サプライチェーン攻撃と委託先セキュリティ管理・SBOM完全攻略｜外部連携ガバナンス徹底解説

セキュリティが強固な大企業を直接攻撃せず、セキュリティが手薄な子会社や取引先を踏み台にする「サプライチェーン攻撃」と委託先管理を整理します。

1. サプライチェーン攻撃の典型パターン

1. ① ビジネスパートナー経由の侵入: 保守用リモート接続や委託先のアカウントを乗っ取って本丸のネットワークに侵入する。
2. ② ソフトウェアサプライチェーン攻撃: 正規のソフトウェア開発環境やOSSライブラリに悪意あるコードを混入させ、アップデートを通じて配布する。

2. 委託先管理の必須ポイント

• 契約条項の明記: 秘密保持契約（NDA）、セキュリティ対策基準の遵守、再委託時の事前承認、インシデント発生時の報告義務、立入監査権。
• SBOM（Software Bill of Materials: ソフトウェア部品表）: ソフトウェアに含まれるOSSコンポーネントやバージョン、ライセンス情報を一覧化した台帳。未知の脆弱性（Log4Shell等）発生時に影響を即座に特定できる。