自分がお会いできる方だけじゃなくて、 世の中に同じような、なんて言うんでしょうね、悩みというか、 なんか疑問ですね、思っていらっしゃる方いるんじゃないかなというところからですね、 このセキュラジーはスタートしたというか、その一つの理由としてですね、 そういった雑談から生まれたというところがありました。 現在それからですね、どこまで達成できているかというか、 セキュリティのですね、お悩みを解決できているかというところは分からないんですけれども、 そのなんか、もともと始めたきっかけみたいな、こういったところはですね、 やっぱりすごく大事にしていきたいなというふうに思っていまして、 ちょっと悩んだりとか迷ったりとかした際はですね、 初心に帰るという原点にしていきたいなというふうに改めて思いました。 ということで、今回はサプライチェーンの弱点をついたサイバー攻撃について取り上げております。 この放送を通じてリスナーの皆さんは、委託先を含めたサプライチェーン全体の セキュリティ管理の重要性と、万が一の事態に備えるための業務継続計画、 いわゆるBCPの考え方について理解を深めていただければと思います。 それではどうぞ。 # ニチレイロジグループへの不正アクセスに起因するシステム障害、KFC店舗への食材納品に影響 日霊ロジグループへの不正アクセスに起因するシステム障害 KFC店舗への食材納品に影響 日本ケンタッキーフライドチキン株式会社は7月14日物流委託先のシステム障害について発表した こちらの記事を簡単に解説お願いできますでしょうか はいある大手ファストフードチェーンが食材の配送を委託している物流会社のシステム 障害について発表したニュースです 7月13日にこの物流委託先が第三者からの不正アクセスを受け 大規模なシステム障害が発生しました これが原因で物流や配送拠点の運営に支障が生じ 7月14日以降全国のファストフード店舗への食材納品に深刻な影響が出ました 初動対応として影響を受けた店舗では商品の一部品切れや営業時間の短縮 状況によっては営業休止という苦渋の決断を余儀なくされ オンライン注文も一時停止されました現在は関係各社と密に連携し システムの復旧に向けた対応と今後の再発防止策の策定が進められている状況です 自社ではなく委託先が狙われるというのはどういった背景があるのでしょうか はいこれはまさにサプライチェーン攻撃と呼ばれる手口の典型的な例と言えます 大企業はセキュリティ対策に多額の予算をかけて防御を固めていることが多いですが その企業と取引がある中堅や中小の委託先は相対的にセキュリティ対策が 手薄になりがちです攻撃者はそこを狙いまずは防御が弱い委託先に侵入します そして委託先のシステムを停止させたり そこを踏み台にして本丸である大企業へ侵入したりするのです 今回は物流システムが直接的な被害を受けましたが結果的に委託元の店舗運営を 直撃することになりました 物流システムが止まったことでなぜそこまで広範囲に影響が出てしまうのですか はい現代の物流システムは単に物を運ぶだけでなく在庫管理から配送ルートの最適化 細かな温度管理まであらゆるプロセスがデジタル化されネットワークでつながっているからです システムがダウンするとどの食材をどの店舗にどれだけ運べば良いのかという基本的な 情報が全くわからなくなってしまいます 特に外食産業では新鮮な食材を必要なタイミングで届ける仕組みを採用していることが多いため 一度システムが止まるとすぐに店舗の在庫が尽きてしまい 営業そのものができなくなってしまうのです 今回のインシデントで情報公開のタイミングについてどう思われますか はい今回のケースでは7月13日に不正アクセスが発生し 翌日の7月14日には委託元である外食チェーンから速やかに発表が行われています この迅速な情報公開は非常に評価できるポイントです 消費者に対してなぜ商品が提供できないのか なぜ店舗が休業しているのかを正直かつ早期に伝えることで現場の混乱を最小限に 押される効果があります またサイバー攻撃が原因であることを隠さずに公表する姿勢は企業としての透明性を示し 中長期的な信頼関係を維持する上でも非常に重要な対応だと言えます 委託先のセキュリティ対策を確実にするために根本的な対策はありますか はい委託元としての責任がこれまで以上に問われる時代になっていますので契約段階 での取り決めが極めて重要です 具体的には委託先に対して定期的なセキュリティ監査を実施することや情報セキュリティに関する 公的な認証取得を条件にすることが考えられます また万が一インシデントが発生した際の報告体制や責任の所在について契約書で 明確に定めておく必要があります ただルールを押し付けるだけでなくサプライチェーン全体でセキュリティレベルを底上げするための 支援や対話も欠けせません 今回の事件から私たちが長期的に学べる教訓は何でしょうか はい最も重要な教訓はサイバー攻撃はもはや it 部門だけの問題ではなく事業継続に直結する重大な経営課題である ということですシステムが停止した際にどうやって手作業で業務を継続するか あるいは大体の物流ルートをどう確保するかといった最悪の事態を想定した bcp を日頃から策定し訓練しておく必要があります 自社のシステムだけを守るのではなくビジネスに関わるすべてのパートナー企業を含めて 一つの大きな組織としてリスク管理を捉え直すことが今後の企業活動には不可欠になって くるでしょう なるほど自社の対策をしっかり行うことはもちろんですが ビジネスでつながっている委託先全体のセキュリティをどう確保するかや万が一システムが 止まってしまった事態に備えた代替計画を前もって立てておくことが事業を守る ために本当に大切なんだと気づかされました 自社だけでは完結しない現代のリスクについてまた一つ勉強になりました # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、サプライチェーンの弱点をついたサイバー攻撃ということでですね、 飲食店の配送を担当していた会社がサイバー攻撃を受けることによって、 その影響がですね、飲食店本体にまで及んでしまったということになります。 近年ですね、このサプライチェーンリスクに関する状況が少し変わってきていまして、 少し前にもお話をさせていただいたわけなんですけども、 オープンソースをですね、利用することに対してそのサプライチェーンリスクがですね、 上がってきていると、こういうことが言えるんじゃないかなというふうに思っています。 理由としてはですね、AIによる脆弱性の分析ですね、これに尽きるというところでありまして、 今まではですね、人間がその脆弱性を見つけていましたので、 そのスピードだったり、あとは攻撃にかかる時間ですね、こういったところもですね、 一定の時間を要していたわけなんですけども、 AIによってですね、それが圧倒的に短縮化されていると。 つまりそのオープンソースを使ってですね、何らかのサービスを提供していたり、 場合によってはホームページも関連するところなんですけれども、 そういった場合にですね、そのオープンソースが攻撃を受けて、脆弱性を見つけられてですね、 その脆弱性が悪用されるというようなサプライチェーンリスクがですね、 考えなければいけない状況だということになります。 圧倒的にですね、その時間が短縮化されているということになりますので、 皆さんにおいてもですね、ホームページを持ってらっしゃる方多いんじゃないかなと思いますので、 ぜひご自身で使われていらっしゃるオープンソース、 これに関してはですね、常にその脆弱性情報に耳を傾けていただきますようお願いいたします。 今日の10分セキュリティラジオは、月曜から土曜に祝日も休まず配信しております。 それではまた明日の配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!