クラウドサービスのサプライチェーンリスクマネジメント調査

クラウドサービスのサプライチェーンリスクマネジメント調査の結果を公開

働き方改革や新型コロナウイルス感染防止対策の一つとしてテレワークが定着したことで、クラウドサービスの利用が増加し、クラウドサービスの導入時にセキュリティリスクの検討やセキュリティ対策を考慮せずに導入してしまうケースも多く、ITサービスの提供や利用におけるITサプライチェーンのセキュリティリスクが高まってきました。さらに、クラウドサービスの活用に係る多くのインシデントが報告されており、クラウドサービスに係るセキュリティリスクが注目されています。

そこで、今年度は今般のICTの環境の変化に伴い利用が不可欠となったクラウドサービスの中でも利用者の急増に伴い市場が拡大しているSaaSに着眼してSaaSのサプライチェーンのセキュリティ対策について調査し、SaaSのサプライチェーンのインシデント情報の収集と分析および脅威、リスク、今後の課題などを明らかにしました。

調査結果のポイント

1. SaaSのサプライチェーン上のリスクの所在としては、利用しているSaaSやOSSなどが発端となり、インシデントや脆弱性に発展する可能性が高いと考えられる。(概要説明資料 P11）
2. SaaS開発時のセキュリティ対策において「セキュリティに割くリソースの不足」、 「継続的なリリースの中で機能の複雑化に対応できず検討が不十分になる可能性」などの課題が指摘された。（概要説明資料 P15）
3. SaaS運用時のセキュリティ監視においては、監視対象である脆弱性情報が大量に存在し、また、それらを悪用した攻撃の開始までの猶予が短いため、個々の対応に追われてしまい、監視の知識や情報を蓄積し、活用できるように整理することが困難な現状であることが指摘された。（概要説明資料 P15）
4. SaaS事業者は、個人情報の保護の方針を含めたSaaSのセキュリティを保証する情報を開示(*1)する習慣の確立が必要であることが指摘された。（概要説明資料 P15）
5. SaaS利用者のセキュリティ設定ミスへの対策として、安全な利用方法(*2)のSaaS利用者への案内（周知）が必要であることが指摘された。（概要説明資料 P15)

1. (*1)
   SaaSのセキュリティを保証する情報

   • 「SaaS 事業者の開発におけるセキュリティの対策内容」「利用している製品」 「連携している組織」「認証取得情報」など。
2. (*2)
   安全な利用方法

   • セキュリティの高い状態で SaaS を利用してもらうための情報、 たとえば「セキュリティにおけるSaaS 事業者と利用者の責任分界点」「セキュアな設定方法」など。

調査の実施概要

調査は以下の通り、インシデント及び脆弱性情報の調査（文献調査）とインタビュー調査により実施した。

インシデント及び脆弱性情報の調査（文献調査）

インタビュー調査

調査報告書の目次

1. 本調査の背景と目的
   • 1.1. ITサプライチェーンリスクマネジメントに関するこれまでの調査
   • 1.2. クラウドサービス活用を取り巻く社会情勢
   • 1.3. クラウドサービスの拡大に伴うセキュリティの懸念
   • 1.4. 本調査の目的
   • 1.5. SaaS事業者が抱える課題の想定
2. 調査方法
   • 2.1. インシデント及び脆弱性情報の調査
   • 2.2. インタビュー調査
3. 調査結果
   • 3.1. インシデント及び脆弱性情報調査結果
   • 3.2. インタビュー調査結果
4. 本調査のまとめ
   • 4.1. 想定した課題との違い
   • 4.2. 新たに指摘された課題
   • 4.3. 団体・有識者の課題認識
   • 4.4. SaaSが抱える脅威・リスク
   • 4.5. 今後深堀すべきポイント

付録　インシデント及び脆弱性情報一覧

報告書のダウンロード

• 概要説明資料1.1版(PDF:1.3 MB)
• 調査報告書1.1版 本文(PDF:2.0 MB)
• 調査報告書1.1版 付録インシデント及び脆弱性情報一覧(PDF:677 KB)

実施者

• シンプレクス株式会社

報告書のダウンロード