サプライチェーンのセキュリティリスクを担保する

サイバー・サプライチェーンのリスク管理

攻撃者の間で「サプライチェーン」が非常に人気があるのはなぜでしょうあ。明らかな理由の1つは、攻撃対象が拡大し続けていることです。ビジネスは、特にオンラインの世界では、かつてないほど相互接続されています。そして、それらのほとんどは、数十、数百、さらには数千ものアプリを使用しており、その多くは外部ベンダーが提供しているもので、多く利用されているアプリを乗っ取ることができれば攻撃者にとって費用対効果が高いと考えられるからです。
 

サプライチェーン・リスクの優先順位付け

以上のことから、組織はサイバー・サプライ チェーン・リスク管理（C-SCRM）に関する NIST（米国国立標準技術研究所）のアドバイスに従うことをお勧めします。

そして、同機関は次のように呼びかけています。

「IT/OT製品およびサービス・サプライチェーンの、分散型および相互接続型の性質に関連するリスクを特定、評価、および軽減することが重要です。また、サプライ チェーンの脅威や脆弱性は、IT/OT 製品やサービスをあらゆる段階で意図的または非意図的に危険にさらす可能性があるため、システムのライフ サイクル全体 (設計、開発、配布、展開、取得、保守、および破壊) が対象となります。」

しかし、前述のように、組織はリスクを認識していると述べているものの、ほとんどの組織はサプライチェーンのセキュリティを優先事項にしていないことも認めています。

Gartnerによる2019年5月30日のレポート「Get Ahead of the Expanding Risk Frontier: Supply Chain Security」では、「サプライチェーンのリーダーは、サイバー攻撃のリスクを懸念事項のリストの最上位に挙げていますが、その戦略としての機能とITの関係を特徴付けているのはそのうちの10%のみです。」

これは皮肉なことであり、厄介なことでもあります。なぜならサプライチェーンを利用したいと思っている人なら誰でもたくさんの助けが得られるからです。
 

契約における効果的な調達言語の開発

当時Black Duckのクリティカルシステム・セキュリティ担当ディレクターだったMike Ahmadi（現在はFarallon Technology Groupのリサーチ担当副社長）と、当時Schneider ElectricのCSO兼副社長のサイバーセキュリティ担当だったGeorge Wrenn（現在はZenPrivataのFounder兼CEO) は、効果的な調達言語を作成する方法について広範なアドバイスを提供しました。これは、サプライヤーまたはその他の第三者が提供するソフトウェアの品質、信頼性、そして何よりもセキュリティに関する声明に対して契約上責務を負うように設計されているからです。

誰もが知っているように、人々が何かに署名するとき、彼らはそれをより真剣に受け止める傾向があるので、それは基本的なものであるべきです。
 

自動化テストツールを用いる

次に、Black Duckによるオープンソース·セキュリティ＆リスク分析（OSSRA）レポートによれば、すでによく知られていることですが、監査された1700あまりのソフトウェアは、オープンソースが最終コードの96%を構成していますが、利用するオープンソースのコードの中身を知ろうとせず、テストも行わない組織は、サプライチェーン問題を引き起こすことになります。

しかし、Ahmadiが2016年に指摘したように、面倒で時間のかかる手作業によるレビューを実施する必要はありません。代わりに、自動化されたツールを使用することで、彼の求めていたテストを正確かつ迅速に行うことができます。

また、「手作業で詳細に調べ上げてテストケースを組み立てることで、プロトコルレベルでファジングテストを行うことができます。あるいは、自動テストツールを利用すれば、ボタンを押してそれらのテスト結果が出るのを待つだけです。」

ソフトウェアベンダーを精査する方法

また、BSIMM（Building Security In Maturity Model）レポートは、同業他組織がどのような対策を実施していて、どんなやり方が機能しているかを示すことで、組織のソフトウェア・セキュリティ・イニシアチブ（SSI）の成長と改善を支援します。このレポートの他にも、サードパーティが提供するソフトウェアに焦点を当てた BSIMMsc （以前は vBSIMM と呼ばれていました）も提供しています。

Black Duckの主席科学者であり、BSIMMの共著者であるSammy Miguesは、ホワイトペーパーで、BSIMMscは「認証と自動化を活用して、ソフトウェア・サプライチェーン・リスク管理の基本的なセキュリティ対策として機能する」と述べています。

もう少し簡単に言えば、組織が「無知」なソフトウェア・ベンダーの採用を回避するのに役立つように設計されているということです。
 

ソフトウェア・サプライチェーン・リスク管理の基礎

BSIMMscレポートは、 BSIMM コミュニティ内におけるソフトウェア・ベンダーと取得者とのやりとりについての議論に基づいており、ソフトウェア サプライヤーを審査するための次のリストを提案します。これらのベンダーは、次の証拠を作成できる必要があります。

• セキュア・ソフトウェア開発ライフサイクル（SSDL）のドキュメント
• SSDLで記述されたアクティビティが期待通りに実施されたことを示す成果物
• ソフトウェア・セキュリティのイニシアティブと技術に対する高い知見を備えていることを示すことのできるソフトウェア・セキュリティ・リーダーとの個別のやりとり
• 製品セキュリティグループ、あるいはアプリケーション・セキュリティグループと呼ばれる、フルタイムのソフトウェア・セキュリティ・グループ（SSG）の存在
• セキュリティ上の不具合を修正を担保するための文書化されたプロセス
• ソフトウェアセキュリティの取り組みと成果についての第三者によるレビュー
   

サードパーティの監視

さらに、Gartner のレポートではサードパーティ・ベンダーのセキュリティを効果的に監視しようと試みている組織のための「プレイブック」を提供しています。

そして、アナリストの Katell Thielemann、Mark Atwood、Kamala Raman からの推奨事項には次のようなものがあります。

• あなたとあなたの第三者が何を保有し、何を保護する必要があるかを理解する
• サードパーティのセキュリティとリスク管理体制を評価する
• 適用されるすべての業界規制を把握し、サプライチェーン・リスク管理戦略の一部に

その他、推奨されるサプライチェーン・リスク管理のプラクティス

最後に、Black Duckのバリューチェーン・セキュリティ・ディレクターであるEmile Monetteは、NIST SP 800-161r1、ISO 20243、SAFECode third-party risk practices、EastWest Institute ICT Buyers Guide、国土安全保障省のプログラムにおける C-SCRM の実装など、さまざまなサプライ チェーン ソフトウェア セキュリティ プラクティスの編集を指摘しています。

以下を含む：

• 製品保証
• セキュア・ソフトウェア開発ライフサイクル
• ソフトウェア・コンポジション解析
• 静的解析
• 動的解析
• 不正な入力によるテスト（ファジング）
• 既知のマルウェアの分析
• セキュリティ対策の検証
• サードパーティの侵入テスト
• ソフトウェア部品表（SBOM）
• リモートアクセス
• 証拠保全
• 偽造の回避と軽減
• サプライヤー管理
• OEM購入
• 内部脅威管理
• サプライヤーのサイバー セキュリティ（NIST サイバーセキュリティ フレームワーク機能による）
• 商用規格の使用

この長いリストのすべてを実行しても完璧であることの保証にはなりません。しかし、もっと近づくことができます。これは通常、攻撃を諦めて、他のより簡単なターゲットを探すように仕向けるのに十分です。

そして、これらの取り組みを検討する際に「それを行う余裕があるか」と躊躇してはいけません。穴の開いたサプライ チェーンからのデータの盗難、法的責任、ブランドの損傷などのリスクを考えると、問題は「それらに取り組まずに済む余裕があるか」ということであるはずだからです。