- サプライチェーン攻撃Supply chain attack
- 取引先・委託先・使っているソフトウェアなど、組織のつながりを足がかりにする攻撃。
このページの内容
意味
サプライチェーン攻撃は、製品やサービスが作られ、届けられ、運用される流れのどこかを狙い、そこを通じて目的の組織に入り込む攻撃です（NIST の定義の要約）。IPA の「情報セキュリティ10大脅威」でも、サプライチェーンや委託先を狙った攻撃が組織の脅威として取り上げられています。
| つながり | 例 |
|---|---|
| 委託先 | システムの運用・保守、Web サイトの制作 |
| 使っているソフトウェア | 業務ソフト・ライブラリ・更新の仕組み |
| サービス | SaaS・クラウド・メール配信 |
日ごろの備え
- 委託先と、預けている情報の一覧を作っておく
- 委託先の備え（更新・バックアップ・事故時の連絡）をチェックシートで確かめておく
- 事件のときの照会の文と窓口を決めておく
平時の確認にセキュリティチェックシート →
secubell のレポートでの扱い
委託先経由で波及しうる事件を選んで、レポートを作っています。
レポートの中身事件の一覧 →
原典・参考にした資料
- 米国立標準技術研究所（NIST）「Glossary: supply chain attack」
- 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。