【ITニュース解説】経産省のサプライチェーン対策評価制度に対応　PwC Japanが簡易評価サービスを開始

システム開発やITシステムの運用に携わる上で、サイバーセキュリティは避けて通れない重要なテーマだ。特に近年では、自社だけでなく、製品やサービスを提供する上で関係するすべての企業、つまり「サプライチェーン」全体でのセキュリティ対策が強く求められるようになっている。

このニュースは、経済産業省が導入した「サプライチェーン対策評価制度」と、それに対応したPwC Japanの「簡易評価サービス」について報じている。まず「サプライチェーンセキュリティ」とは何かを理解することから始めよう。

システム開発の現場では、自分たちでゼロからすべてを作ることは稀で、様々な外部のサービスやソフトウェア、部品などを組み合わせて一つのシステムを構築することがほとんどだ。例えば、あるIT企業が顧客向けのウェブサービスを開発する場合、クラウドサービスを利用したり、オープンソースのライブラリを使ったり、外部の協力会社に一部の開発を依頼したりする。これらの外部の要素や協力会社はすべて「サプライチェーン」の一部である。

もし、このサプライチェーンの中のどこか一か所でもセキュリティに脆弱性があれば、そこを狙ってサイバー攻撃が行われ、結果として最終的な製品やサービス、あるいは顧客の情報が危険にさらされる可能性がある。過去には、ソフトウェアのアップデートシステムが乗っ取られ、多数の企業にマルウェアが配布されるといった「サプライチェーン攻撃」の事例も発生しており、その危険性は現実のものとなっている。そのため、自社だけでなく、取引先も含めた全体のセキュリティレベルを高く保つことが非常に重要視されているのだ。

このような背景から、経済産業省は「サプライチェーン対策評価制度」という新しい取り組みを始めた。この制度の目的は、日本全体のサプライチェーンにおけるサイバーセキュリティレベルを底上げすることにある。具体的には、製品やサービスを発注する大企業などが、自社の取引先企業に対してセキュリティ対策の状況を自己申告させ、その内容を評価する仕組みを推奨するものだ。発注元企業は、取引先のセキュリティリスクを客観的に把握できるようになり、取引先は自身のセキュリティ対策を定期的に見直し、改善するきっかけを得る。結果として、サプライチェーン全体でのセキュリティ体制が強化されることを目指している。

システムエンジニアを目指す皆さんにとって、この制度は将来的に非常に身近なものとなるだろう。もし皆さんが働く企業が発注元であれば、取引先のセキュリティを評価する側に立つかもしれない。また、もし皆さんが働く企業が受注側であれば、発注元からこの制度に基づいたセキュリティ評価の提出を求められることになる。

しかし、この制度には課題もある。ニュース記事の「説明」にあるように、「受注企業は複数の取引先から要求されるセキュリティ水準にどう応えるかが課題」という点だ。多くの企業は複数の大企業と取引しており、それぞれの発注元が独自のセキュリティ評価基準や提出フォーマットを持っていると、受注企業側は膨大な手間とコストをかけて、個別の評価に対応しなければならない。これは非常に大きな負担となり、中小企業ほど対応が難しい状況に陥りがちだ。

そこで登場するのが、PwC Japanが開始した「簡易評価サービス」だ。このサービスは、まさに上記のような受注企業の課題を解決するために提供される。経済産業省が推奨する「サプライチェーン対策評価制度」の考え方に基づき、受注企業が効率的かつ効果的にセキュリティ対策状況を評価し、その結果を発注元に提示できるよう支援する。具体的には、質問票の作成支援や、回答内容の妥当性チェック、そしてセキュリティ対策の強化に向けたアドバイスなどを行うことで、受注企業が抱える負担を軽減し、同時に発注元が必要とする信頼性の高い情報を迅速に提供できるようにするものだ。

このサービスを利用することで、受注企業は複数の発注元からの異なる要求に対して、ある程度統一された形で対応できるようになる。これは、セキュリティ対策にかかる時間やコストを削減し、本業に集中できる環境を作る上で非常に有効だ。

システムエンジニアを目指す皆さんにとって、この一連の動きは何を意味するだろうか。それは、サイバーセキュリティが単なる技術的な課題だけでなく、企業間の取引やビジネスプロセス、さらには国の政策と深く結びついているということだ。将来、皆さんがどんなシステム開発に関わるにしても、そのシステムがどのサプライチェーンの一部なのか、どのようなセキュリティリスクを抱えているのか、そしてそのリスクに対してどのような制度やサービスが適用され得るのか、といった広い視野を持つことが求められるようになる。

技術を学ぶことはもちろん重要だが、最新のセキュリティ動向や、今回のような国の制度、それに対応するサービスなど、ビジネスや社会全体の動きにも目を向けることで、より付加価値の高いシステムエンジニアとして活躍できるだろう。サイバーセキュリティは進化し続ける領域であり、それに伴い企業間の連携や評価の仕組みも常に変化していく。このニュースは、その変化の一端を示していると言える。