2022ISS SquareNo.203(2023/3/3)

業務委託におけるセキュリティシミュレーション
Security Simulation in Outsourcing
髙濱聡一郎・法制倫理分科会・情報セキュリティ大学院大学
In recent years, supply chain attacks through group companies and business partners with relatively inadequate security measures have had a sign
ificant impact on society. This study focuses on supply chain attacks related to outsourcing in Japan and proposes "Security Simulation in Outsour
cing," a method to ensure security at the time of contract. Comparison with existing methods and analysis of case studies showed that the propose
d method is useful for ensuring security in outsourcing due to its ability to address issues specific to outsourcing, among other reasons.

１．背景・貢献

４．提案手法★業務委託に関するサイバー攻撃により多大な被害が発生

業務委託におけるセキュリティシミュレーション

自動車業界の事例 ：自動車会社の全工場が停止(2022年3月)
医療業界の事例 ：診療業務が3週間以上停止（2022年11月）⇒ 契約時に実効性のあるセキュリティ対策を合意する手法★セキュリティ対策を要請していない or 要請していても要請内容が不十分⇒ 契約時に実効性のあるセキュリティ対策を合意することが重要
セキュリティ対策の要請割合

大・中堅企業のセキュリティ対策の要請内容

委託者

セキュリティ対策を要請している割合

大・中堅企業86.2%

中小・小規模企業

10.1%

秘密保持契約を求めるといった対策の要請割合

推奨設定等の具体的な対策の要請割合

86.2%

平均23.1%

中小企業・小規模企業者自身のセキュリティ対策の実施状況

対策の平均実施率⇒ 12.7%

提案手法の特徴
１．二段階の合意形成⇒具体的な情報提供と情報流出リスクを両立する株式会社NTTデータ経営研究所 「令和3年度サイバー・フィジカル・セキュリティ対策促進事業（企業におけるサプライチェーンのサイバーセキュリティ対策に関する調査）調査報告書」とIPAの「2021年度中小企業における情報セキュリティ対策に関する実態調査-調査報告書-」を基に筆者作成

２．シナリオ ※指示や質問のこと⇒シナリオに沿って進めることで、円滑に実効性のあるセキュリティ対策を導出することが期待できる⇒シナリオには、1個のメインシナリオと12個のサブシナリオを提供

本研究の貢献１．業務委託のセキュリティを確保するための要件を提示
２．業務委託のセキュリティを向上させる手法を提案
３．提案手法の利用者向けのドキュメントを作成
４．2022年のインシデント事例等を基に分析し評価

メインシナリオ
No 工程*2 先行調査・株式会社NTTデータ経営研究所 「令和3年度サイバー・フィジカル・セキュリティ対策促進事業（企業におけるサプライチェーンのサイバーセキュリティ対策に関する調査）調査報告書」
・IPAの「2021年度中小企業における情報セキュリティ対策に関する実態調査-調査報告書-」
・みずほリサーチ＆テクノロジーズ株式会社の「令和３年度サイバー・フィジカル・セキュリティ対策促進事
業（サイバーセキュリティ経営に関する調査）調査報
告書」

No
要件
1 効率的な合意形成
2 情報提供と情報流出リスクの両立
3 恣意的な回答への対応
4 委託者受託者双方の主体的な合意形成
5 セキュリティ対策の持続性の考慮
6 セキュリティ対策の具体的な確認
7 取引先管理の軽減
8 取引者間の関係性への対応
9 委託者受託者の違いの考慮
10 不公正な取引防止策の考慮
11 加害リスクの考慮提案手法の特徴 ※後述

サブシナリオ（工程３，工程４）

シナリオ（シミュレート設定）
二段階の合意形成No

シナリオ（説明工程の心構え４）

1 業務端末のマルウェア感染対策
2 ソフトウェアへの攻撃対策
3 認証機能を狙った不正アクセス対策
4 メールを利用したサイバー攻撃対策
5 インターネット介したサイバー攻撃対策
6 外部サービスを介したサイバー攻撃対策
7 無線LANを介したサイバー攻撃対策
8 個人所有の情報機器を介したサイバー攻撃
9 重要情報に対するサイバー攻撃の対策
10 インシデント対応
11 実効性維持対策
12 再委託時の対策シナリオ（説明工程の心構え４）
シナリオ（説明工程の心構え 前書）
シナリオ（説明工程の心構え２等）
ー
シナリオ（説明工程の心構え３等）
シナリオ（説明工程の心構え３等）
シナリオ（説明工程の心構え４）
シナリオ（説明工程の心構え１等）

分析例： 加害リスクの考慮・小川 らのDX（デジタル・トランスフォーメーション）時代のサプ
ライチェーン・セキュリティ ～サ
プライチェーンにおけるトラスト（信頼）の構築に向けて～：3．
サプライチェーン・セキュリティの脅威と対策の動向」

メインシナリオ
説明資料を読み、手法の説明および実施に当たっての心構えを確認してください
2 シミュレート設定 シミュレート設定の質問に回答してください
サブシナリオに従って、業務委託で実施する対3 大枠合意
策と各対策の実施をどの組織が行うかを決めてください
サブシナリオに従って、誰がどのようにいつ実施
4 詳細合意するか等、具体的なセキュリティ対策を決めてください。
1 説明

２．契約時の業務委託のセキュリティ確保の要件
インシデントの独自調査*1や先行調査*2を基に、要件を分析した

工程1：説明工程の利用者向けドキュメントの一部

攻撃対象ごとの発生割合

サブシナリオ名シミュレート
設定項目
234
5
6
7-9
10

サブシナリオの例

工程２：シミュレート設定
No シミュレート設定
補足資料を参考に、役割分担の基本方針を決めて
1ください
2 電子メールを利用しますか
インターネット閲覧やWebダウンロード等のインター3
ネット利用を行いますか
4 クラウド等の外部サービスを利用しますか
5 無線LANを利用しますか
スマートホンや個人PC等の個人所有機器を利用し
6ますか
7 個人情報や営業秘密等の重要情報を扱いますか
8 重要情報は書類やCD等の物体で扱いますか
9 重要情報はデータとして扱いますか
10 再委託を行いますか

加害リスクを考慮しないと②や③の脅威から守れない！

*1 独自調査・2022年に発生したインシデン
トの攻撃対象の分析
・先進企業のインシデント分析

５．評価
３．既存手法との比較
契約時に広く利用されているセキュリティ対策の合意形成の手法

提案手法

チェックリスト

セキュリティシミュレーション

セキュリティ対策に対する納得度△：委託者の要請
or 確認〇：双方で導出

業務委託のセキュリ
ティ要件への対応△：未考慮〇：考慮

2022年に公表されたインシデントを基に提案手法の有効性を分析
結果１：インシデントの９４％⇒未然防止できた可能性が高い
結果２：インシデントの６％⇒未然防止は困難だが、発生リスクを低減できた可能性が高い★調査対象数：１８件★調査方法
１．各組織のニュースリリースを確認し、2022年に公表されたインシデント数を確認（115件）
２．業務委託に関連するインシデントを抽出（28件）
３．原因情報が提供されているインシデントを抽出（18件）
４．原因から提案手法実施した場合の発生防止やリスク低減の効果の可能性を分析

判断基準