プラクティス9-2 サプライチェーンで連携する各社が『自社ですべきこと』を実施する体制の構築

背景

従業員数8,000名規模で上場している輸送機器メーカーのW社は、自社のサプライチェーンとして大企業から零細企業まで100社以上の委託先との取引がある。W社の株主や取引先からサイバーセキュリティリスクへの対応状況を問われることが増えたことから、同社のCISOは委託先がマルウェアに感染したり、サイバー攻撃の被害を受けたりすることで事業が停止し、W社への部品供給が滞るリスクを評価する観点から、委託先の規模毎に数社の状況をヒアリングした。その結果、中小規模の企業を中心に、「セキュリティの必要性はわかっているが、何をしたらよいかわからない」との意見が多く聞かれた。一方で、これらの中小規模の企業に自社と同じ対策を要求することは現実的でなく、W社のCISOはサプライチェーン全体での実効的な対策を実現することを目標に、自社を含めたサプライチェーン各社が何をすべきかの検討を開始した。

W社の実践のステップ

W社のCISOが実践したステップは下記5点である。なお、2次以降の再委託先については1次の委託先の責任において必要な対策を再委託先に求めることを原則としつつ、その実効性について今後把握していくこととした。

1. 自社と直接取引関係にある委託先の棚卸しを行い、今後も取引が見込まれる委託先について、自社にセキュリティ担当者を設置することが可能かどうかを照会
2. 1で可能と回答した企業には各社独自の対策を実施することを認め、それ以外の企業については企業規模等に応じてW社より実施すべき対策を連絡（契約にて努力義務とする）
3. サプライチェーン参加企業すべてを対象とするセキュリティセミナーを開催
4. サイバーセキュリティ対策に関する委託先からの問合せに対応する窓口を設置
5. 年に1回セキュリティ対策状況に関するアンケート調査を実施し、回答結果について今後の改善に向けたフィードバックを提供

W社の実践内容

CISOは委託先への聞き取り結果を踏まえ、「セキュリティ担当者を設置できるかどうか」と企業規模をもとに次表のA～Dの4区分を設けて、それぞれで実施すべき対策を定め、委託契約を通じて実施を求めることとした。ただし予算確保の事情等を考慮し、直近3年以内では未達があっても取引は継続する予定である。

このほかサプライチェーン全体にわたる対策実施の支援として、次表に示す取組を行っている。

これらの取組の実践にあたり、委託先の数が多く、委託内容や相手方の状況も多岐にわたることで様々な課題が生じた。W社のCISOは次ページの表2-9.5に示すような工夫によりこれに対応することで、サプライチェーン全体で実効的な対策を実現するという目的に向け、着実な成果を挙げることができた。

参考情報

1. サプライチェーン全体のサイバーセキュリティ向上のための取引先とのパートナーシップの構築に向けて（経済産業省、公正取引委員会）

   • 経済産業省：サイバーセキュリティ政策
   • 中小企業等におけるサイバーセキュリティ対策や、発注側企業から取引先へのサイバーセキュリティ対策の支援・要請に関して、独占禁止法や下請法に基づく対応の考え方を整理した資料であり、中小企業側での対策例として「サイバーセキュリティお助け隊サービス」等も紹介している。