規制当局にまだ示せない防衛サプライチェーンの現状

重要インフラを支える防衛サプライチェーンは、物理的なレジリエンス義務とサイバーセキュリティ要件の両方への対応を同時に求められるケースが増えています。重要インフラに指定されるほどの規模の事業者は、多くの法域で「エッセンシャルエンティティ」としてサイバーセキュリティ要件の対象にもなります。物理的側面は、目に見える証拠が伴うため、相応の注目を集めますが、サイバー側は遅れがちです。

防衛サプライチェーンの運用者に自社システムの安全性を尋ねると、ほとんどの場合「はい」と答えます。しかし、安心感ではなく記録による証明を求めると、その自信は急速に薄れます。本記事では、防衛サプライチェーンにおいてサイバー側の証拠不足がなぜこれほど一般的なのか、そしてそのギャップを埋めるために実際に必要なことを解説します。

エグゼクティブサマリー

重要インフラに分類される防衛サプライチェーン運用者は、物理的レジリエンスとサイバーセキュリティ義務という拡大したコンプライアンス領域に直面しています。サイバー側が遅れがちなのは、必要とされる証拠、すなわちデータアクセスの継続的かつ検索可能な記録を事後的に用意するのが困難だからです。プログラムのセキュリティ責任者にとって、現実的な優先事項は、失敗がインシデントや規制当局によって初めて可視化されるために、投資が後回しになりやすい側面、すなわちサイバー側の証拠ギャップを埋めることです。

主なポイント

1. 重要インフラに分類される防衛サプライチェーン運用者は、物理的義務とサイバー義務の両方を同時に負っています。
2. 物理的レジリエンスは可視化できるため、証明が容易です。サイバー側のレジリエンスには同等の「現場確認」はなく、アクセス制御は現地視察で検証できません。
3. 記録のないサイバー・レジリエンスへの信頼は、証拠ではなく仮定に過ぎません。誰が何にアクセスしたかを具体的に説明できない運用者は、実際の管理ではなく、インシデントが起きていないという事実に頼っています。
4. 規制当局は一度きりの評価ではなく、継続的な証拠をますます求めています。一度提出したリスク評価では、実際のインシデント後に監督当局が求める質問に答えられません。
5. 防衛請負業者に必要な証拠は、すべてのエッセンシャルエンティティに求められる証拠と同じですが、扱うデータの機密性ゆえにより厳しい審査を受けます。

なぜ防衛サプライチェーンは今、物理・サイバー両方の義務に直面しているのか

重要インフラに該当する運用者は、1つではなく2つの独立した義務セットが課される状況が増えています。

物理的レジリエンスとサイバー・レジリエンスは別個の義務として規制されている

物理的レジリエンスの枠組みは、災害や破壊行為、物理的な中断に対する重要サービスの継続性に焦点を当てています（登録、影響評価、施設自体の保護措置など）。サイバーセキュリティ義務は全く異なるリスクに対応します（インシデント報告、情報システムのリスク管理、技術的セキュリティ対策の証拠など）。一方を十分に満たしても、もう一方が脆弱なままということもあり得ます。

規制の厳格化は多くの運用者の証拠管理体制の進化よりも速い

指定基準がサプライチェーン全体に広がり、物理・サイバー両監督当局の連携が進む中、運用者には単に管理策を持つだけでなく、何かが起きた際にその管理策がどのように機能したかを、特定かつタイムスタンプ付きで説明することが求められています。

なぜ物理的証拠は容易で、サイバー証拠は難しいのか

この2つの義務間の非対称性は、自然に証拠が生まれるか、意図的な設計がなければ証拠が生まれないかの違いにあります。

外周は歩けても、アクセスログは歩けない

物理的なセキュリティ対策は、監査員が現場で直接確認できます。一方、プログラムシステムへのアクセスが本当に管理・監視・記録されていたかは、記録を調べて初めて検証できます。そして、その記録は、システム自体が継続的に記録を取得するよう設計されていなければ存在しません。

インシデントがないことは管理の証拠ではない

多くの運用者は、これまで問題が起きていないことを管理策の証拠代わりにしています。しかし、インシデントや規制当局の調査が発生した瞬間、この前提は崩壊します。

サイバー証拠ギャップを埋めるために本当に必要なこと

このギャップを埋めるには、機密プログラムデータを扱うシステムが、ポリシーで存在すると謳われている証拠を実際に生成することを保証する必要があります。

機密データに関わるすべてのシステムでの継続的なログ取得

管理対象データを扱うすべてのチャネルで継続的かつ完全なログを取得することで、インシデント調査は推測の再構築ではなく、記録の検索作業となります。

証拠は規制当局が求める前に用意されていなければならない

インシデントを調査する監督当局は、「どのデータに、誰が、どの権限でアクセスしたか」「どのような管理策があったか」など具体的な質問をします。すぐに答えられる運用者と、記録が存在しない理由を説明しなければならない運用者とでは、根本的に立場が異なります。

必要になる前に証拠基盤を構築する

防衛サプライチェーン運用者が現実的に優先すべきは、物理的レジリエンスに既に適用している厳格さでサイバー側の義務も監査することです。ログが継続的かつ完全であること、迅速に検索できること、そして監督当局が詳細を求めた際に実際に満足させられることを確認しましょう。

データコントロールプレーンが請負業者に必要な証拠をどう提供するか

Kiteworksのデータコントロールプレーンは、すべてのチャネルのあらゆるアクションにデータ認識型のゼロトラスト・コントロールを適用し、それぞれを改ざん防止かつ無制限の監査ログに記録します。このログはSIEMツールに直接連携され、請負業者は機密データに「何が、いつ、誰の権限で」起きたのかを継続的かつ検索可能な記録として取得できます。シングルテナントでの導入やオンプレミス、自社クラウドテナンシー、専用ホスト型インスタンスなど、証拠基盤が請負業者自身の管理下に置かれることも特徴です。

自社のサイバー証拠管理体制をテストしたい請負業者は、カスタムデモを予約し、継続的かつチャネル横断的な監査証拠が自社環境にどう適用されるかを実際に確認できます。