| GUIDANCE FOR ORGANISATIONS TO BUILD SUPPLY CHAIN RESILIENCE AGAINST RANSOMWARE |
ランサムウェアに対するサプライチェーンレジリエンスを構築するための組織向けガイダンス |
| Cover Note/Statement |
序文／ステートメント |
| 1. Members of the Counter Ransomware Initiative and its Private Sector Advisory Panel are joining together to issue guidance for organisations on building resilience in their supply chains against ransomware threats. |
1. カウンターランサムウェア・イニシアティブのメンバー国・機関 及びその民間セクターアドバイザリーパネル は相互に連携して、ランサムウェアの脅威に対するサプライチェーンのレジリエンスを構築することに関する組織向けガイダンスを発出する。 |
| 2. The guidance aims to reduce the likelihood of a ransomware incident having a critical effect on an organisation by: |
2. このガイダンスの目的は、組織がランサムウェア・インシデントによって重大な影響を受ける可能性を、以下の方法で低減することである： |
| a. Raising awareness of the ransomware threat across an organisation’s supply chain |
a. 組織のサプライチェーン全体でランサムウェアの脅威に対する意識を高める |
| b. Promoting good cyber hygiene to protect supply chains |
b. サプライチェーンを保護するための適切なサイバー衛生（サイバーハイジーン）を推進する |
| c. Ensuring supply chain vulnerabilities are factored into an organisation’s risk assessment and decisions, including on procurement |
c. サプライチェーンの脆弱性が、組織のリスク評価や意思決定（調達に関するものを含む）に確実に織り込まれるようにする |
| 3. We recommend organisations review the following guidance and consider implementing the recommendations in collaboration with supply chain operators, both existing and future. The aim is to ensure organisations do not leave supply chains vulnerable to ransomware attacks. |
3. 各組織は、以下のガイダンスを参照し、既存及び将来のサプライチェーン運用者と協力して、推奨事項の実施を検討することが望ましい。本ガイダンスの目的は、組織がランサムウェア攻撃に対するサプライチェーンの脆弱性を放置しないようにすることである。 |
| 4. Being prepared for any incident is key and will help lessen the impact if one happens. In 2024, the CRI, alongside insurance bodies, published guidance for organisations during ransomware incidents . This guidance is designed to build on this 2024 product, being specifically targeted at organisations and their supply chains. |
4. あらゆるインシデントに備えておくことが極めて重要であり、発生時の影響を軽減するうえでも有効である。2024 年に CRI は保険団体と連携して、ランサムウェア・インシデント発生時の組織向けガイダンスを発表した 。本ガイダンスはこの2024 年版文書に基づいており、特に組織とそのサプライチェーンを対象としている。 |
| 5. This guidance is non-binding in nature and does not override specific laws and regulations, or national level cyber security guidance, that may apply across CRI member jurisdictions. |
5. このガイダンスに拘束力はなく、CRI メンバー国・機関の法的管轄下で適用される特定の法令や国レベルのサイバーセキュリティ・ガイダンスに優先するものでもない。 |
| Main Guidance |
主なガイダンス |
| About the ransomware threat |
ランサムウェアの脅威について |
| 1. Ransomware is a colossal, collective challenge, posing a key threat globally to organisations due to its ability to significantly disrupt business operations and essential services, impacting our daily lives. |
1. ランサムウェアは、規模が大きく、国際的な連携を要する課題であり、事業の運営や必要不可欠なサービスに重大な混乱を生じさせて我々の日常生活に影響を与える能力を持っいるので、世界中の組織にとって深刻な脅威となっている。 |
| 2. Apart from the disruptive effects of ransomware, the direct costs of a ransomware attack to a victim can be tremendous. IBM’s Cost of a Data Breach Report 2025 estimated that the global average cost of a ransomware attack was USD $4.44m . There are also other significant indirect costs, such as when ransomware actors try to compel victims to pay the ransom by publishing exfiltrated data on data leak websites, resulting in reputational damage or having confidential/personally identifiable information (PII) leaked which could be considered a breach of personal data protection laws. Victims of ransomware can also face secondary or triple extortion threats. |
2. ランサムウェアの影響による混乱とは別に、ランサムウェア攻撃の被害者に生じる直接的なコストは莫大なものになる可能性がある。IBMの「2025年データ侵害のコストに関する調査レポート」によると、ランサムウェア攻撃1件の世界平均コストは444万米ドル 4 であった。間接的なコストも大きくなる。例えば、ランサムウェアの実行者が被害者を脅して身代金を支払わせようと試み、盗み出したデータをデータ漏洩ウェブサイトに公開し、結果として風評被害を招いたり、機密情報や個人識別用情報（PII）が流出して個人情報保護法違反とみなされたりする可能性がある。またランサムウェアの被害者は、二次的または三次的な恐喝の脅威に直面する可能性もある。 |
| 3. Ransomware threat actors have been observed to target supply chains in a bid to maximise the impact of their operations. By exploiting victims’ suppliers and partners as conduits of a single compromised vendor can serve as an entry point for threat actors to move upstream or downstream in the supply chain. |
3. ランサムウェアの実行者は、その作戦の効果を最大化しようとしてサプライチェーンを標的にすることが確認されている。攻撃者は被害者のサプライヤーやパートナーの弱点を悪用し、侵害された1つのベンダーが入口となって、攻撃者がサプライチェーンの上流や下流へ横展開する可能性がある。 |
| 4. For example, in June 2024 a cyber criminal group executed a ransomware attack on Synnovis; a pathology supplier to several major NHS Trusts in the UK, which led to substantial disruption across several hospitals. The incident impacted 10,152 acute outpatient appointments and 1,710 elective procedures at the two most affected hospital trusts in the four months after the incident . |
4. 例えば 2024 年 6 月、あるサイバー犯罪グループが英国の主要な NHS トラストの病理学サプライヤーである Synnovis 社にランサムウェア攻撃を実行し、複数の病院に大きな混乱をもたらした。このインシデントの被害を最も大きく受けた２つの病院トラストでは、インシデント後 4 か月で 10,152 件の急性期外来予約と 1,710件の選択的手術に影響が及んだ 。 |
| What are supply chain risks? |
サプライチェーンのリスクとは？ |
| 5. There can be cyber security risks that arise from an organisation’s interactions with suppliers. In the context of ransomware, principal risks for suppliers are not being able to deliver a service due to an incident and data loss. |
5. 組織とサプライヤー間のやり取りに伴い、サイバーセキュリティリスクが生じる可能性がある。ランサムウェアの観点から見ると、サプライヤーにとっての主なリスクは、インシデントによってサービスが提供不能になること、及びデータの損失である。 |
| 6. Wider supply chain risks can arise from: |
6. より広範なサプライチェーンリスクが生じる可能性があるのは、次の場合である： |
| a. Third-Party Services: Managed service providers (MSPs) being compromised to target customers. |
a. サードパーティのサービス：マネージド・サービス・プロバイダー（MSP）が侵害されると、顧客が標的になる。 |
| b. Interconnected Systems: Organisations may also have interconnected systems or trusted connections with suppliers which provide suppliers with privileged access. Also, an organisation’s system architecture may not be sufficiently safeguarded against risks. |
b. 相互接続システム：組織によっては、サプライヤーとの間で相互接続されたシステムや信頼された接続が存在し、サプライヤーに特権的なアクセスを与えている場合もある。また、組織のシステムアーキテクチャがリスクに対して十分に保護されていない可能性もある。 |
| c. Privileged data: Organisations may have provided sensitive data to suppliers without adequate controls. |
c. 特権データ：組織は、適切な管理体制を整備することなく、サプライヤーに機密データを提供している場合がある。 |
| 7. These risks can be exacerbated by: |
7. このようなリスクは、以下の要因によって増幅する可能性がある： |
| a. High concentration/dependency risks: Risks may be exacerbated by a heavy/disproportionate dependence on the provision of services from a small number of suppliers, potentially compounding the impact of a ransomware incident. Diversification of supply chains, where appropriate, can mitigate such risks. |
a. 高い集中度／依存度のリスク：少数のサプライヤーからのサービス提供に対する依存度が高い／不均衡であると、リスクが増幅する可能性があり、ランサムウェア・インシデントの影響が複雑化する可能性がある。状況に応じてサプライチェーンを多様化することで、こうしたリスクを軽減できる。 |
| b. Low visibility of their supply chains: Organisations cannot defend what they are unaware of. |
b. サプライチェーンの可視性が低い場合：組織は、自分たちが認識できないものを守ることはできない。 |
| c. Inadequate assurance mechanisms: Organisations that do not check their suppliers’ security accreditations, both at point of contract and throughout the life of the contract, risk unsecure supply chains. |
c. 不十分な保証メカニズム：契約時及び契約期間を通じてサプライヤーのセキュリティ適格性を検査しない組織は、安全でないサプライチェーンのリスクを負うことになる。 |
| Approach to Supply Chain Security |
サプライチェーン・セキュリティへの取り組み |
| 8. This guidance sets out principles to help organisations develop an approach to improve their supply chain security posture against ransomware risks: |
8. このガイダンスでは、組織がランサムウェアのリスクに対応し、サプライチェーン・セキュリティ態勢を改善する方針を策定する際の指針となる原則を示す： |
| Step 1 – Understand why supply chain security is important (“why”) |
ステップ1：サプライチェーンのセキュリティが重要である理由を理解する（「なぜ？」） |
| a. In a global digital economy, businesses are more reliant than ever on supply chains to operate. Such interdependence has also made supply chains a prime target for cyber attackers. For this reason, it is important for organisations to secure their supply chains to prevent disruption, safeguard sensitive information, and maintain operational efficiency. Ensuring robust cyber security is built into supply chains, particularly through contractual requirements, will reduce the vulnerability of individual organisations and interconnected supply chains and mitigate risks to critical infrastructure and other important systems. |
a. グローバルなデジタル経済において、企業の事業運営はこれまで以上にサプライチェーンに依存している。このような相互依存関係により、サプライチェーンはサイバー攻撃者の格好の標的にもなっている。このため、組織が業務の混乱を防ぎ、機密情報を保護し、業務効率を維持するには、サプライチェーンを保護することが重要である。特に契約上の要件を通じて、サプライチェーンに強固なサイバーセキュリティを確実に組み込むようにすると、個々の組織や相互接続されたサプライチェーンの脆弱性を減らし、重要インフラやその他の重要なシステムに対するリスクを軽減することができる。 |
| Step 2 - Identify your key supply chain partners and their levels of access (“who”) |
ステップ2：主要なサプライチェーン・パートナーとそのアクセスレベルを特定する（「誰が？」） |
| a. Develop an inventory of your suppliers to understand the sensitivity and/or value of the information/assets they will be holding as part of a contract, and assess their: |
a. サプライヤーの一覧を作成し、契約の一環として当該サプライヤーが保有することになる情報／資産の機密性と価値を理解し、サプライヤーについて以下の評価を行う： |
| • Cyber security maturity (e.g. presence of multi-factor authentication, patch management, backup practices, certifications) |
• サイバーセキュリティの成熟度（多要素認証、パッチ管理、バックアップの慣行、認定などの有無） |
| • History of data breaches |
• 過去のデータ漏洩 |
| • Use of subcontractors |
• 下請業者の利用 |
| • Incident response and recovery plans |
• インシデント対応／復旧計画 |
| • Insurance arrangements |
• 保険契約 |
| b. You should map out the networks and systems which your suppliers have access to or have privileged roles. This allows you to have better situational awareness of the digital terrain in which you are operating in and can facilitate faster incident containment and recovery. |
b. サプライヤーがアクセスできる、あるいは特権的な役割を持つネットワークやシステムについて詳しく把握する必要がある。これにより、自らの組織が置かれているデジタル環境の状況認識が向上し、インシデントの封じ込めと復旧を迅速に行うことができる。 |
| Step 3 - Develop a strategy and implementation plan for supply chain security (“what”) |
ステップ3：サプライチェーン・セキュリティの戦略と実施計画を策定する（「何を？」） |
| a. It is vital to think about the level of protection you need suppliers to give to your assets and information, as well as the products or services they will deliver to you as part of a contract. |
a. 契約の一環としてサプライヤーが提供する製品やサービスだけでなく、自社の資産や情報について、サプライヤーに求めるべき保護レベルを明確にしておくことが極めて重要である。 |
| (I) Select suppliers based on the necessary cyber security controls commensurate to the risk levels of the activities they are participating in. |
(I) サプライヤーが関与する業務活動のリスクレベルに応じて、必要なサイバーセキュリティ管理を踏まえ、サプライヤーを選定する。 |
| a. Based on your assessment of your procurement options, choose suppliers that have the necessary cyber security controls in line with the risks associated with the activities they will be undertaking. |
a. 調達オプションに関する貴組織の評価に基づき、サプライヤーが実施することになる業務活動に伴うリスクに見合った、必要なサイバーセキュリティ管理体制を有するサプライヤーを選択する。 |
| b. You can consider taking a risk-based approach to supply chain security, where there are more stringent expectations on supply chain partners participating in higherrisk activities, whilst those participating in lower-risk activities may be able to proceed with lower levels of cyber hygiene. |
b. サプライチェーン・セキュリティにリスクベースの手法を採用することを検討できる。具体的には、リスクの高い活動に関与するサプライチェーン・パートナーにはより厳格な管理を求める一方、リスクの低い活動に関与するパートナーには、比較的緩やかなサイバー衛生レベルで活動を進められる場合もある。 |
| c. Analysis of the attack vectors often found in ransomware attacks shows that five controls consistently implemented across an organisation’s system will significantly reduce the risk of a successful cyberattack. They are: |
c. ランサムウェア攻撃によく見られる攻撃ベクトルを分析した結果、組織のシステム全体に以下の5つの管理策を一貫して導入すると、サイバー攻撃成功のリスクを大幅に低減できることが分かっている。すなわち、 |
| • Network segmentation and protection (e.g. firewalls), |
• ネットワークの細分化と保護（ファイアウォールなど） |
| • Secure configuration (e.g. removing unused software), |
• 安全な構成設定（使用されていないソフトウェアの削除など） |
| • Security update management (e.g. regularly patching and updating all software and systems), |
• セキュリティ更新管理（例：すべてのソフトウェアとシステムに定期的にパッチを当て、更新する） |
| • User access control (e.g. multi-factor authentication [MFA]) and, |
• ユーザーアクセス制御（多要素認証 [MFA] など） |
| • Malware protection (e.g. anti-virus, endpoint detection and response tools). |
• マルウェア対策（アンチウイルス、エンドポイント検出・対応ツールなど） |
| d. These are considered the minimum needed to achieve basic cyber hygiene, and is supported by academic research, insurance data and case examples. Additionally, backing up essential data and storing them separately from the production environment supports impacted organisations in their recovery. |
d. これらは基本的なサイバー衛生を達成するうえで最低限必要なものと考えられており、学術研究、保険データ、さまざまな事例によって裏付けられている。 さらに、重要なデータをバックアップし、本番環境とは別にそれを保管すると、組織が影響を受けた場合の復旧に役立つ。 |
| e. For example, although not directly equivalent, the UK’s Cyber Essentials and Singapore’s Cyber Essentials schemes, Cyber Fundamentals Framework, and Germany’s Top 10 Ransomware measures, can provide assurance to customers that suppliers have implemented fundamental technical controls. |
e. 例えば、（直接的に同等ではないが）英国の Cyber Essentials スキーム、シンガポールの Cyber Essentials スキーム、CyberFundamentals フレームワーク、ドイツのトップ 10 ランサムウェア対策は、サプライヤーが基本的な技術的管理を実施済みであることを顧客に対して担保する手段となり得る。 |
| f. For higher-risk activities, the cyber security posture of suppliers should go beyond cyber hygiene and adopt higher standards commensurate to their risks. Examples of national standards that adopt a risk-based approach include Singapore’s Cyber Trust, which is tiered with 5 levels. Additionally, there are also international standards and processes such as ISO/IEC 27001. |
f. よりリスクの高い業務活動に携わるサプライヤーのサイバーセキュリティ態勢は、サイバー衛生を超越して、リスクに見合うより高度な基準を採用するべきである。リスクに基づく手法を採用している国家基準の例としては、シンガポールのサイバートラストがあり、5 段階のレベルに分けられている。加えて、ISO/IEC 27001 のような国際標準やプロセスもある。 |
| (II) Communicate Your Security Expectations to Suppliers: |
(II) セキュリティに関する期待事項をサプライヤーに伝える： |
| a. Clearly explain your minimum standards regarding ransomware prevention and recovery. |
a. ランサムウェアの予防と復旧に関する貴組織の最低基準を明確に説明する。 |
| (III) Build Security into Your Contracting Processes |
(III) 契約締結プロセスにセキュリティを組み込む |
| a. You can consider: |
a. 次の事柄を考慮できる： |
| • Ensuring that all systems which support the delivery of goods and services are resilient against common ransomware vulnerabilities. This can be evidenced by relevant certificates, business recovery plans and confirmation that such plans are exercised at set interval periods. |
• 商品やサービスの提供を支えるすべてのシステムが、一般的なランサムウェア脆弱性に対する回復力を備えているという保証。その証拠となり得るものは、関連する証明書、事業復旧計画、及びそのような計画が一定間隔で実施されていることの検証である。 |
| • Right-to-audit provisions |
• 監査権条項 |
| • Notification obligations for ransomware incidents |
• ランサムウェア・インシデントの通知義務 |
| • Penalties for non-compliance |
• コンプライアンス違反に対する罰則 |
| (IV) Gain assurance from the supplier the appropriate measures have been taken. |
(IV)適切な措置が既に講じられているという保証をサプライヤーから得ること。 |
| a. This can be achieved through independent audits, testing or external accreditation including provided by a national cyber technical authority. |
a. これを達成する手段としては、独立した監査、テスト、または（国のサイバー技術当局が提供する認定を含む）外部認定が考えられる。 |
| (V) Cyber insurance |
(V) サイバー保険 |
| a. Cyber insurance can be an important risk management practice. CRI members recognise the important role that cyber insurance can play in helping to build resilience to cyber attacks, including through supporting the companies they insure to improve their protective measures. |
a. サイバー保険は重要なリスク管理手法となり得る。CRI メンバー国・機関は、サイバー保険が保険契約企業の防御対策の改善を支援することなどを通じて、サイバー攻撃に対するレジリエンスの構築に重要な役割を果たしていることを認識している。 |
| b. Organisations may like to encourage their supply chains to take out a cyber insurance policy and should understand their suppliers’ policy coverage in relation to the data that their suppliers have access to. However, having cyber insurance does not replace the need for organisations to implement cyber hygiene measures to safeguard against ransomware attacks. |
b. 組織は、サプライチェーンにサイバー保険への加入を奨励できる。また、サプライヤーがアクセスできるデータに関するサプライヤーの保険適用範囲を理解しておく必要がある。しかし、サイバー保険に加入したからといって、組織がランサムウェア攻撃から身を守るためのサイバー衛生対策を実施する必要性に取って代わるわけではない。 |
| Step 4 - Review and refine your approach |
ステップ4： 取り組みの見直しと改良 |
| a. Ransomware tactics evolve rapidly—supply chain security need to keep pace. Your organisation, together with your suppliers, can jointly: |
a. ランサムウェアの手口は急速に進化しており、サプライチェーンのセキュリティもそれに対応し続ける必要がある。組織とそのサプライヤーは共同で、以下を行うことができる： |
| • Review incidents and near misses for lessons learned |
• インシデントやニアミスを検証し、教訓を得る |
| • Regularly exercise response plans |
• 対応計画を定期的に演習する |
| • Share threat intelligence and best practices |
• 脅威インテリジェンスとベストプラクティスを共有する |
| • Update contracts and policies to reflect new threats |
• 契約やポリシーを更新して、新たな脅威を反映させる |
| b. You can also establish a supplier cyber security forum or working group with similar organisations (e.g. within your sector) to drive dialogue and coordination. |
b. また、（同業種などの）類似する組織とともにサプライヤー・サイバーセキュリティのフォーラムやワーキンググループを設立し、対話と協調を推進することもできる。 |
| Conclusion |
結論 |
| 9. No organisation can be fully insulated from supply chain risks, but proactive measures can significantly reduce the likelihood and impact of ransomware incidents. By following these four steps—understand, identify, develop, and review—organisations and their supply chains can build resilience, not just within their own operations, but across their broader ecosystem. |
9. いかなる組織もサプライチェーンのリスクから完全に逃れることはできないが、事前の対策を講じることで、ランサムウェア・インシデントの可能性とその影響を大幅に低減できる。組織とそのサプライチェーンは、「理解する」、「特定する」、「策定する」、「見直す」という 4 つのステップを踏むことで、組織自体の業務運営の中だけでなく、より広いエコシステム全体でレジリエンスを構築することができる。 |
Recent Comments