サプライチェーンセキュリティっていくつかのパターンがあるよね...

こんにちは、丸山満彦です。

日本では、サプライチェーン・サイバーセキュリティ対策評価制度（SCS対策評価制度）の方針が決まり、次年度の実装に向けた準備作業が始まっていますね...

ところで、この「サプライチェーン・サイバーセキュリティ」という言葉に明確な定義がないまま、なんとなく使われてきてしまっていますが、いくつかのパターンがあり、国・地域により、重点の置き方が違うように思います...

全くもって論理的ではないのですが、わかりやすさを優先して、次のように考えてみました。

		発生メカニズム（Why）
		混入・侵入（攻撃）	依存・集中（構造）
侵害対象（What）	供給物	① SolarWinds型	③ Log4Shell型
	運用・基盤	② 大阪急性期医療型	④ 小島プレス型

典型例	一言で言うと	問題点	対策例
① SolarWinds型	供給物汚染型 （プロダクト：改ざん・混入）	ソフト・ハードの製造／配布過程で改ざん・マルウェア混入。正規品として取り込んでしまう。	SBOM管理、コード署名／検証、セキュア開発
② 大阪急性期医療型	信頼経路侵入型 （委託・接続）	委託先、保守業者、クラウドなど“信頼された接続”を踏み台に侵入。	委託先リスク管理。アクセス最小化／ID管理
③ Log4Shell型	依存関係崩壊型 （共通基盤）	OSS・クラウド等の共通基盤の脆弱性や障害で広範囲に同時影響。攻撃がなくても発生。	SBOM管理、迅速パッチ体制、冗長化（マルチクラウド等）、脆弱性管理の自動化
④ 小島プレス型	供給停止型 （オペレーション停止）	サプライヤーや製造拠点が攻撃・障害で停止し、供給が途絶。自社も止まる。	BCP／DR、多元化（マルチサプライヤー）

政策という意味では、英国のCyber Essensialsは主に②を意識していますよね...という意味では、日本のサプライチェーンサイバーセキュリティ評価制度（SCS評価制度）も②を意識しているように思います。

米国では、SolarWinds事件やLog4shellの事案が安全保障の観点からも気を付けるという発想につながっていますよね...

ということでこの重みづけは国によっても違っていて、

サプライチェーン・サイバーセキュリティの重みづけでいえば...

• 米国は主に①③
• 日本は主に②④
• 欧州は主に③
• 英国は主に②

となりますかね...