サードパーティのセキュリティリスク管理とOSINT手法

2022.08.22

アスピレイション株式会社セキュリティチームです。

世界中でサイバー攻撃の事例や脅威が高まっていますが、その中でも特にサプライチェーンや取引先など、サードパーティ企業のサイバーセキュリティリスクに関する重要性が増しています。

8月19日の日経新聞に「供給網、サイバー防衛急ぐ」というテーマで、部品会社などのサプライチェーンへのサイバー攻撃対策を強化する動きが広がっているとの記事が掲載されました。記事によると、風向きが変わったのは、今年2月のトヨタ自動車のサプライヤーへの「エモテット」マルウェアを用いたと見られる攻撃が起こり、国内生産を停止することになったインシデントがきっかけで、大手企業が取引先を含めたセキュリティの検査に乗り出す動きが加速することにつながったということです。

また、ガートナー社が今年7月25日に発表した、2023年以降に企業のセキュリティに大きな影響を与え得るサイバーセキュリティに関する主要な仮説の中にも、サードパーティ企業のセキュリティリスクに関する項目が含まれています。

■参考：Gartner、2022～2023年のサイバーセキュリティに関する8つの主要な仮説を発表

https://www.gartner.co.jp/ja/newsroom/press-releases/pr-20220725

同社によると、今後組織はクリティカルなテクノロジ・サプライヤーのシンプルなモニタリングから、企業の買収・合併のための複雑なデュー・デリジェンスに至るまで、サードパーティとビジネスを行う際の意思決定要因として、サイバーセキュリティ・リスクを重視するようになると予測しています。

アスピレイションでは、最新のAI技術を用いたOSINT（Open-Source Intelligence）手法により、企業のセキュリティリスクを外部から評価することが可能な、イスラエル発のOSINTリスク評価システムを提供しています。

サプライヤーやグループ会社などの関連企業について、組織内部のシステムに影響を与えることなく、リアルタイムにセキュリティリスクの評価、モニタリングを行うことが可能となり、セキュリティ先進国のイスラエルにおいても、国家サイバー総局（INCD）が国内重要組織のセキュリティリスクを監視する際に利用するなど、信頼されたシステムとなっております。

対象としては、オンラインに接続されたサーバーなど会社システムの脆弱性、なりすましなどに利用される可能性のある送信メールサーバーの設定、ウェブサイトのSSL証明書の有効性、Eメールアドレスや機密書類の外部漏えい、外部との不審な通信など多くの項目に関するセキュリティリスクを評価することが可能です。

また、相手先企業に対する監査の質問票の作成や送付、回答の自動集計など企業監査に関する様々な機能も備えているので、外部評価と合わせた総合的なサードパーティリスク管理を行うことができる有益なシステムとなっております。

ご興味をお持ちのお客様へはシステムのデモやサンプルレポートのご提供等のご相談も承っておりますので、ご遠慮無くお申し付けください。

お問い合わせはこちらまで。