国内におけるサプライチェーンセキュリティ
実態調査結果について

2022年8月24日
タニウム合同会社

本調査実施の背景

タニウムの企業概要
Tanium Inc.

タニウム合同会社

設立：2007年 (2012年製品提供開始)
代表：Orion Hindawi (Co-Founder/CEO)
従業員数：2,200+名
本社：ワシントン州 カークランド
評価額：90億ドル

設立：2014年
代表：古市 力 (代表執行役社長)
従業員数：約100名
本社：東京都千代田区
営業拠点：東京、大阪、名古屋

70 %8Fortune 100 企業 米国トップ 10 金融機関
における採用率
における採用数

753,000 万世界トップ 10 流通業
における採用数

米国軍組織
における採用数

グローバルで管理している
エンドポイント数

3© 20222021 Tanium. All rights reserved.
©

国内における採用実績（抜粋）• 伊藤忠テクノソリューションズ株式会社• 東急不動産ホールディングス株式会社• 株式会社 荏原製作所• 東芝デジタルソリューションズ 株式会社

• 株式会社エヌ・ティ・ティ・データ

• 西日本電信電話株式会社• 京セラ株式会社• 鴻池運輸株式会社• 日本製鉄株式会社• 日本電気株式会社• 株式会社 資生堂• 福井県• セガサミーホールディングス株式会社• 古野電気株式会社• 積水化学工業株式会社• 株式会社ベネッセホールディングス• 株式会社 セゾン情報システムズ• 株式会社みずほフィナンシャルグループ• 全日本空輸株式会社• ローム株式会社• 株式会社ダイセル（五十音順）

4© 2021 Tanium. All rights reserved.

2023 年度 ３つの注力戦略領域

1. Tanium Cloud 1stの徹底的な推進

2. お客様の DX 施策を強力に保護する XEM の提供

5

3. パートナー協業強化による顧客基盤の拡大© 20222021 Tanium. All rights reserved.
©

サプライチェーンをとりまくセキュリティ課題

3位

4 年連続

2022年度版のランキング

2019年度版〜

Source :独立行政法人 情報処理推進機構 セキュリティセンター : 情報セキュリティ10大脅威(2019-2022)

6© 2021 Tanium. All rights reserved.

飛躍的に増加するサプライヤーへの攻撃
攻撃者のターゲットはより脆弱なシステム環境へ

12,000件
昨対比650 %66 %Source : European Union Agency for Cybersecurity, 2021/7/29付 プレスリリース
https://www.enisa.europa.eu/news/enisa-news/understanding-the-increase-in-supply-chain-security-attacks

7

Source: IPA 情報セキュリティ10大脅威2022
組織編、簡易説明資料© 2021 Tanium. All rights reserved.

サプライチェーン・リスク等の新たな脅威を先取りした対応を推進し、組織の壁を越えたサプライチェーン全体でセキュリティを向上するための方策を講じていく

Source :内閣サイバーセキュリティセンター : 重要インフラのサイバーセキュリティに係る行動計画(2022/06/17版)より抜粋
https://www.nisc.go.jp/pdf/policy/infra/cip̲policy̲2022.pdf

なぜサプライチェーンが狙われるのか？
脆弱性対策の「穴」がねらわれる現実＝攻撃者は攻撃しやすい箇所から侵入してくる

海外現地法人海外工場

国内
エコシステム

アジア拠点

海外サプライヤ①弱いところから初期侵入を許す②重要拠点への展開③情報漏洩、工場停止など重大事案化
9

経営責務としての（グローバル）ガバナンス© 2021 Tanium. All rights reserved.

サプライチェーンリスクに関する市場調査• 調査対象：大企業のサイバーセキュリティ意思決定者659名• 調査方法：Webアンケート• 実施期間：2022年6月1日〜2022年6月20日

セキュリティ インシデント発生時の被害総額
被害総額は100万円未満から１億円以上まで幅広く分散。３割の組織は「わからない」

14%

タニウム考察•約半数の組織が1,000万円以上を被害総額として経験・想定している•

1億円以上の被害総額を回答している企業が14％にのぼり、昨今のランサムウェ
ア被害等による金銭的な負担は組織にとって大きな重石になっている•

３割の組織は被害を想定できていない

27%

17%

9%
1億円以上5,000万円〜1億円未満

14%

19%

1,000万円〜5,000万円未満
100万円〜1,000万円未満

N=659

100万円未満＊インシデント未経験の場合は想定される被害損額、または想定費用を回答

わからない11© 2021 Tanium. All rights reserved.

サプライチェーンリスクは７割強の環境で放置されている
0%25%

全体（N=659）

29%

製造業（N=198）

31%

建設業（N=27）
流通・⼩売・商社（N=51）
⾦融業（N=79）
サービス（N=157）
公務員・公共サービス（N=49）
その他（N=98）

19%

50%
44%

41%

31%
22%
28%

7%

39%

41%

•

サプライチェーンリスク対策の必要性は業種を問わず認知されており、全体では9割弱の組織が認知している•

一方で、「わからない」と回答した組織も含めると７割以上の回答者はサプライチェーンに対して具体的な対策まで行えておらず、実質リスクが放置されている

15%20%

10%

10% 6% 11%

45%
41%

タニウム考察

5% 9%

14% 4%6%
19%

47%

100%

14%

45%

31%
25%

75%

13% 2%10%
16%
11%

12%

8%

9%

11%

サプライチェーンリスク対策の必要性を認識しており、対策も実施している
サプライチェーンリスク対策の必要性を認識しており、対策を検討している
サプライチェーンリスク対策の必要性は認識しているが、特に検討も対策も⾏っていない
サプライチェーンリスク対策の必要性を感じていない
わからない
12

© 2021 Tanium. All rights reserved.

サプライチェーンリスク対策にかかるコスト
11%

•

19%

13%
•

30%
27%

1,000万円以上500万円〜1,000万円未満
100万円〜500万円未満

N=566

100万円未満

タニウム考察調査対象組織に対してセキュリティチェック等にかかる1社あたりの年間の管理コストを訪ねたところ、500万円以上と回答した割合が約半数にのぼった
被害総額の回答と照らし合わせると、サプライチェーンセキュリティ対策にかかるコストは少ないとは言えず、組織が対策を明確化できない一つの要因となっていることが推察される

かかっていない13© 2021 Tanium. All rights reserved.

取引先に対して実施していること
一応の要請を行っている組織が多いが、「要請や報告」をどのように行うかは課題が多い
0%

20%

40%

60%

サプライチェーンに対してセキュリティインシデント対策の組織とプロセス確立を要請、または報告している

52%

サプライチェーンに対してセキュリティインシデント対策の方針とルールの制定を要請、または報告している

44%

サプライチェーンに対してセキュリティインシデントの診断と技術的な対策を要請、または報告している38%

サプライチェーンに対してセキュリティインシデント対策の監査レビューを立入実施、または受入をしている

26%

サプライチェーンに対してセキュリティインシデント対策の監査レビュー結果に応じて強化策の要請、または実施報告している

18%

サプライチェーンに対して実施していない

6%

分からない

5%

N=566
14

© 2021 Tanium. All rights reserved.

サプライチェーンリスクにおける監査の重要性
過半数の組織は、サプライヤーにたいして「監査」を求めていない
0%

⼤企業

中⼩企業

全体

25%

14.5%

26.5%

20.5%

50%

38.5%

75%

37.0%

31.0%

34.0%

100%

•

調査回答者のサプライチェー
ンリスク対策における立場は＜依頼する＞＜依頼を受ける＞＜その両方＞が約３割ずつで、大企業、中小企業による差分は殆ど無かった•全体を通じて、納品先から監査を求められていると回答した組織は45%にとどまる•

第三者監査のない対策への信頼度をどう担保するかはバイ
ヤーにとっての大きな課題

10.0%

39.5%

40.0%

国内顧客から対策を依頼されているが監査までは求められていない
海外顧客から対策を依頼されているが監査までは求められていない
国内顧客から対策を依頼されており監査も求められている、またはその可能性がある

N=328

タニウム考察

3.0%

5.5%

海外顧客から対策を依頼されており監査も求められている、またはその可能性がある

15© 2021 Tanium. All rights reserved.

ガバナンス対象にサプライチェーンを含めている組織は極小
サプライチェーンリスクが増大するなか、バイヤー側からのガバナンスは自社グループにとどまる•

8812％%%

16

タニウム考察今回の回答組織全体のうち、サプライチェーンをガバナンス対象に含めている
割合は8％にとどまった•

業種別では「流通・小売・商社」のみ当該割合が14％と２桁を超えたが、それ以外の業種はすべて10％未満•

今後３年のうちにサプライヤーへのガバナンス強化を検討している割合もわずか4％と非常に少ない© 2021 Tanium. All rights reserved.

調査結果を踏まえてタニウムからの提言

サプライチェーン攻撃に対し、今一度リスクの見直しが必要
被害の予防

被害を受けた後の対応• 業務委託や情報管理における規則の徹底• 影響調査および原因の追究、対策の強化• 報告体制等の問題発生時の運用規則整備• 信頼できる委託先、取引先組織の選定• 被害への補償• 関係各所への報告、相談体制の確立• 複数の取引先候補の検討 -納品物の検証• 契約内容の確認(上司、CSIRT, 関係組織、公的機関など)• 委託先組織の管理• 取引先や委託先の情報セキュリティ対応の確認、監査• 情報セキュリティの認証取得(ISMS, Pマーク、SOC2, ISMAPなど)

18© 2021 Tanium. All rights reserved.

タニウムが推奨する
サプライチェーンリスク対策はサイバーハイジーン

サイバーハイジーンの考え方
サイバー・レジリエンス

サイバーハイジーン• セキュリティ侵害の迅速な検出• インシデント発生時の侵入経路と影響範囲の特定、把握• セキュリティ侵害の影響軽減• 影響範囲全体の早急な復旧• 保有端末資産の把握と状態の定期的な監視• 該当する脆弱性の把握• 未適用パッチの可視化• 不許可資産の排除• パッチの適用• ソフトウェアの更新

NIST
Cyber SecurityFramework20© 2021 Tanium. All rights reserved.

サイバーハイジーンによるリスク低減効果

カナダ サイバーインシデントレスポンスチーム(CCIRC)

Top 4 Strategies to Mitigate
Targeted Cyber Intrusions

85 ％米国国土安全保障省 (CISA)

Top 30 TargetedHigh Risk Vulnerabilities

何かが起きてからでは遅い
平時の対策こそが先進諸国の公的機関から推奨されている
Source :CCIRC: Top 4 Strategies to Mitigate Targeted Cyber Intrusions より抜粋
https://www.publicsafety.gc.ca/cnt/ntnl-scrt/cbr-scrt/tp-strtgs-en.aspx

CISA: Top 30 Targeted High Risk Vulnerabilities より抜粋
https://www.cisa.gov/uscert/ncas/alerts/TA15-119A
21© 2021 Tanium. All rights reserved.

国内でも優先投資領域として存在感を増すサイバーハイジーンサイバー・レジリエンス (内製)

サイバーハイジーン
サイバー・レジリエンス (外注)
ゲートウェイ・セキュリティ
クラウド・セキュリティ
5％

10 ％

15 ％

20 ％

25 ％

30 ％

Source: 本調査
従業員10,000名以上の企業 N=253
22© 2021 Tanium. All rights reserved.

ハイジーン・アセスメントのすすめ
Sample

調査結果 ‒ サマリー(指定グループ2社を評価)
以下はセキュリティレベルの実態調査の結果、経営リスクにつながる可能性のある端末群
対象環境 本社
調査台数：200 EP

TOTAL

非管理の端末群

43%

TOTAL

38%

経営リスクとして是正すべき端末群

13%

衛生管理のできていない
端末群

57%

対象環境 本社

非管理の端末群

経営リスクとして是正すべき端末群

15%

衛生管理のできていない
端末群

62%

調査台数：200 EP

200EP

必須アプリ
非稼働

172EP

企業ポリシー
非準拠

174EP

500EP

28EP

必須アプリ
非稼働

436EP

26EP

企業ポリシー
非準拠

18%

重要パッチ未適用

48EP

394EP

24%

必須アプリ非稼働

80EP

31%

禁止アプリ利用16%

重要パッチ未適用

64EP
13%

必須アプリ非稼働

86EP
17%

重要パッチ
未適用
既存ツール
未サポート

164EP
162EP

重要パッチ
未適用

38EP

既存ツール
未サポート

420EP
274EP

64EP

2

国内全体のIT資産の可視化

106EP

3

海外拠点のIT資産可視化

32

4

パッチ適応の実現と徹底

IT資産可視化

4.パッチ
適応

2.国内その他
3.海外

5. KPI定義•••

リスクの把握と対処スピードの強化
グループガバナンス強化
パッチ適応、ツール⾒直しに向けたデータ収集

1.国内主要•リスクの低減•継続運⽤徹底に向けた責任の明確化•

ツールの⾒直しと整理によるITコスト(OPEX, CAPEX)削減•

さらなる運⽤効率化によりリスクの低減とOPEX削減

⾼施策難易度
投資コスト⼤6. 管理
ツール統合
7.プロセス効率化

低⼩コスト効果■実施計画（全体マイルストーン）

80EP

5

IT運⽤管理におけるKPIを定義

226EP

6

IT管理ツールの⾒直しと統合

1.国内主要拠点

2.国内グループ・関連会社

3.海外拠点4. パッチ適応徹底
5. KPI定義

7

セキュリティ運⽤プロセス効率化© 2021 Tanium. All rights reserved.

課題の整理

⽬的 / 効果■効果/コスト/難易度!
"#$%&'()

国内主要拠点のIT資産可視化※Emotet原因となるWordマクロ設定調査

36EP

禁止アプリ利用© 2021 Tanium. All rights reserved.

衛生状態の可視化

1※Windowsセキュリティポリシー調査

他社事案
468EPのリスク端末

12※Emotet原因となるWordマクロ設定調査

主な脆弱性項目(抜粋)

62EP

施策

65EP

※アンチウイルスソフトウェア、SCCM等※Windowsセキュリティポリシー調査

36EP■施策と効果

主な脆弱性項目
非管理の端末

30EP

他社事案
188EPのリスク端末

主な脆弱性項目(抜粋)ビジネスリスクを最⼩化しビジネスの継続性を維持するために、従来とは異なるセキュリティレベルの向上が求められる。全IT資産を管理対象とし⽇々モニタリング、対処するための施策が必要であるため、グループ全体でのガバナンス強化の⼀環として全IT資産可視化、管理を徹底する

調査台数：500 EP

主な脆弱性項目
非管理の端末IT Hygiene Roadmap■⽬的対象環境 グループA社※アンチウイルスソフトウェア、SCCM等

25%

28%

Sample経営リスク(インシデント発生原因)となりうる端末群は、調査の結果以下の通りです

対象環境 グループA社
調査台数：500 EP

調査結果 ‒ 詳細：経営リスクとなりうる端末群© 2021 Tanium. All rights reserved.

優先順位と方向性検討

6.ツール統合
7.プロセス効率化

2021

2022

2023
2

実施計画の策定支援

60+ 社
アセスメントを体験されたお客様
23© 2021 Tanium. All rights reserved.

2

ソフトウェア・サプライチェーンセキュリティも課題
国内企業におけるLog4j脆弱性調査結果から浮き彫りになったSBOM（ソフトウェア部品表）管理の難しさ
調査端末

Log4j 脆弱性の懸念がある端末数3,534 台

194 台（5.5%）

F 社ソフトウェア

D 支店
Log4j 脆弱性
端末の所在

A 工場

194 台

B 拠点

本社

調査対象とした全ての拠点で Log4j の脆弱性を確認
Source: 当社調べ

25 種類（14 ベンダー）
その他

在宅

C 工場

Log4j 脆弱性の懸念があるアプリ

A 社ソフトウェア

E 社ソフトウェア
D 社ソフトウェア

C 社ソフトウェア

Log4j 脆弱性
アプリの延べ台数

209 台
B 社ソフトウェア

ベンダーから得られた情報に基づく対処を実施したあとの調査にも関わらず、複数のソフトウェアで脆弱性を確認

ご静聴ありがとうございました

お問い合わせ先：
マーケティング本部 jpmarketing@tanium.com