英語原文：https://cybersecurity.gftd.co.jp/blog/government-supply-chains-security-with-nist-csf-2.0-and-sp-800-161
著者：Artem Ponomarov
抄訳：河崎純真
今日のデジタル時代において、サプライチェーンの安全確保は、国家の安全保障、経済の安定、そして国民の信頼にとって極めて重要です。重要なインフラや機密データの保護を任務とする政府機関は、進化するサイバー脅威からこれらの資産を保護するという課題に直面している。材料調達から公共サービスの提供に至るまで、現代のサプライチェーンの複雑なネットワークは、敵対者による悪用に対して脆弱です。
本稿では、NISTのサイバーセキュリティ・フレームワーク（CSF）2.0とSpecial Publication 800-161に基づき、政府業務におけるサプライチェーン・リスク管理（SCRM）について検討する。また、サイバー脅威から政府のサプライチェーンを保護するための方法論、ベストプラクティス、課題を検証する。これらのフレームワークを組織のリスク管理に統合することは、グローバルに接続された環境において政府サービスの継続性と完全性を確保する、一貫したサプライチェーンセキュリティ戦略にとって不可欠である。
Gftd Japan株式会社のような外部のコンサルティング会社は、SCRMの複雑性に対処するために、貴重な専門知識とソリューションを提供します。Gftd Japan株式会社は、リスク評価フレームワーク、継続的モニタリング、戦略的緩和プランを提供し、政府機関がサプライチェーンの脆弱性を特定・管理できるよう支援します。Gftd Japan株式会社と提携することで、サプライチェーンの回復力を強化し、政府機関にサプライチェーンにおけるサイバー脅威に対抗するために必要なツールを提供することができます。
本稿の目的は、政府のサプライチェーンセキュリティを強化するための実用的な洞察を提供することであり、Gftd Japan株式会のような企業とのコラボレーションがサプライチェーンのリスク管理に対する包括的なアプローチをどのようにサポートできるかを強調することである。このコラボレーションは、国民に効果的にサービスを提供する安全で強靭なデジタル・エコシステムを構築するために不可欠です。
サプライ・チェーンは、製品やサービスの最初の構想、原材料の調達から消費者への最終的な納品までの全行程を包含する。この複雑なネットワークには、設計、生産、配送、使用といった一連のステップが含まれ、その過程で多数のサプライヤー、製造業者、販売業者が統合される。政府組織の文脈では、サプライチェーンは各部門のシームレスな運営にとって極めて重要であるだけでなく、国家安全保障や公共の福祉にとっても極めて重要である。こうしたサプライチェーンの効率性、信頼性、安全性は、政府の業務や国民に提供されるサービスの効果に直接影響する。
デジタル時代において、サプライチェーンは物理的な境界を超え、情報通信技術（ICT）や運用技術（OT）システムを取り込み、より複雑で相互接続されたものとなっている。このデジタル統合は、効率性と革新性を高める一方で、多くのサイバーセキュリティ・リスクをもたらしている。これらのリスクは、サプライチェーンプロセスに関わる情報やシステムの完全性、機密性、可用性を損ない、国家安全保障、経済的安定、公共の安全に重大な脅威をもたらす可能性がある。
サイバーセキュリティの観点から、サプライチェーンリスクとは、サプライチェーンネットワークのセキュリティを損なう可能性のあるあらゆる潜在的脅威を指す。このような脅威は、サイバー攻撃、データ漏洩、マルウェア感染など様々な形で現れる可能性があり、サプライチェーン内のあらゆる弱点を標的とします。現代のサプライチェーンは相互につながっているため、1つの領域で侵害が発生すると、その影響が連鎖し、複数の事業体やプロセスに影響を及ぼす可能性があります。
政府機関にとってのサプライチェーン・サイバーセキュリティの重要性は、いくら強調してもしすぎることはない。国防から公衆衛生・安全に至るまで、政府機能の重要性を考えると、サプライチェーンのセキュリティを確保することが最も重要である。サプライチェーンの侵害は、政府の機密データの暴露、重要なサービスの中断、さらには国家安全保障の侵害につながる可能性がある。
さらに、政府機関は機密情報や機微情報を扱うことが多く、サイバー敵対者にとって魅力的な標的となっている。このような敵対者は、サプライチェーンの脆弱性を悪用して、政府のネットワークに不正アクセスし、機密情報を盗み、重要なサービスを妨害する可能性がある。したがって、サプライチェーン内のサイバーセキュリティ・リスクを特定、評価、軽減することは、国家安全保障を守り、政府業務の継続性を確保する上で極めて重要なステップである。
近年、サプライチェーンへの攻撃が大幅に増加している。サイバー犯罪者は、単一の弱点から複数の組織に侵入する方法として、サプライチェーンを標的としている。個々の組織が直接サイバーセキュリティの防御を強化するにつれて、この方法はより魅力的なものとなり、攻撃者はより要塞化されていない侵入口を求めるようになっている。サプライチェーンは相互につながっているため、1つの領域で侵害が発生すると、ネットワークの一部である多数の事業体に影響を及ぼし、広範囲に波及する可能性がある。このようなサプライチェーン攻撃の増加は、個々の組織の枠を超えた包括的なセキュリティ対策の必要性を強調している。
サプライチェーン攻撃は、主にソフトウェア攻撃とハードウェア攻撃の2種類に分類できる。
ソフトウェアのサプライチェーンは、その複雑な性質のために特に脆弱である。現代のソフトウェアは、多くの場合、プロプライエタリなコード、オープンソースのコンポーネント、サードパーティのAPIのミックスに依存している。これらの各要素は、適切に管理され、保護されなければ、脆弱性をもたらす可能性がある。オープンソースコンポーネントの広範な使用は、開発効率には有益であるが、これらのコンポーネントが定期的に更新され、パッチが適用されなければ、重大なリスクをもたらす可能性がある。サードパーティ・ベンダーのセキュリティ対策が見えないことが、このリスクをさらに悪化させ、ソフトウエアのサプライチェーンの完全性を確保することを困難にしている。
このような事件は、サプライチェーンのリスク管理を徹底する必要性を示しています。サプライチェーン・サイバーセキュリティの脅威の状況を理解することで、政府組織はこれらのリスクを軽減するための戦略をよりよく準備し、実施することができ、業務のセキュリティと回復力を確保することができる。
サプライチェーン攻撃の影響は、サービスの停止やデータの盗難といった直接的なものにとどまらない。こうした事件は、政府機関に対する国民の信頼を損ない、国家安全保障を危うくし、多大な経済的損害を与える可能性がある。現代のサプライ・チェーンは複雑であるため、一つの侵害が複数の層を通じて伝播し、多数の組織や個人に影響を及ぼす可能性がある。このように相互に関連しているため、潜在的な影響を包括的に理解する必要がある：
2024年2月に発表された米国標準技術局（NIST）のサイバーセキュリティ・フレームワーク（CSF）2.0は、サイバーセキュリティ・リスク管理の領域で大きな進化を遂げた。CSF 2.0は、前バージョンで確立された基本原則をベースに、急速に変化するデジタル環境に合わせた機能強化を導入しており、特にサプライチェーンリスクの複雑性への対応に重点を置いている。この更新されたフレームワークは、政府、産業界、学術界を含む様々なセクターにおいて、レジリエントでセキュアなサイバー環境を育成するという NIST のコミットメントの証となるものである。
CSF 2.0 の特筆すべき進歩は、GOVERN 機能の統合であり、サイバーセキュリティリスクの管理における戦略的ガバナンスの重要性が強調されている。この追加は、効果的なサイバーセキュリティが単なる技術的課題ではなく、経営陣の監督と組織目標との戦略的な整合性を必要とするガバナンスの問題でもあることを認識し、より全体的なアプローチへのシフトを反映している。
フレームワークの複雑さとアプリケーションをより深く理解したい方のために、当ブログではNIST CSF 2.0の解説記事を掲載しています。
NIST CSF 2.0 の中核は、組織のサイバーセキュリティ体制のハイレベルな戦略的ビューを提供する 6 つの主要機能を中心に構成されている。これらの機能は次のとおりである：
これらの各機能は、さらにカテゴリーとサブカテゴリーに分けられ、詳細な成果と有益なリソースへの参照を提供し、サイバーセキュリティのリスクを管理するための包括的かつ柔軟なアプローチを提供する。
CSF 2.0 を採用することで、組織は共通の言語と体系的な手法を活用してサイバーセキュリティリスクを特定、評価、管理、削減することができ、相互接続が進む世界において重要インフラと機密データの保護を確保することができる。
サプライチェーンリスクマネジメント（SCRM）にGOVERN機能を統合することは、サイバーセキュリティへの配慮を組織の戦略的ガバナンスプロセスに組み込む上で極めて重要である。GOVERN 機能の原則を活用することで、組織はサプライチェーンリスクを明確に認識し、ガバナンスの枠組みの中で対処することができる。これには以下が含まれる：
CSF2.0をサプライチェーンのセキュリティに適用する場合、組織プロファイルは、サプライチェーン・リスクマネジメントの実践の現状と望ましい状態をマッピングするための不可欠なツールとなる。重点的なアプローチには、以下が含まれる：
サプライチェーンセキュリティのための CSF2.0 を実施する上で極めて重要なことは、サプライチェー ンの状況に合わせた徹底的なリスク評価を実施し、効果的な緩和戦略を採用することである。これには以下が含まれる：
GOVERN 機能の戦略的ガバナンス・アプローチを組織プロファイルと階層（Tier）の重点的な適用と統合することで、組織は CSF 2.0 の文脈の中でサプライチェーン・リスクを効果的に管理・軽減し、全体的なサイバーセキュリティ態勢を強化することができる.
デジタルに接続された現代の状況において、サプライチェーンリスクマネジメント（SCRM）の戦略的役割は極めて重要である。NIST CSF 2.0 のリリースは、サプライチェーンへの配慮をサイバーセキュリティフレームワークに直接組み込むことで、この重要性を強調している。このアプローチは、複雑でグローバルな供給ネットワークに絡む政府機関にとって有益であり、チェーンの脆弱性がサイバーセキュリティの脅威の導線となる可能性がある。
NIST CSF 2.0は、構造的でありながら柔軟なフレームワークを提供し、政府組織がサプライチェーンリスクを効果的に管理し、軽減することを可能にする。GOVERN機能が追加されたことで、SCRMが単なる技術的な取り組みではなく、組織の目的に沿ったトップダウンの戦略的優先事項であることを確実にする、ガバナンスを重視したフレームワークが強調されている。
このフレームワークは、NIST Special Publication 800-161 に関する今後の議論の舞台を整え、具体的な SCRM 戦略と実践を深掘りするために必要な基礎原則を提供する。NIST CSF 2.0とSP 800-161を合わせると、政府組織がサプライチェーンセキュリティの複雑な問題に対処するための包括的なツールキットとなり、国家安全保障、経済の安定、国民の信頼を強化することができる。
NIST Special Publication 800-161r1 は、効果的なサプライチェーンリスク管理（SCRM）を通じて政府組織のサイバーセキュリティ態勢を強化するための重要なリソースとして登場した。現代のデジタル・エコシステムの複雑さを念頭に設計された本書は、政府の業務やサービス提供に不可欠なサプライチェーンに浸透するリスクを特定、評価、緩和するための包括的な枠組みを提供する。政府機関が依存するサプライヤ、サービスプロバイダ、サードパーティパートナーの複雑な網の目、およびこの相互依存がもたらすサイバーセキュリティの潜在的脆弱性を認識している。SP 800-161r1 は、無数のサイバー脅威からサプライチェーンを保護し、重要なサービスと情報の完全性、可用性、および機密性を確保するために必要な知識、戦略、およびツールをこれらのエンティティに提供することを目的としています。
SP 800-161r1 の政府機関への関連性は、いくら強調してもしすぎることはない。国家安全保障や公共の安全から医療やインフラに至るまで、政府サービスの重要性を考えると、そのサプライチェーンのセキュリティと回復力は最も重要である。政府機関は多くの場合、機密データや重要なインフラを扱っており、それが侵害されれば、国家の安全保障、経済の安定、国民の信頼に甚大な影響を及ぼしかねない。さらに、政府機関のサプライチェーンは複雑で、サプライヤーが何重にも存在し、製品やサービスも多岐にわたるため、サイバーセキュリティリスクの可能性がさらに高まっています。.
SP 800-161r1 は、政府機関特有の運用、規制、およびリスク環境に合わせたガイダンスを提供することで、これらの課題に対処している。SP 800-161r1 は、SCRM に対するプロアクティブで包括的なアプローチの必要性を強調しており、これは現在の脅威に対応するだけでなく、将来の脆弱性を予測し、それに備えるものである。SP 800-161r1に概説されているプラクティスとコントロールを遵守することで、政府機関は防御を強化し、サプライチェーンが弱点としてではなく、デジタル時代のセキュリティと信頼性の砦として機能することを確実にすることができる。
SP 800-161の適用範囲は包括的であり、サプライチェーン内のリスクの管理と軽減に関わる活動全体をカバーしている。これは、サプライチェーンの脆弱性を効果的に特定、評価、対処するために必要な知識とツールを政府機関に提供することを目的としている。SP 800-161の目的は、より広範な組織のリスク管理手法と整合するサイバーセキュリティ・サプライチェーン・リスク管理（C-SCRM）の構造化されたアプローチを提供し、サプライチェーンリスクが組織の目標やリスク選好度に照らして一貫して特定、評価、管理、伝達されるようにすることである。.
重要な成功要因
C-SCRM コントロールとは
サイバーセキュリティの脅威からサプライチェーンを保護するために設計された包括的なコントロールのセット。これらのコントロールは、アクセスコントロール、インシデントレスポンス、リスクアセスメントなど、さまざまなファミリーにまたがり、サプライチェーンを保護するための構造的なアプローチを提供する。
クラウドサービスプロバイダーのためのガイダンス： クラウド環境におけるサプライチェーンリスクを管理するための具体的な検討事項を提供し、クラウドサービスが政府の基準に沿って安全であることを保証する。
これらの要素は、NIST SP 800-161r1の包括的な性質を強調するものであり、政府組織がサプライチェーンにおけるサイバーセキュリティリスクを管理・軽減するための強固な枠組みを提供するものである。
NIST SP 800-161r1は、政府組織内の多様な役割と責任に対応するよう独自に設計されており、様々な利害関係者がサプライチェーンセキュリティの強化に積極的に参加できるよう、カスタマイズされたガイダンスを提供しています。この文書は、調達担当者やIT管理者から上級幹部やリスク管理専門家に至るまで、様々な役割に対する具体的な責任とベストプラクティスを定義しています。役割に特化したガイダンスを提供することにより、SP800-161は、サプライチェーンリスクマネジメント（SCRM）の取り組みに効果的に貢献するために必要な知識やツールを、組織のあらゆる階層が関与し、備えていることを保証します。このアプローチは、各関係者が潜在的なサイバー脅威からサプライチェーンを保護する上での自らの役割を理解することで、SCRMのための包括的かつ統一的な戦略を育成します。
SP 800-161r1には、政府業務においてクラウドサービスへの依存が高まっていることを認識し、クラウドサービスプロバイダ（CSP）に関連する固有のリスクを管理するための専用ガイダンスが含まれている。これは、クラウドベースのサプライチェーンを保護するための複雑な作業を行う政府組織にとって特に重要である。本書は、CSP の徹底的なリスク評価の実施、サービス・レベル契約における明確なセキュリティ要件の設定、および CSP がセキュリティ標準に準拠していることを確認するための継続的なモニタリングの実施に関する戦略を提示している。このガイダンスは、政府機関がクラウド・サービスを通じてもたらされる潜在的な脆弱性を軽減し、クラウド・ソリューションの採用がサプライ・チェーンのセキュリティを損なうことのないよう支援するものである。.
政府組織においてSP800-161を効果的に実施するための重要な側面は、SCRMイニシアチブに専用のリソースを割り当てることである。サプライチェーンリスクの広範な範囲及び潜在的な影響を認識し、SP800-161は、SCRM活動を支援するための十分な資金、人員及び技術的資源の必要性を強調している。これには、リスク評価及びモニタリングのためのツール及び技術への投資、並びにSCRMを専門とする人材の採用及び訓練が含まれる。専用のリソースを割り当てることで、政府組織が包括的なサプライチェーン・リスク評価を実施し、強固なセキュリティ管理を実施し、新たな脅威に対する継続的な警戒を維持できるようになる。これは、国家安全保障と公共サービスの継続性の維持におけるSCRMの重要な役割を反映し、サプライチェーンの安全保護に対する組織のコミットメントを強調するものである。
NIST SP 800-161 のガイドラインを完全に詳細に実施している政府組織の具体的なケーススタディーは、セキュリ ティ及び機密保持上の理由から公開されない可能性がありますが、フレームワークのベストプラクティスに基 づいた仮想的なシナリオを議論することは可能です。これらの事例は、SP800-161 の原則とガイドラインがどのように実際に適用され、政府の文脈におけるサプライチェーンセキュリティの強化につながるかを説明することを目的としています。.
ケーススタディ1：連邦政府保健機関
ある連邦医療機関は、医療機器と医療 IT システムのサプライチェーンを保護するために SP 800-161 ガイドラインを統合した。必要不可欠な医療サービスを提供する上で、これらの機器が極めて重要であることを認識した同機関は、サプライヤの徹底的なリスク評価を実施し、サイバーセキュリティの実践と脆弱性管理プロセスに焦点を当てました。SP 800-161の管理を実施することで、強固なセキュリティ対策を実証したサプライヤーとのより強固なパートナーシップが確立され、サプライチェーンが危険にさらされるリスクが大幅に軽減されました。
成果：医療機器と医療ITシステムのセキュリティの向上、患者データ保護の強化、サイバーセキュリティインシデントによるダウンタイムの削減。
教訓：サプライヤーのサイバーセキュリティ慣行についてデューデリジェンスを実施することの重要性と、調達契約に明確なセキュリティ要件を設けることの価値。
ケーススタディ2：地方自治体のIT部門
ある地方自治体のIT部門は、SP 800-161ガイドラインを適用して、クラウドサービスプロバイダーに関連するサプライチェーンリスクを管理した。同局は、潜在的な CSP のセキュリティ体制を評価するための包括的な評価フレームワークを確立し、クラウド導入戦略にセキュリティの考慮事項を統合した。
その結果 クラウドサービスへの安全な移行、クラウドにおけるデータ保護の強化、セキュリティに関する CSP との協力関係の強化。
教訓 CSP に対してセキュリティに関する期待と要件を明確に伝えることが不可欠であり、また、進化し続けるクラウドセキュリティの課題に対処するための継続的な評価と協力が必要である。
これらの仮想ケーススタディは、政府組織におけるサプライチェーンセキュリティの強化における SP 800-161 の実際的な適用可能性と利点を強調するものである。
政府組織におけるNIST SP 800-161の導入には、課題がないわけではない。以下のようなものがあります： :
サプライチェーンリスクマネジメントの状況は、サイバー脅威、技術の進歩、グローバルなサプライチェーンのダイナミクスの変化により、絶えず進化しています。今後の展望:
NIST SP 800-161は、SCRMに対する包括的なアプローチにより、政府機関が現在の課題に対処し、将来の変化に適応するための強固な基盤を提供する。定期的な更新により、ガイダンスは常に適切なものとなり、政府機関が進化するSCRMの状況をナビゲートし、新たな脅威から重要なサプライチェーンを保護するのに役立ちます。
政府業務における強固なサプライチェーン・リスクマネジメント（SCRM）の必要性は、いくら強調してもし過ぎることはない。デジタルの相互接続が顕著な時代において、サプライチェーンの回復力は、国家の安全保障、経済の安定、そして国民の信頼の基盤に直接影響を与える。重要なインフラや機密データを預かる政府機関は、複雑なサプライヤーやパートナーの網の目をかいくぐるという課題に直面している。効果的なSCRMは、単に戦術的な必要性ではなく、戦略的な必須事項であり、進化するサイバー脅威を背景に、公共サービスと国防のライフラインが安全であり続けることを保証する。
NIST Special Publication 800-161r1 は、サプライチェーンセキュリティの複雑な問題を通して政府機関を導く包括的なフレームワークを提供し、この努力の道標となっています。その実用的なガイダンスは、政府組織が直面する固有のニーズと課題に合わせたもので、サプライチェーン内のリスクを特定、評価、緩和するために必要なツールと洞察を提供する。SP 800-161r1は、サイバーセキュリティの専門家の英知を結集し、政府のサプライチェーンの完全性を守るために不可欠なベストプラクティスと管理策をまとめたものです。
将来に向けて、SP800-161r1で概説された原則と戦略は、サプライチェーンセキュリティの強化に努める政府組織にとって、引き続き基礎的な要素として機能する。そうすることで、これらの原則や戦略は自組織の直接的な利益を守るだけでなく、安全で弾力性があり、信頼できるデジタル・エコシステムを育成するという、より広範な目標にも貢献することになります。
第三者によるサイバーリスクが急増する中、効果的なサプライチェーンリスク管理は不可欠です。Gftd Japan株式会社はその最前線に立ち、お客様のサプライチェーンセキュリティを強化するための的を絞ったガイダンスとコンサルティングを提供します。
当社はサプライヤのリスク評価を専門としており、詳細なアンケートを通じてサプライヤのサイバーセキュリティを評価し、十分な情報に基づいた意思決定のためにリスクスコアを付与します。
評価にとどまらず、Gftd Japan株式会社は継続的なリスク監視のためのツールを提供し、企業が脅威に迅速に対応できるようにします。Gftd Japan株式会社のフレームワークはリスク管理のライフサイクルを効率化し、お客様のチームは組織リスクの最小化に集中することができます。
Gftd Japan株式会社とパートナーシップを組むことで、サプライチェーンとサイバー脅威に対する組織の回復力を強化することができます。
サプライチェーンのリスクを積極的に管理する準備はできていますか？Gftd Japan株式会社がどのようにお客様をサポートできるかをご覧ください。今すぐオンラインミーティングをご予約の上、高まるサイバーチャレンジに立ち向かうサプライチェーンの安全を確保してください。
さらに、NISTのいくつかの主要な出版物は、サプライチェーン・リスクマネジメントに関するさらなる洞察を提供している：
これらのリソースは、政府機関がサプライチェーン・リスク管理の複雑な状況を乗り切るために必要な知識とツールを提供し、公共の利益のために安全で回復力のあるデジタル環境を育成します。