米国のサプライチェーンのセキュリティ対策（3） はじめに

米国のサ プライ チェ ーンのセ キュリ ティ 対策（ 3）
― Second Draft NIST SP800-161―
客員主任研究員
横山
恭三
はじめに
米 国・国 立 標 準 技 術 研 究 所（ National Institute of Standards and Technology：NIST）
は 、 2014 年 6 月 3 日 に パ ブ リ ッ ク コ メ ン ト を 求 め る Second Draft NIST Special
Publication 800-161 と し て 「 連 邦 政 府 の た め の 情 報 シ ス テ ム 及 び 組 織 の サ プ ラ イ チ ェ ー
ン・リ ス ク・マ ネ ー ジ メ ン ト・プ ラ ク テ ィ ス（ Supply Chain Risk Management Practices
for Federal Information Systems and Organizations ）」を 公 表 し た 。因 み に 、パ ブ リ ッ ク
コ メ ン ト の 提 出 期 限 は 2014 年 6 月 3 日 か ら 2014 年 7 月 18 日 の 間 で あ っ た
筆 者 は 、拙 稿「 米 国 の サ プ ラ イ チ ェ ー ン の セ キ ュ リ テ ィ 対 策（ 第 五 巻 第 二 号 平 成 23 年 9
月 ）」に お い て 、
「 米 国 は 、サ プ ラ イ チ ェ ー ン・リ ス ク・マ ネ ー ジ メ ン ト（ Supply Chain Risk
Management：SCRM)（ 以 下 、
「 SCRM」と い う ）の ベ ス ト プ ラ ク テ ィ ス の 開 発 を 促 進 し て
い る 。NIST は 、ソ フ ト ウ ェ ア 、ハ ー ド ウ ェ ア 、フ ァ ー ム ウ ェ ア 、又 は 情 報 シ ス テ ム・サ ー
ビ ス の 取 得 の 間 の SCRM を 実 行 す る た め の 方 法 論 を す べ て の 政 府 組 織 の た め に 開 発 し て
い る 。国 土 安 全 保 障 省 は 、非 国 家 安 全 保 障 シ ス テ ム の た め の SCRM パ イ ロ ッ ト プ ロ グ ラ ム
に 取 り 組 み 、国 防 総 省 は 国 家 安 全 保 障 シ ス テ ム の た め の SCRM パ イ ロ ッ ト プ ロ グ ラ ム に 取
り組んでいる」と述べ、米国のサプライチェーンのセキュリティ対策の概要を説明してい
る。
NIST の SCRM プ ロ グ ラ ム は 、2008 年 に 、「 包 括 的 国 家 サ イ バ ー・ セ キ ュ リ テ ィ ー ・イ
ニ シ ア テ ィ ブ（ Comprehensive National Cybersecurity Initiative：CNCI 」の 11 番 目 の
イ ニ シ ア テ ィ ブ に 応 え て 、 非 国 家 安 全 保 障 の 情 報 シ ス テ ム の た め の SCRM の 開 発 を 開 始
し た と き に 始 ま っ た 。6 年 を 経 て 、米 国 の SCRM は 、パ ブ リ ッ ク コ メ ン ト を 求 め る 段 階 に
至った。
本 稿 は 、 第 二 次 草 案 SP800― 161「 連 邦 政 府 の 情 報 シ ス テ ム 及 び 組 織 の た め の サ プ ラ イ
チェーン・リスク・マネージメント・プラクティス」の骨子を紹介するものである。
な お 、 第 2 次 草 案 で は 、サ プ ラ イ チ ェ ー ン ・ リ ス ク に 代 わ り 、 情 報 通 信 技 術 サ プ ラ イ チ
ェ ー ン・リ ス ク（ 以 下 、
「 ICT サ プ ラ イ チ ェ ー ン・リ ス ク 」と い う ）と い う 用 語 が 使 用 さ れ
て い る 。同 草 案 の 中 で ICT サ プ ラ イ チ ェ ー ン・リ ス ク は 、次 の よ う に 定 義 さ れ て い る 。
「 ICT
サ プ ラ イ チ ェ ー ン ・ リ ス ク に は 、ICT サ プ ラ イ チ ェ ー ン に お け る 劣 悪 な 開 発 ・ 製 造 行 為 の
みならず、偽物の挿入、無認可製造、改ざん、窃取、悪意あるソフトウェアの挿入 が含ま
1
れ る 。ICT サ プ ラ イ チ ェ ー ン に お け る 脅 威 が 既 存 の 脆 弱 性 を 利 用 す る と き 、こ れ ら の リ ス
ク は 現 実 の も の に な る 。」
１ ．NIST
米 国 ・ 国 立 標 準 技 術 研 究 所 （ NIST） の 情 報 技 術 ラ ボ ラ ト リ （ Information Technology
Laboratory： ITL） は 、 国 家 の 評 価 及 び 標 準 に 関 す る 基 盤 に 係 る 分 野 に お い て 技 術 的 リ ー
ダ ー シ ッ プ を 発 揮 提 供 す る こ と に よ り 、 米 国 の 経 済 と 公 共 福 祉 に 貢 献 し て い る 。 ITL は 、
テストの開発、テスト技法の開発、参照データの作成、概念実証の実施および技術的分析
を 通 じ て 、 情 報 技 術 の 開 発 と 生 産 的 利 用 の 発 展 に 貢 献 し て い る 。 ITL の 責 務 に は 、 連 邦 政
府のコンピュータシステムにおいて、機密ではないものの機微な情報に対する費用対効果
の高いセキュリティとプライバシーを実現するための、技術面、物理面、管理面および運
用面での標準およびガイドラインを策定することが含まれ ている。
今 回 、NIST は 、ICTSCRM（ 情 報 通 信 技 術 サ プ ラ イ チ ェ ー ン・リ ス ク・マ ネ ー ジ メ ン ト ）
の軽減戦略や実装方法に関するガイドラインだけでなく、ツールと評価基準の研究・開発
の た め に 、民 間 及 び 公 的 セ ク タ ー の 利 害 関 係 者 と 協 力 し 、第 二 次 草 案 SP800― 161 を 完 成
させた。
2． 包括的国 家サイ バーセキ ュリテ ィ・ イニシア ティブ （ CNCI）
2008 年 1 月 に 、 米 国 政 府 が 発 表 し た 大 統 領 令 第 54／ 第 23 号 （ National Security and
Homeland Security Presidential Directive： NSPD54／ HSPD23）「 包 括 的 国 家 サ イ バ ー
セ キ ュ リ テ ィ・イ ニ シ ア テ ィ ブ（ CNCI）」に は 、3 つ の 目 標 と 12 の イ ニ シ ア テ ィ ブ が 示 さ
れ て い る 。そ の 11 番 目 の イ ニ チ ア テ ィ ブ が「 グ ロ ー バ ル・サ プ ラ イ チ ェ ー ン・リ ス ク・マ
ネ ー ジ メ ン ト の た め の 複 数 方 面 か ら の ア プ ロ ー チ を 開 発 す る 」 で あ る 。 そ し て 、 CNCI で
は、何故、サプライチェーンのセキュリティ対策が重要なのか について次のように述べて
いる。
「 情 報 通 信 技 術（ ICT）市 場 の グ ロ ー バ ル 化 は 、米 国 に 害 を 与 え よ う と す る 者 に 、無 許 可
のアクセス、データの改ざん、又は通信を妨害するためにサプライチェーンに侵入する機
会 を 増 加 さ せ て い る 。国 内 及 び グ ロ ー バ ル 化 さ れ た サ プ ラ イ チ ェ ー ン に 起 因 す る リ ス ク は 、
製品、システム、及びサービスの全ライフサイクルを通して、戦略的かつ包括的な方法で
管理されなければならない。このリスクを管理することは、リスク、脆弱性、及び調達に
関する包括的な認識を必要とする。即ち、①設計から破棄までの製品のライフサイクル全
体で、技術的及び運用上のリスクを軽減するためのツールと資源の開発と使用、②複雑な
グ ロ ー バ ル 市 場 を 反 映 し た 新 し い 調 達 政 策 及 び 手 順 の 開 発 、③ SCRM の 標 準 規 格 並 び に ベ
ス ト プ ラ ク テ ィ ス を 開 発 ・ 適 応 す る た め の 企 業 と の 協 力 。」
今 回 の 第 二 次 草 案 も CNCI の 指 示 に 沿 っ た 形 で 作 成 さ れ て い る 。
2
3．Draft IR7622 1
NIST は 、2010 年 6 月 、Draft IR7622「 連 邦 情 報 シ ス テ ム の た め の 試 験 的 な SCRM プ
ラ ク テ ィ ス（ Piloting Supply Chain Risk Management Practices for Federal Information
Systems）」 を 公 表 し た 。
こ の 草 案 は 、3 章 構 成 に な っ て お り 、1 章 で 草 案 の 性 格 を 紹 介 し 、2 章 が SCRM の 実 践 、
3 章 が SCRM プ ラ ク テ ィ ス と な っ て い る 。3 章 で は 、SCRM プ ラ ク テ ィ ス と し て 、次 の 21
個の活動が提示されている。
①インテグレータとサプライヤの活動を調達者から見て最大可視化する。
②使用している構成要素の機密性を守る。
③サプライチェーンの保証を要求に組み込む。
④信頼性の高い構成要素を選定する。
⑤多様性を取り入れる。
⑥重要なプロセスと構成要素を防護する。
⑦防護性の高い設計にする。
⑧サプライチェーン環境を防護する。
⑨構成要素へのアクセスや公開を制限するシステム構成にする。
⑩外部サービスの利用やメンテナンスを正規 の活動として扱う。
⑪システム開発のライフサイクルを通じて試験を実施する。
⑫システム構成を管理する。
⑬人をサプライチェーンの一部と考える。
⑭サプライチェーンに関する意識啓発 、教育・訓練を行う。
⑮サプライチェーンの配送メカニズムを強化する。
⑯運用システムを防護し、モニターし、監査する。
⑰要求の変更について交渉する。
⑱サプライチェーンの脆弱性を管理する。
⑲ソフトウェア更新時やパッチ適用時のサプライチェーン ・リスクを低減する。
⑳サプライチェーン・インシデントに対応する。
㉑廃棄時のサプライチェーン・リスクを低減する。
４ ．Second Draft SP800―161
（１）背景2
既 述 し た が 、 NIST の ICT SCRM プ ロ グ ラ ム は 、 2008 年 に 、 包 括 的 国 家 サ イ バ ー ・
セ キ ュ リ テ ィ・イ ニ シ ア テ ィ ブ（ CNCI）の 11 番 目 の イ ニ シ ア テ ィ ブ に 応 え て 、非 国 家
安 全 保 障 の 情 報 シ ス テ ム の た め の ICTSCRM の 開 発 を 開 始 し た と き に 始 ま っ た 。 CNCI
1 http://csrc.nist.gov/publications/drafts/nistir-7622/draft-nistir-7622.pdf
2
NIST フ ァ ク ト シ ー ト http://csrc.nist.gov/scrm/documents/nist_ict -scrm_fact-sheet.pdf
3
の 11 番 目 の イ ニ シ ア テ ィ ブ は 「 世 界 的 な サ プ ラ イ チ ェ ー ン ・ リ ス ク 管 理 の た め に 多 角
的なアプローチを開発する」というものであった。
NIST は 、 国 防 省 と 共 に 「 CNCI 11 ワ ー キ ン グ ・ グ ル ー プ 2（ ラ イ フ サ イ ク ル プ ロ セ
ス と 標 準 化 ）」の 共 同 責 任 者 を 務 め た 。ワ ー キ ン グ・グ ル ー プ 2 は 、産 業 界 と 協 力 し て 、
サプライチェーン・ツール、資源、及びリスク・マネージメント ・プラクティスを開発
する責任を負った。
NIST は 、 連 邦 機 関 の ICTSCRM を 手 助 け す る た め に 、 複 雑 な 世 界 的 な 市 場 を 反 映 し
た基礎的・反復可能・実行可能なプラクティスを開発するために、学界、産業界及び政
府 を 越 え て 多 様 な 利 害 関 係 者 と 密 接 に 協 力 し た 。 NIST は 、 ① 政 府 へ 納 入 す る 民 間 セ ク
タ ー の サ プ ラ イ ヤ の ICTSCRM の 現 状 の 調 査 、② ICTSCRM の 戦 略 及 び イ ニ シ ア テ ィ ブ
の 特 定 及 び 分 析 、③ ウ ェ ブ・ベ ー ス の リ ス ク 評 価 並 び に ④ 共 同 ツ ー ル の 開 発 の 4 件 に 補
助 金 を 支 出 し た 。そ し て 、2012 年 10 月 に 、IR7622「 連 邦 情 報 シ ス テ ム の た め の 概 念 的
サ プ ラ イ チ ェ ー ン・リ ス ク・マ ネ ー ジ メ ン ト・プ ラ ク テ ィ ス 」を 公 表 し た 。そ れ に は ICT
SCRM の 方 法 論 と プ ラ ク テ ィ ス が 含 ま れ て い る 。 こ の 文 書 は 2010 年 10 月 に 発 表 さ れ
た Draft IR7622「 連 邦 情 報 シ ス テ ム の た め の 試 験 的 な SCRM プ ラ ク テ ィ ス （ Piloting
Supply Chain Risk Management Practices for Federal Information Systems ）」 を 更 新
したものである
ま た 、NIST は 、2 日 間 の ワ ー ク シ ョ ッ プ を 開 催 し 、ICTSCRM の 基 礎 の 構 築 に 利 害 関
係者を関与させた。そのワークショップでは、現状と必要とされるものの特定、商業的
に 合 理 的 な ICTSCRM の 標 準 と プ ラ ク テ ィ ス 、ツ ー ル と テ ク ノ ロ ジ ー と テ ク ニ ッ ク 、そ
し て 、研 究 の リ ソ ー ス が 議 論 さ れ た 。こ の ワ ー ク シ ョ ッ プ は 、ICTSCRM に 関 す る NIST
の 現 在 の 研 究 の 基 礎 を 設 定 し 、 第 二 次 草 案 SP800-161 の 策 定 の 方 向 性 を 明 確 に 示 し た
（ 2） 策 定 方 針 3
意 図 的 で あ る か 意 図 的 で な い に せ よ 、組 織 は ま す ま す サ プ ラ イ チ ェ ー ン 危 殆 化（ supply
chain compromise） の リ ス ク に さ ら さ れ て い る 。
ICT サ プ ラ イ チ ェ ー ン 危 殆 化 （ ICT supply chain compromise） と は 、 ICT サ プ ラ イ
チ ェ ー ン の 中 で 、敵 対 者 が シ ス テ ム 又 は シ ス テ ム が 処 理 、保 管 若 し く は 送 信 す る 情 報
の 機 密 性 、完 全 性 又 は 有 用 性 を 危 う く す る こ と で あ る 。ICT サ プ ラ イ チ ェ ー ン 危 殆 化
は 、 製 品 又 は サ ー ビ ス の シ ス テ ム 開 発 ラ イ フ サ イ ク ル の ど こ で で も 起 こ り 得 る 。（ 第
二 次 草 案 SP800-161 か ら ）
ICTSCRM は 、そ の 製 品 及 び サ ー ビ ス の 品 質 を 確 保 し つ つ 、サ プ ラ イ チ ェ ー ン の 完 全 性 、
セキュリティ及びレジリエンス（回復力）を確保することを要求する。
NIST は 、 次 の 主 要 な 事 項 を 含 む ICTSCRM の 策 定 方 針 を 開 発 し た 。
3 NIST
フ ァ ク ト シ ー ト http://csrc.nist.gov/scrm/documents/nist_ict -scrm_fact-sheet.pdf
4
●既存の基礎的プラクティスを活用する。
ICTSCRM は 、 情 報 セ キ ュ リ テ ィ と サ プ ラ イ チ ェ ー ン ・ マ ネ ジ メ ン ト の 交 わ る 部 分 に
位置する。既存のサプライチェーンとサイバー・セキュリティ・プラクティスは、効果
的 な ICTSCRM プ ロ グ ラ ム を 構 築 す る た め 基 礎 を 提 供 す る 。
●組織全体の関与を重視する。
効 果 的 ICTSCRM は 、組 織 の 各 層（ 経 営 陣 、事 業 プ ロ セ ス 、及 び 情 報 シ ス テ ム ）が 関
与する組織全体の活動として、システム開発のライフサイクルを通して実行される。
●リスク・マネージメント・プロセス の一部として実行する。
ICTSCRM は 、NIST SP 800-39「 情 報 セ キ ュ リ テ ィ・リ ス ク の マ ネ ー ジ ン グ（ Managing
Information Security Risk）」で 述 べ ら れ て い る よ う に 、リ ス ク・マ ネ ー ジ ネ ン ト 活 動 の
一部として実行されるべきである。
活動には、対処すべきリスクを特定・評価し、適切な軽減措置を決定し、選択された
軽 減 戦 略 を 文 書 化 し た ICTSCRM 計 画 を 作 成 し 、そ し て 、そ の 計 画 の 履 行 状 況 を 監 督 す
る 。ICT サ プ ラ イ チ ェ ー ン は 、そ れ ぞ れ の 組 織 で 異 な る の で 、ICT SCRM 計 画 は 、個 々
の組織の現状に適合されたものでなければならない。
○ リ ス ク：ICT サ プ ラ イ チ ェ ー ン の リ ス ク は 、連 邦 政 府 機 関 が 取 得 す る ICT 製 品 と サ
ービスの開発と輸送に係る多くのプロセスと意思決定の可視化・理解度・監督の不
足に関連している。
○脅威と脆弱性
効 果 的 な SCRM は 、 脅 威 と 脆 弱 性 に 対 す る 綜 合 的 な 視 点 を 必 要 と す る 。 脅 威 は 、
「 敵 対 的 」（ 例 え ば 、 不 正 工 作 す る 、 偽 造 す る ） 又 は 「 敵 対 的 で な い 」（ 例 え ば 、 低
品 質 、 自 然 災 害 ） の い ず れ か で あ る 。 脆 弱 性 は 、「 内 部 」（ 例 え ば 、 組 織 的 手 順 ） 又
は 「 外 部 」（ 例 え ば 、 組 織 の サ プ ラ イ チ ェ ー ン の 一 部 ） で あ る か も し れ な い 。
●重要システムの特定
費用効果がよいサプライチェーンのリスク軽減には、最も脆弱であり、かつ危殆化さ
れた場合に組織に甚大な影響をもたらすシステム／コンポ―メントを特定することが
必要である。
（ 3） Second Draft SP800― 161 の 構 成 ・ 内 容 4
こ の 第 二 次 草 案 は 3 章 構 成 に な っ て お り 、第 1 章「 導 入 」で は 、目 的 、背 景 な ど の 同 草
案 の 性 格 の 説 明 と 13 項 目 の 基 礎 的 ICTSCRM プ ラ ク テ ィ ス を 提 示 し て い る 。第 2 章「 ICT
SCRM を 組 織 全 体 の リ ス ク ・ マ ネ ー ジ メ ン ト へ の 統 合 （ INTEGRATION OF ICT SCRM
INTO ORGANIZATION-WIDE RISK MANAGEMENT）」で は 、リ ス ク・マ ネ ー ジ メ ン ト・
プ ロ セ ス に お け る ICTSCRM 活 動 の 内 容 が 説 明 さ れ て い る 。第 3 章「 ICT SCRM 対 策（ ICT
4 http://csrc.nist.gov/publications/drafts/800 -161/sp800_161_2nd_draft.pdf
5
SCRM CONTROLS）」で は 、セ キ ュ リ テ ィ 対 策（ security controls）に つ い て 、13 の 大 項
目（ 見 出 し ）と そ れ 関 連 す る 合 計 78 項 目 の 対 策 が 説 明 さ れ て い る 。そ し て 各 対 策 に は ICT
SCRM へ 適 用 す る 場 合 の ガ イ ダ ン ス が 記 述 さ れ て い る 。
セ キ ュ リ テ ィ 対 策（ security controls）と は 、
「 管 理 、運 用 及 び 技 術 的 な コ ン ト ロ ー
ル（ す な わ ち 、保 護 措 置 又 は 対 策 ）は 、情 報 シ ス テ ム に と っ て の 、シ ス テ ム と そ の
情報の機密性、完全性及び有用性を保護するための処方箋である」と定義される。
以下、各章ごとに主要な事項について述べる。
ア．第 1 章の主要な事項
（ ア ） ICT サ プ ラ イ チ ェ ー ン ・ リ ス ク
ICT サ プ ラ イ チ ェ ー ン ・ リ ス ク に は 、 ICT サ プ ラ イ チ ェ ー ン に お け る 劣 悪 な 開 発 ・製 造
行為のみならず、偽物の挿入、無認可製造、改ざん、窃取、悪意あるソフトウェアの挿入
が 含 ま れ る 。ICT サ プ ラ イ チ ェ ー ン に お け る 脅 威 が 、 既 存 の 脆 弱 性 を 利 用 す る と き 、こ れ
ら の リ ス ク は 現 実 の も の に な る 。 図 1 は 、脆 弱 性 を 利 用 す る 対 象 脅 威 の 公 算 と 被 害 の 程 度
か ら 生 じ る ICT サ プ ラ イ チ ェ ー ン ・ リ ス ク を 描 写 し て い る 。
図1
ICT サ プ ラ イ チ ェ ー ン ・ リ ス ク 5
イ．基礎的プラクティス
5 NISTSP800－ 161
第 1 章ページ 7
http://csrc.nist.gov/publications/drafts/800 -161/sp800_161_2nd_draft.pdf
6
以 下 は 、先 進 的 な ICTSCRM 方 策 を 開 発・実 行 す る 組 織 の 能 力 を 向 上 さ せ る た め に 実 践
することができる分野横断的な基礎的プラクティスの具体的な例である。
① リ ス ク・マ ネ ー ジ メ ン ト 体 系 と（ NIST SP 800-39 に 基 づ く ）リ ス ク・マ ネ ー ジ メ ン ト・
プ ロ セ ス を 実 践 す る 。 そ れ に は 組 織 全 体 の （ NIST SP 800-30 に 基 づ く ） リ ス ク 評 価 プ
ロセスが含まれる。
② 各 部 門 か ら の ICTSCRM 要 求 事 項（ リ ク ワ イ ア メ ン ト ）を 統 合 し 、こ れ ら の 要 求 事 項 を
組織の政策に組み入れる組織統治構造を確立する。
③ FIPS 199 「 連 邦 政 府 の 情 報 及 び 情 報 シ ス テ ム の カ テ ゴ リ ー 化 の た め の 基 準（ Standards
for Security Categorization of Federal Information and Information Systems ）」 の イ
ンパクト・レベルを決定するための一貫した、明確に記述された、反復可能なプロセス
を確立する。
④ 定 義 さ れ た FIPS 199 の イ ン パ ク ト ・ レ ベ ル に 従 い リ ス ク 評 価 プ ロ セ ス を 使 用 す る 。 そ
れには、致命度解析、脅威解析、及び脆弱性解析が含まれる。
⑤品質保証と品質管理プロセスとプラクティスを含む品質及び信頼性プログラムを実践す
る。
⑥行動を起こす責任を有する者、行動と結果に責任を有する者、相談及び／又は情報を提
供される者を含む意思決定に関与する広範な職員が関与することを確実にするために
ICTSCRM の 役 割 と 責 任 を 確 立 す る 。 そ れ ら の 職 員 と は 、 法 務 官 、 危 機 管 理 監 （ Risk
Executive）、人 事 、財 務 、IT 事 業 、プ ロ グ ラ ム・マ ネ ー ジ ャ ー ／ シ ス テ ム・エ ン ジ ニ ア 、
情報セキュリティ、調達／補給、物流などである。
⑦ガイダンスと規制の適切な実践を確実にするために、十分な資源が情報セキュリティと
ICTSCRM に 割 り 当 て ら れ る こ と を 確 実 に す る 。
⑧ シ ス テ ム 工 学 、ICT セ キ ュ リ テ ィ・プ ラ ク テ ィ ス 及 び 取 得（ acquisition）の た め の 一 貫
した、明確に記述された、反復可能なプロセスを実践する。
⑨ NIST SP 800-53 修 正 版 4「 連 邦 政 府 の 情 報 シ ス テ ム と 組 織 の た め の セ キ ュ リ テ ィ と プ
ラ イ バ シ ー 規 制 （ Security and Privacy Controls for Federal Information Systems
and Organizations）」 の 中 の 適 切 か つ 適 合 し た 情 報 セ キ ュ リ テ ィ 基 準 を 実 践 す る 。
⑩セキュリティと品質要求事項の整合性を確実にするために内部部門の互いの抑制と均衡
を確立する。
⑪ 資 格 の あ る 相 手 先 商 標 製 造 会 社（ OEM）又 は 許 可 を 受 け た 卸 売 業 者 及 び 再 販 業 者 か ら 直
接購入するためのガイドラインを含むサプライヤ・マネージメント・プログラムを確立
する。
⑫ サ プ ラ イ チ ェ ー ン の 完 全 性 と 信 頼 性 を 確 実 に す る た め に 有 害 事 象 の 間 に お け る ICT サ
プライチェーン・リスクの考慮事項を組み込んだテストされ た反復可能な非常事態対応
7
計画を実践する。有害事象とは、ハリケーンのような自然災害又は労働ストライキのよ
うな経済的混乱などである。
⑬セキュリティ・インシデントを特定し、対応し、そして軽減するために、強力なインシ
デ ン ト ・ マ ネ ー ジ メ ン ト ・ プ ロ グ ラ ム を 実 践 す る 。 こ の プ ロ グ ラ ム は 、 ICT サ プ ラ イ チ
ェーンに由来するインシデントを含むセキュリティ・インシデントの原因を特定できな
ければならない。
イ．第 2 章の主要な事項
（ ア ） ICT サ プ ラ イ チ ェ ー ン 脅 威 の エ ー ジ ェ ン ト （ agent）
ICT サ プ ラ イ チ ェ ー ン 脅 威 の エ ー ジ ェ ン ト は 、例 え ば 、攻 撃 者 又 は 産 業 ス パ イ な ど 情 報
セ キ ュ リ テ ィ 脅 威 の エ ー ジ ェ ン ト と 類 似 し て い る 。下 表 は 、ICT サ プ ラ イ チ ェ ー ン 脅 威 の
エージェントの例を挙げている。
エージェント
偽造者
シナリオ
ICT サ プ ラ イ チ ェ ー
例
犯 罪 グ ル ー プ は 、金 銭 目 的 で 、偽 物 の ICT コ
ンに偽物を挿入する。 ンポーネントを入手し、売却しようとする。
具 体 的 に は 、組 織 犯 罪 グ ル ー プ は 、灰 色 市 場
を 通 し て 再 販 業 者 に 売 却 で き る ICT コ ン ポ
ー ネ ン ト を 手 に 入 れ る た め に 、処 分 さ れ た 装
置 を 探 し 求 め 、余 剰 品 を 購 入 し 、そ し て 、設
計図を入手する。
インサイダー
知的財産の損失
不 満 を 抱 い た イ ン サ イ ダ ー は 、金 銭 目 的 を 含
む さ ま ざ ま な 理 由 の た め に 、競 合 他 社 ま た は
外国のインテリジェンス機関に知的財産を
販 売 ま た は 譲 渡 す る 。知 的 財 産 に は 、ソ フ ト
ウ ェ ア・コ ー ド 、設 計 図 又 は 文 書 が 含 ま れ る 。
外国のインテリ
悪意あるコードの挿
外 国 の イ ン テ リ ジ ェ ン ス 機 関 は 、ICT サ プ ラ
ジェンス機関
入
イチェーンに侵入し、望まれていない機能
（ 新 し い 機 能 又 は 既 存 の 機 能 の 変 更 ）を 埋 め
込 も う と す る 。そ の 機 能 は 、情 報 を 窃 取 す る
ため又はシステム若しくは任務活動を妨害
す る た め に 、シ ス テ ム が 稼 働 し て い る 時 に 使
用される。
テロリスト
無 許 可 ア ク セ ス（ 不 正
テ ロ リ ス ト は ICT サ プ ラ イ チ ェ ー ン に 侵 入
アクセス）
し 、望 ま れ て い な い 機 能（ 新 し い 機 能 又 は 既
8
存 の 機 能 の 変 更 ）を 埋 め 込 む 又 は シ ス テ ム 若
しくは任務活動を妨害しようとする。
産業スパイ
産業スパイ行為
産 業 ス パ イ は 、情 報 の 収 集 又 は シ ス テ ム 若 し
く は 任 務 活 動 を 妨 害 す る た め に ICT サ プ ラ
イチェーンに侵入しようとする。
ウ．第 3 章の主要な事項
（ ア ） ICTSCRM セ キ ュ リ テ ィ 対 策
13 の 大 項 目 （ 見 出 し ） と 見 出 し に 関 連 す る 合 計 78 項 目 の 対 策 が 説 明 さ れ て い る 。 紙 幅
の都合上、大項目（見出し）のみについて述べる。
① ア ク セ ス 制 御 （ ACCESS CONTROL）： ア カ ウ ン ト 管 理 、 最 小 特 権 な ど
② 意 識 向 上 と 訓 練（ AWARENESS AND TRAINING）：役 割 基 盤 の セ キ ュ リ テ ィ 教 育 など
③ 監 査 と 説 明 責 任 （ AUDIT AND ACCOUNTABILITY）： 否 認 防 止 な ど
④ セ キ ュ リ テ ィ 評 価 と 認 可 （ SECURITY ASSESSMENT AND AUTHORIZATION）： 継
続した監視など
⑤ 構 成 管 理 （ CONFIGURATION MANAGEMENT）： 構 成 変 更 管 理 な ど
⑥ 緊 急 事 態 対 処 計 画 （ CONTINGENCY PLANNING）： 代 替 保 管 サ イ ト な ど
⑦ 識 別 と 認 証 （ IDENTIFICATION AND AUTHENTICATION）： 識 別 子 管 理 な ど
⑧ イ ン シ デ ン ト 対 応 （ INCIDENT RESPONSE）： イ ン シ デ ン ト 処 理 な ど
⑨ 整 備 （ MAINTENANCE）： 管 理 保 守 な ど
⑩ 媒 体 保 護 （ MEDIA PROTECTION）： 媒 体 サ ニ タ イ ジ ン グ な ど
⑪ 物 理 的 保 護 と 環 境 保 護 （ PHYSICAL AND ENVIRONMENTAL PROTECTION）： 物 理
的アクセス制御など
⑫ 計 画 （ PLANNING）： シ ス テ ム セ キ ュ リ テ ィ 計 画 な ど
⑬ プ ロ グ ラ ム 管 理 （ PROGRAM MANAGEMENT）： 脅 威 認 識 プ ロ グ ラ ム な ど
５．米国 の認識 と対 処方策
2012 年 10 月 、 米 下 院 ・ 情 報 常 設 特 別 委 員 会 （ House Permanent Select Committee on
Intelligence：HPSCI）は 、委 員 会 メ ン バ ー が 、直 接 中 国 に 出 向 き 電 気 通 信 機 器 会 社 で あ る
フ ァ ー ウ エ イ（ 華 為 ）と ZTE（ 中 興 通 訊 股 分 有 限 公 司 ）の 担 当 者 に イ ン タ ビ ュ ー し た 結 果
等 を 纏 め た 報 告 書 （「 中 国 の フ ァ ー ウ エ イ と ZTE に よ り も た ら さ れ る 米 国 の 国 家 安 全 保 障
問 題 に 関 す る 調 査 報 告 書 （ Investigative Report on the U.S. National Security Issues
Posed by Chinese Telecommunications Companie s Huawei and ZTE」） を 公 表 し た 。（ 本
報 告 書 に つ い て は 、 BSK 第 25-8 号 を 参 照 さ れ た い 。）
その中で、サプライチェーン攻撃の脅威について次のように述べている。
9
○悪意のあるハードウェア又はソフトウェアを米国の顧客向けの中国製の電気通信の
構成品とシステムに挿入することによって、北京は、危機又 は戦争の時に、重要な国
家安全保障上のシステムを停止又は機能低下させることができる。
○送電網または金融ネットワ―クなどの重要インフラに埋め込まれた悪意のあるウイ
ルスは、中国の軍事力の中でも驚異的な兵器となるであろう。
○中国の悪意のあるハードウェア又はソフトウェアは、センシティブな米国の国家安全
保障システムに侵入するための強力なスパイ活動の道具でもある。 そして、センシテ
ィブな企業秘密、先進の研究開発データ及び米国に対して不当な外交的又は商業的優
位を得ることに役立つと中国が考える交渉又は訴訟に関する情報が蔵置されている
外部と接続されていない米国企業のネットワークヘのアクセスを提供する。
諸 外 国 で は 、サ プ ラ イ チ ェ ー ン 攻 撃 の 脅 威 は 現 実 の も の と 考 え 、さ ま ざ ま な 対 応 措 置 を
講じている。表 1 は、米国をはじめ各国の対応措置を取りまとめた ものである。
表1
2006 年 5 月
サプライチェーン・リスクに対する諸外国の対応措置
米 国 務 省 、 レ ノ ボ か ら 購 入 し た 1 万 6000 台 の PC に つ い て 、 機 密 文
書を扱わない業務だけで使用すると発表
2010 年 5 月
イ ン ド 政 府 は 、一 部 の 中 国 製 通 信 設 備・機 器 に 対 し て 、安 全 検 査 を 厳
格化するなど事実上の輸入禁止措置
2010 年 11 月
フ ァ ー ウ エ イ は 、英 国 に 、第 3 者 の 評 価 チ ー ム な ど が 製 品 の 独 立 し た
評 価 な ど を 実 施 す る こ と が 可 能 な 「 Cyber Security Evaluation
Centre」 を 建 設
2011 年 11 月
米 下 院 情 報 委 員 会 は 、 フ ァ ー ウ エ イ 及 び ZTE な ど 中 国 企 業 を ス パ イ
疑惑で調査
2012 年 3 月
豪 政 府 、高 速 通 信 網 の 敷 設 事 業 入 札 を 巡 り 、フ ァ ー ウ エ イ の 応 札 を 拒
否
2012 年 10 月
米 下 院 情 報 委 員 会 は 、政 府 に 対 し 、フ ァ ー ウ エ イ お よ び ZTE 両 社 の 製
品を政府の機器から排除するよう提言
2013 年 7 月
英 国 の 政 府 通 信 本 部 （ GCHQ） や 情 報 局 保 安 部 （ MI5） が 、 レ ノ ボ 社
のパソコンに外部からのリモート操作でパソコン内のデータにアク
セ ス で き る 工 作（ バ ッ ク ド ア ）が 施 さ れ て い た と 公 表 。同 時 に 2000 年
代 半 ば に 米 国 、カ ナ ダ 、豪 州 、ニ ュ ー ジ ー ラ ン ド が 同 メ ー カ ー の パ ソ
コ ン を 使 用 禁 止 と す る 通 達 が 出 さ れ た と も 明 か し た 。（ 英 紙 イ ン デ ィ
ペ ン デ ン ト の 報 道 、 GCHQ は ノ ー コ メ ン ト 6 ）
6東 京 新 聞
2013 年 7 月 31 日 夕 刊
10
2014 年 5 月
中 国 政 府 は 、 米 マ イ ク ロ ソ フ ト 社 の 基 本 ソ フ ト 「 ウ ン ド ゥ ズ 8」 を 政
府 機 関 が 利 用 す る コ ン ピ ュ ー タ か ら 排 除 す る と と も に 、IT 関 連 製 品 や
サービスについて安全審査制度を導入
おわりに
我が国では、これまでサプライチェーンは物流やモノづくり にかかわる問題としてと
ら え ら れ る こ と が 多 か っ た 。そ の た め 、オ ー プ ン 化 、グ ロ ー バ ル 化 が 進 む サ プ ラ イ チ ェ ー
ンを情報セキュリティ問題と結びつけて考えることは最近までほとんどなかった。
昨 年 6 月 に 情 報 セ キ ュ リ テ ィ 政 策 会 議 が 作 成・公 表 し た「 サ イ バ ー セ キ ュ リ テ ィ 戦 略 」
に お い て 、 政 策 文 書 と し て 初 め て 、「 既 知 脆 弱 性 へ の 未 対 応 、 危 殆 化 さ れ た 技 術 の 利 用 や
マルウェアを埋め込まれる等のサプライチェーン・リスク 」への対応強化が謳われた。
し か し 、未 だ 、政 府 機 関 及 び 企 業 に お い て サ プ ラ イ チ ェ ー ン・リ ス ク の 重 大 性 が 認 識 さ
れ て い る と は 言 え な い 。例 え ば 、米 国 等 は 、中 国 産 PC を 、機 密 情 報 を 扱 う 部 署 か ら 撤 去
し て い る 。し か し 、我 が 国 で は 、中 国 製 電 気 製 品 に 対 す る 警 戒 心 が 欠 如 し て い る 。せ め て 、
機 密 情 報 を 扱 う 部 署 で は 、中 国 産 PC や 中 国 産 の 部 品 が 組 み 込 ま れ た PC を 使 用 し な い く
らいの対策が必要である。
情 報 シ ス テ ム の サ プ ラ イ チ ェ ー ン・リ ス ク へ の 対 応 は 、企 業 だ け で 出 来 る も の で は な い 。
国 及 び 企 業 が 一 体 と な っ て 進 め な け れ ば な ら な い 。我 が 国 も 、国 が イ ニ シ ア テ ィ ブ を と り 、
サ プ ラ イ チ ェ ー ン ・ リ ス ク に 係 る 包 括 的 な 調 査 研 究 を 官 民 共 同 で 実 施 し 、 早 急 に ,我 が 国
に 適 合 し た サ プ ラ イ チ ェ ー ン・リ ス ク・マ ネ ー ジ メ ン ト・ベ ス ト・プ ラ ク テ ィ ス を 策 定 し
な け れ ば な ら な い 時 期 に 来 て い る 。（ 了 ）
11