セキュリティ・法務・リスクマネジメント
午前II午後I午後II論文
重要度:
サプライチェーンリスクマネジメント
よみがな: さぷらいちぇーんりすくまねじめんと
英語名称・略称: Supply Chain Risk Management
1行要約（本質）
部品供給停止や委託先経由のサイバー攻撃など、サプライチェーン全体の脆弱性から自社を守る包括的リスク管理体系。
3つの重要ポイント
1
大企業本体が堅牢でも、セキュリティの甘い下請け企業や海外子会社が「踏み台（アイランドホッピング）」にされる事件が頻発。
2
オープンソース（OSS）に潜む脆弱性や悪意のコード（ソフトウェアサプライチェーン攻撃）も深刻化。
3
ITストラテジストは、取引先へのセキュリティ統一基準の適用、定期監査、SBOM導入を推進する。
構造・プロセスの図解
図サプライチェーン攻撃（踏み台侵入）と防御策
最も弱い環（取引先）からの侵入経路をゼロトラストで遮断1攻撃者の初期侵入
セキュリティの甘い委託先
中小規模の取引先や海外子会社を標的型メール等で侵害・乗っ取り。
2専用線・VPN経由の横展開
信頼された回線を悪用
取引先端末から「正規アクセス」を装って大企業本社ネットワークへ侵入。
3ゼロトラストによる遮断
ZTNA / 動的検証
社内ネットワークへの直結を全廃。アプリ単位での厳格認証・通信遮断。
概要・背景・本質
現代のビジネスは複雑なサプライチェーンに依存しています。取引先の工場停止で自社生産が止まる物理的リスクだけでなく、委託先経由で自社ネットワークへ侵入されるサイバー攻撃が急増しています。自社のみの防衛はもはや通用せず、サプライチェーン全体をエコシステムとして統制・支援する視点が不可欠です。
コア概念と着眼点
- サプライチェーン攻撃（踏み台侵入）：取引先のVPNや業務委託サーバーを侵害し、専用線経由で本体を攻撃
- SBOM（Software Bill of Materials：ソフトウェア部品表）：使用している全OSSライブラリの可視化と脆弱性追跡
- セキュリティチェックシートと実地監査：取引先に対する客観的基準（IPAサプライチェーンガイドライン準拠）の遵守確認
- マルチソーシング（複線化）：特定調達先への依存を避け、代替サプライヤーを即座に切り替えるBCP体制
ITストラテジスト試験（午後I記述・午後II論文）での論述ポイント
午前II・午後I記述で近年連続出題されている超頻出テーマ！午後II小論文でも『委託先経由での情報漏えいリスクを遮断するため、取引先接続回線にゼロトラストのZTNA（Zero Trust Network Access）を適用し、直接の社内網アクセスを遮断した』という対策が極めて有効。