サプライチェーン攻撃を防ぐサードパーティ・リスクマネジメント（TPRM）

背景と概要

現代のビジネスは、多くの外部ベンダー、業務委託先、クラウド事業者、保守パートナーとの連携（サプライチェーン）の上に成り立っています。自社のセキュリティ対策をどれほど強固に固めても、業務を委託しているサードパーティのセキュリティレベルが低い場合、そこが侵入の「抜け道」となって自社の機密情報やネットワークへ被害が及ぶ「サプライチェーン侵害」が常態化しています。

これに対応するため、委託先や提携先のセキュリティリスクを継続的に評価・管理する「サードパーティ・リスクマネジメント（TPRM: Third-Party Risk Management）」の重要性が高まっています。

サードパーティ経由で発生する主な侵害パターン

攻撃者は最も防御の弱いサードパーティを足がかりに本丸へアプローチします。

1. 保守用リモート回線（VPN）からの侵入

システムの運用保守を委託しているパートナー企業の端末がマルウェアに感染し、そこから保守用VPN回線を経由して自社の核心システムへ直接侵入されるケースです。

2. 委託先でのデータ流出・管理不足

顧客データ管理やマーケティング業務を委託した企業が、クラウドストレージの設定ミスや不十分なパスワード管理により、預けた個人情報を流出させてしまうパターンです。

3. サードパーティ製ソフトウェアの脆弱性

社内で利用しているサードパーティ製の業務パッケージやWebプラグインに脆弱性が存在し、それを突かれて社内網へ侵入されるケースです。

従来型の「紙のセキュリティチェックシート」の限界

年1回、数頁の「セキュリティ質問票（チェックシート）」を委託先へ送付し、自己自己申告させる従来の手法には限界が指摘されています。実態と回答が剥離していたり、回答時点以降の環境変化（新たな脆弱性の発生など）を追跡できないためです。

現代的なTPRM（サードパーティ・リスク管理）の構築方針

動的なリスク評価と段階的なアクセス制限が必要です。

1. セキュリティレーティングツール（SecurityScorecard等）の活用

外部から非侵入型で委託先のセキュリティ状態（パッチ適用状況やメール設定等）をスコア化するツールを活用し、客観的かつ継続的なモニタリングを実施します。

2. 委託先アクセスの「ゼロトラスト化（ZTNA）」

保守業者等に対して社内LANへの直接接続（VPN）を許可せず、作業に必要な特定のサーバー・Web画面のみにアクセスを制限するZTNA環境を構築します。

3. 契書への「インシデント報告義務」と「監査権」の明記

委託契約時に、万が一セキュリティ事故が発生した際の速やかな報告義務や、必要に応じたセキュリティ監査の受入れ条件を盛り込みます。