セキュリティ・法務・リスクマネジメント 重要度:★★★出題: AM2・PM1・PM2
サプライチェーンリスクマネジメント
さぷらいちぇーんりすくまねじめんと / Supply Chain Risk Management
部品供給停止や委託先経由のサイバー攻撃など、サプライチェーン全体の脆弱性から自社を守る包括的リスク管理体系。
3行速習ポイント
- 大企業本体が堅牢でも、セキュリティの甘い下請け企業や海外子会社が「踏み台（アイランドホッピング）」にされる事件が頻発。
- オープンソース（OSS）に潜む脆弱性や悪意のコード（ソフトウェアサプライチェーン攻撃）も深刻化。
- ITストラテジストは、取引先へのセキュリティ統一基準の適用、定期監査、SBOM導入を推進する。
図解
図サプライチェーン攻撃（踏み台侵入）と防御策プロセス・手順フロー
最も弱い環（取引先）からの侵入経路をゼロトラストで遮断▶ 進行順序：1. 侵入➔2. 横展開➔3. 防衛成功
1攻撃者の初期侵入
侵入セキュリティの甘い委託先
攻撃者は防御の堅い大企業本社を直接狙わず、セキュリティ対策や監視が手薄な中小の取引先、業務委託先、海外現地法人をフィッシングやVPN脆弱性で侵害する。
2専用線・VPN経由の横展開
横展開信頼された回線を悪用
乗っ取った委託先端末やサーバーを踏み台にし、企業間で常時接続された専用線や信頼済みVPN回線を経由して、正規通信を装い本社の基幹網へ横展開（ラテラルムーブメント）する。
3ゼロトラストによる遮断
防衛成功ZTNA / 動的検証
取引先回線であっても社内網への暗黙の信頼（ネットワーク直結）を全廃し、ZTNAによるアプリ単位の最小権限認可とEDR常時監視で不正侵入を即座に遮断する。
💡 午後I・午後IIでは取引先や海外子会社を踏み台にした侵入を防ぐため、委託先監査・SBOM脆弱性管理に加え、専用線直結を廃したゼロトラスト接続を論述する。
概要と本質
現代のビジネスは複雑なサプライチェーンに依存しています。取引先の工場停止で自社生産が止まる物理的リスクだけでなく、委託先経由で自社ネットワークへ侵入されるサイバー攻撃が急増しています。自社のみの防衛はもはや通用せず、サプライチェーン全体をエコシステムとして統制・支援する視点が不可欠です。
重要ポイント・コア概念
- サプライチェーン攻撃（踏み台侵入）：取引先のVPNや業務委託サーバーを侵害し、専用線経由で本体を攻撃
- SBOM（Software Bill of Materials：ソフトウェア部品表）：使用している全OSSライブラリの可視化と脆弱性追跡
- セキュリティチェックシートと実地監査：取引先に対する客観的基準（IPAサプライチェーンガイドライン準拠）の遵守確認
- マルチソーシング（複線化）：特定調達先への依存を避け、代替サプライヤーを即座に切り替えるBCP体制
試験対策・午後II論文での活用法
午前II・午後I記述で近年連続出題されている超頻出テーマ！午後II小論文でも『委託先経由での情報漏えいリスクを遮断するため、取引先接続回線にゼロトラストのZTNA（Zero Trust Network Access）を適用し、直接の社内網アクセスを遮断した』という対策が極めて有効。
小論文で使える実践フレーズ・キーワード（クリックでコピー）
関連する重要用語
この用語が出題された過去問を解く（1分演習）
即時アウトプットで定着ITストラテジスト 過去問演習で実践力を鍛える
