サイバー攻撃から情報や設備を守るのも経営者の義務^^;

「次は取引停止」迫る大手　車や防衛の規制強化で
サイバー攻撃　供給網の穴(下)
2020/9/15 11:00

「注意で済ますのは今年が最後ですよ」

関東の部品メーカー社長は7月、重電大手の担当者からこう告げられた。サイバー攻撃からの復旧支援を依頼したところ、複数の不備が判明した。セキュリティー対策が甘いままなら、取引停止もあり得るという。「人もお金もないなかで、どう対応すればいいのか」。社長は頭を抱える。

大阪商工会議所が2019年に実施した調査では、取引先がサイバー攻撃を受けて自社に被害が及んだ場合、29%の企業が「取引停止」を検討すると回答した。

中小企業のサイバー対策支援を手掛けるキヤノンマーケティングジャパンの小野寺徹氏は「昨年から自動車や建設業界で取引停止に追い込まれる企業が増えている」と話す。特に事故後の調査・対応の不備が問題視されるケースが多いという。

大手が取引先のサイバー対策に神経をとがらせる理由は2つある。

■中小の取引先や業務委託先が標的に
まずはサプライチェーン（供給網）を標的にしたサイバー攻撃の急増だ。自動車や航空機の製造には何万もの企業が関わり、設計書など様々な情報がやり取りされる。防御が手薄な中小の取引先や業務委託先が攻撃にさらされると、そこから機密情報が流出しかねない。

もう一つは規制の強化だ。米国防総省は18年以降、取引企業に対してサイバー防衛ガイドライン「NIST SP800-171」の準拠を義務付けた。情報の暗号化や事故対応など約100の要件を満たせない企業は、調達先から締め出される。日本の防衛省も21年にも、同様の要件を調達基準に盛り込む。

防衛関連企業は、自社だけでなく供給網全体の安全を保証する必要がある。データをやり取りする手段も厳しく規定されている。航空機部品メーカーの幹部は「メールではなく対面で打ち合わせするケースが増えた。パソコンで見られるウェブサイトも厳しく制限されている」と打ち明ける。

防衛産業だけではない。米国政府は華為技術（ファーウェイ）製の機器などの利用を厳しく制限し、通信事業者は供給網の見直しを余儀なくされている。

■22年から対策が義務化
今年に入り浮上したのが自動車産業だ。国連欧州経済委員会（ECE）の下部組織である「自動車基準調和世界フォーラム（WP29）」は6月、自動車にサイバー攻撃対策を義務付ける指針を採択した。21年1月に発効し、欧州連合（EU）は22年7月以降の新車販売で義務化する方針だ。

焦点はネットを通じて車の制御ソフトを遠隔更新する仕組みだ。ハッカーに悪用されると重大な事故が起きかねない。完成車メーカーは下請けの部品メーカーも含めたサイバー対策を整え、国際認証を取得することが求められる。対策を怠ると、世界50以上の国や地域で新車を販売できなくなる恐れがある。

締め付けは既に始まっている。愛知県の部品メーカーは19年10月、納品している完成車メーカーから抜き打ちのセキュリティー監査を受けた。「当社は辛うじて合格したが、取引の打ち切りを告げられた企業が複数あるようだ」（担当者）

規制対応は待ったなしだが、一筋縄ではいかない。経済産業省と情報処理推進機構（IPA）は昨年、中小企業の実態把握を目的に「サイバーセキュリティお助け隊」を組織した。1064社の参加を募り調査したところ、128件の事故対応などが発生した。パソコンのウイルス感染に気づかず、取引先との連絡や納品に使い続けているケースが多いという。

IPAの19年度調査によると、「IT人材が不足している」と回答した企業（従業員300人以下）は84.5%で、前年度と比べて5.2ポイント上昇した。MS&ADインターリスク総研の土井剛サイバーリスク室長は「最新システムを導入しても、多くの中小企業は管理しきれないのが実情だろう」と指摘する。

■対策強要、下請法に抵触も
供給網のサイバー対策を大企業の都合のみで進めるのは難しい。経済産業省のガイドラインは「下請け会社にセキュリティー強化を求めつつ、そのコストを一方的に負担させる行為」が法に抵触するリスクがあるとする。「取引価格などで十分に協議しなければ、下請法が禁じる買いたたきと見なされる恐れがある」（TMI総合法律事務所の押野雅史弁護士）

そこで一部の大企業は、中小の投資費用を肩代わりし始めた。あるセキュリティー企業は、完成車メーカー担当者から「系列企業と取引先にまとめて導入させるから、価格を下げてもらえないか」と打診された。

富士通は米エクソスターと提携し、供給網全体で重要情報を管理できるサービスを提供する。「石油や交通大手など数十社から引き合いがある」（富士通）。NRIセキュアもグループ会社や取引先の対策状況を診断できるツールを提供する。発注側から重要情報の管理体制を問われ、同社のツールを利用する受注側の企業も出てきたという。

事故対応ができるよう、サイバー保険への加入を促す例も増えている。損害保険ジャパンによると、4〜7月のサイバー保険の契約数は前年比で7割増えた。

中小の取引先に対して一方的に対策強化を求めるだけでは、状況は改善しない。供給網全体を管理する大企業の支援体制も課題になる。
https://www.nikkei.com/article/DGXMZO63805230U0A910C2TJ1000/
＞米国防総省は18年以降、取引企業に対してサイバー防衛ガイドライン「NIST SP800-171」の準拠を義務付けた。

必要経費で落として減税処置しないと、経営が成り立たなくなります^^;

厳しい様だけど、ISO同様に厳しいセキュリティー対策をしないと、世界中から相手にされなくなります。

各地域の商工会議所が中核になって、経済産業省と情報処理推進機構（IPA）からの規制を各中小企業に伝達する仕組みが必要です。
政府が補助金を出し、ハッカーの監視役を商工会議所が雇い、会員のパソコンを定期的にチェックする仕組みが必要です。

＞あるセキュリティー企業は、完成車メーカー担当者から「系列企業と取引先にまとめて導入させるから、価格を下げてもらえないか」と打診された。

大企業だったらこれ有りなのですが、中小企業間の取引では、まとめ役が居ない場合が多くて難しいのです^^;

パクリ常習者の中共を倒そうとしているトランプが起こした波は、日本にも押し寄せて来ていますw