サプライチェーン攻撃の手口と対策総まとめ｜委託先リスク・SBOM

IPAの「情報セキュリティ10大脅威（組織編）」でも長年上位に君臨し、情報処理安全確保支援士（SC）や情報セキュリティマネジメント（SG）の試験で毎年のように出題される最重要テーマが「サプライチェーン攻撃」です。

本記事では、試験で問われる攻撃パターンの分類、出題者が狙う防御策（SBOMや委託先管理規程）、そして午後記述式や午前選択式で確実に正解を導くためのポイントを体系的に解説します。

1. サプライチェーン攻撃の定義と4大パターン

サプライチェーン攻撃とは、セキュリティ対策が強固な「標的組織」を直接狙うのではなく、標的組織と取引関係にある「セキュリティ対策が手薄なサプライチェーン（取引先・委託先・外部ライブラリなど）」を踏み台にして侵入・攻撃する手法です。

分類パターン	攻撃手口の具体例	代表的な被害・影響	試験での頻出キーワード
① ビジネス関係の悪用 (委託先経由)	保守ベンダのリモートVPNアカウントを乗っ取り、そこから発注元企業の本番ネットワークへ侵入する	標的企業の顧客情報・機密情報の漏洩	リモート保守回線、踏み台サーバ、委託先監査
② ソフトウェアサプライチェーン (OSS汚染)	公開パッケージリポジトリ（npmやPyPI等）に悪意あるコード（タイポスクワッティングなど）を混入させる	ビルド時にマルウェアが組み込まれ、製品利用者に拡散	SBOM（部品表）、依存関係ツリー、SCAツール
③ 開発環境・CI/CDツールの侵害	ソフトウェア開発企業のビルドサーバやコードサイニング証明書を不正奪取し、正規アップデートにバックドアを仕込む	SolarWinds事件のような大規模ゼロデイ拡散	コードサイニング、改ざん検知、ハッシュ検証
④ ハードウェアサプライチェーン	製造・流通過程でファームウェアを改ざんしたり不正チップを混入させる	出荷時からバックドアが埋め込まれた機器の稼働	セキュアブート、Root of Trust、改ざん防止封印

契約時におけるセキュリティ要件の明文化: 再委託の禁止・事前承諾義務、セキュリティ基準の遵守、事故発生時の即時報告義務をSLAや基本契約書に定める。
アクセス制御と監査運用の徹底: 委託先からのリモート接続は常時許可せず、作業申請に基づく「必要な時間帯のみの接続許可」とし、多要素認証（MFA）と作業画面・ログの記録を義務付ける。
定期的なセキュリティ監査・チェックシートの回収: 契約時だけでなく、年1回以上の実地監査または点検表によるセキュリティ対策状況の確認を行う。

近年特に午後試験で急激に出題頻度が高まっているのがSBOMです。

SBOMの目的: 自社システムや製品が利用している全オープンソースライブラリおよびその依存関係（間接的依存関係を含む）の名称、バージョン、ハッシュ値、ライセンス情報を一覧化すること。
試験での着眼点: 新たな脆弱性（Log4j等）が公表された際、自社のどのシステムのどのモジュールで該当ライブラリが使われているかを数分で特定し、迅速な影響範囲調査を可能にするために導入されます。

【午前問題の鉄板パターン】「サプライチェーン攻撃の説明として最も適切なものはどれか」 👉 正解の型: 「本来の標的である組織を直接攻撃するのではなく、セキュリティ対策が相対的に脆弱な取引先や委託先、外部サービス等を経由して標的組織に侵入する攻撃」

【午後記述式の頻出パターン】「委託先ベンダからのリモート保守において、不正アクセスを防止・検知するためにシステム管理者が実施すべき運用上の対策を25字以内で述べよ」 👉 正解の型: 「作業申請時のみ接続を許可し、操作ログを記録・監査する」