「業務委託におけるセキュリティシミュレーション」
Security Simulation in Outsourcing
2023年2月25日
修士論文・特定課題研究発表会
5515501 髙濱 聡一郎
情報セキュリティ大学院大学 後藤研究室
1

アジェンダ
1.
2.
3.
4.
5.
6.
7.
8.
9.

発表の概要
業務委託に関するサプライチェーン攻撃の実態
業務委託に関するセキュリティ対策の実態
業務委託契約時のセキュリティ対策の合意形成
セキュリティを確保するための要件
既存の取り組みによる解決可能性
業務委託におけるセキュリティシミュレーション
評価
まとめ

2

１．発表の概要
問題意識
研究対象とする業務委託⇒ コールセンターの受付業務などの一般的な業務委託

企業のセキュリティに関する取り組み

業務委託に関するサイバー攻撃＝研究対象とするサプ
ライチェーン攻撃

社会に対する多大な悪影響

目的 ： 業務委託におけるセキュリティの向上
仮説 ： 実効性のあるセキュリティ対策が実施できていないから貢献 ： １． 「業務委託のセキュリティを確保するための要件」 の提示
２． 「業務委託におけるセキュリティシミュレーション」 の提案
３． 提案手法の利用者向けのドキュメントの作成
４． 2022年のインシデント等を基に、対策の実態や提案手法を分析し評価
3

2．業務委託に関するサプライチェーン攻撃の実態
様々な組織でセキュリティ対策が行われているものの、業務委託に関するサプライチェーン攻撃によって、多大な被害が発生している企業の取り組み例

図表1 業務委託の取引先を介したサプライチェーン攻撃

攻撃者

セキュリティ対策の取り組みが進んでいない

受託者
サイバー攻撃委託者

機密情報の漏洩等委託者に被害が発生

・ガイドラインの利用
例：サイバーセキュリティ経営
ガイドライン・セキュリティ認証の取得
例：ISMS、プライバシーマーク
・外部監査の実施
例：SOC2・SOC3

・情報セキュリティ10大脅威 2022 組織の脅威 第三位「サプライチェーンの弱点を悪用した攻撃」がランクイン
図表2 業務委託に関するサプライチェーン攻撃の被害・様々な被害が発生

株式会社NTTデータ経営研究所 「令和3年度サイバー・フィジカル・セキュリティ対策促進事業（企業におけるサプライチェーンのサイバーセキュリティ対策に関する調査）調査報告書」を元に筆者作成

4

3．業務委託に関するセキュリティ対策の実態
業務委託の契約時点で業務委託のセキュリティが確保されていないことを確認＜大企業・中堅企業が委託者となる業務委託＞⇒ 受託者にセキュリティ対策を要請しているものの、その内容は結果責任を求める傾向にある＜中小企業が委託者となる業務委託＞⇒ 受託者にセキュリティ対策を要請している割合が低く、セキュリティ対策の実施率も低い
図表3 セキュリティ対策の要請割合
委託者

セキュリティ対策を要請している割合

大・中堅企業
中小・小規模企業

図表4 大・中堅企業のセキュリティ対策の要請内容
推奨設定等の具体的な対策の要請割合

86.2%

秘密保持契約を求めるといった対策の要請割合

10.1%

86.2%

平均23.1%

株式会社NTTデータ経営研究所 「令和3年度サイバー・フィジカル・セキュリティ対策促進事業（企業におけるサプライチェーンのサイバーセキュリティ対策に関する調査）調査報告書」とIPAの「2021年度中小企業における情報セキュリティ対策に関する実態調査-調査報告書-」を基に筆者作成

図表5 中小企業の被害防止のための組織面・運用面の対策の実施状況

対策の平均実施率＝12.7%

IPAの「2021年度中小企業における情報セキュリティ対策に関する実態調査-調査報告書-」を基に筆者作成

契約時にセキュリティを確保する手法が必要！
5

4．業務委託契約時のセキュリティ対策の合意形成現状の業務委託の契約時のセキュリティ対策の合意形成について示す
各社のセキュリティの取り組み

例４：個人情報保護法
ガイドライン等

図表6 大体の業務委託契約の合意プロセス
IPAの「ITサプライチェーンにおける情報セキュリティの責任範囲に関する調査」を参考に筆者作成

IPA、NTTデータ等の先行研究を参考に筆者作成

図表7 既存のセキュリティ対策の合意手法

セキュリティ対策
以前の意味： 予防対策
近年の意味： 予防対策＋事後対応
本研究での扱いはこちら

6

参考：チェックリストの例
チェックリストは、委託者から受託者に対して、受託者のセキュリティ対策の確認や、委託者が要求するセキュリティ対策をまとめたものとなっていることが多い
図表8 IPAの中小企業の情報セキュリティ対策ガイドラインの付録5より抜粋

7

5．セキュリティを確保するための要件
インシデント事例の独自調査*1や先行調査*2を基に、阻害要因＋制約・条件を分析し、業務委託のセキュリティを確保するための11個の要件を導出
図表9 セキュリティを確保するための要件*1 独自調査・2022年に発生したインシデントの攻撃対象の分析
・先進企業のインシデント分析*2 先行調査・株式会社NTTデータ経営研究所 「令和3年度サイバー・フィジカル・セキュリティ対策促進事業（企業におけるサプライチェーンのサイバーセキュリティ対策に関する調査）調査報告書」
・IPAの「2021年度中小企業における情報セキュリティ対策に関する実態調
査-調査報告書-」
・みずほリサーチ＆テクノロジーズ株
式会社の「令和３年度サイバー・フィジ
カル・セキュリティ対策促進事業（サイバーセキュリティ経営に関する調査）
調査報告書」・小川 らのDX（デジタル・トランスフォーメーション）時代のサプライチェーン
・セキュリティ ～サプライチェーンにおけるトラスト（信頼）の構築に向けて～：3．サプライチェーン・セキュリティの脅威と対策の動向」

8

6．既存の取り組みによる解決可能性各要件に関連する先行研究や事例を確認し、課題を整理
図表10 要件と先行研究の対応

9

7.業務委託におけるセキュリティシミュレーション
業務委託の契約時に対象となる業務委託をシミュレートし、適切なタイミングで、助言や判断材料を提供することで、実効性のあるセキュリティ対策を導出する手法
特徴１： 二段階の合意形成
特徴２： シナリオ（指示や質問）
図表11 業務委託におけるセキュリティシミュレーションの全体像

10

7-1．メインシナリオ
メインシナリオをユーザーに示すことで、各工程を円滑に進めることが期待できる

図表12 メインシナリオの内容

11

7-2．工程1
契約後の合意形成で実効性のあるセキュリティ対策が合意できるように、本手法の説明および実施に当たっての心構えを利用者に伝える
図表13 工程１の説明資料

12

7-3．工程2
対象とする業務委託をシミュレートするための情報を収集する
図表14 工程2のシミュレート設定の確認項目

図表15 No1の補足資料の一部※本確認項目は、下記のドキュメントを参考に、前述の業務委託のセキュリティ確保の要件が満たされるように作成した・中小企業の情報セキュリティ対策ガイドライン第3版

13

7-4．工程3と工程4（その１）
第3の大枠合意の工程では、実施する対策と担当組織を合わせ、第4の詳細合意の工程
では、具体的なセキュリティ対策について合わせる
図表16 工程3と工程４で用いるサブシナリオの一覧

本サブシナリオは、下記のドキュメントを参考に、前述の業務委託のセキュリティ確保の要件が満たされるように作成した・中小企業の情報セキュリティ対策ガイドライン第3版
・個人情報の保護に関する法律についてのガイドライン
（通則編）

14

7-5．工程3と工程４（その２）
利用者にシナリオ、対策例、判断材料、参考情報を提供することで、実効性のあるセキュリティ対策の導出を促進する
図表17 工程３と４のサブシナリオの例

15

8．評価
提案手法の有用性について、４つの方法で分析し評価した

１．既存手法（チェックリスト）との比較
２．2022年のインシデントを基にした分析
３．代表的なインシデント事例を基にした分析
４．先進企業のインシデント事例を基にした分析

16

8-1．既存手法との比較「業務委託におけるセキュリティシミュレーション」は、チェックリストよりも、業務委託のセキュリティを確保するための手法として適している
図表18 既存手法との比較

提案手法

委託者受託者間の違いや関係性に考慮する等の業務委託の要件への対応

17

8-2．2022年のインシデントを基にした分析
各事例で「業務委託におけるセキュリティシミュレーション」を実施した場合の効果を分析
１．分析対象のインシデントの９４％は、提案手法を実施していた場合は未然に防止できていた可能性があることを確認
２．メール関連のインシデントである分析対象のインシデントの６％は、未然に防止できたと言い切れないものの、発生リスクを低減できたと考えられる
図表19 提案手法による解決可能性の確認結果★調査対象数：１８件★調査方法
１．各組織のニュースリリースを確認し、2022年に公表された
インシデントを確認（115件）
２．業務委託に関連するインシデントを抽出（28件）
３．原因情報が提供されているインシデントを抽出（18件）
４．原因から提案手法実施した場合の発生防止やリスク低減の効果の可能性を分析
18

8-3．代表的なインシデント事例を基にした分析
本事例の委託者と受託者のやり取りの中で、受託者が委託者の要求どおりに従わなかったことが確認されている＜本手法を利用していた場合＞・研究情報が被害対象に含まれることを未然に防げたと考えられる・意識合わせに虚偽の情報を用いる等の行為については、完全に防止することは困難
図表20 三菱電機のインシデント事例

重要情報の取得・利用・保存といった取扱に関する認識合
わせにより、未然防止できたと考えられる

虚偽の情報を用いた場合は、完全防止は困難

19

8-4．先進企業のインシデント事例を基にした分析＜本手法を利用していた場合＞・インシデントが発生したとしても、契約解消を回避できた可能性が高い
ISMSやSOC2などの取り組み

業界標準の認証・認可に準拠

受託者
Sitel

委託者
Okta

攻撃者

サイバー攻撃受託者
Sitel
委託者の業務情報の漏洩

様々なセキュリティの取り組みを行っている
Sitelを信頼し、Oktaは業務を委託

業務委託契約の解消

委託者
Okta

＜契約解消の要因＞
１．報告書の提出が遅さ
２．報告書の内容が不十分
３．ログ収集の遅さ

契約後の合意形成のインシデント対応のサブシナリオを活用することで、契約解消の要因となった3点について、契約の時点で具体的に認識合わせができたと考えられる
20

9．まとめ＜本研究の貢献＞
１． 「業務委託のセキュリティを確保するための要件」 の提示
２． 「業務委託におけるセキュリティシミュレーション」 の提案
３． 提案手法の利用者向けのドキュメントの作成
４． 2022年のインシデント等を基に、対策の実態や提案手法を分析し評価＜今後の課題＞
１．取引先管理の負荷低減への対応
２．提案手法の工程３，４で使用するサブシナリオの十分性
３．提案手法を使用した場合に発生する利用者への負担の評価
４．中小企業と小規模企業者の扱い＜提案手法の更なる実効性向上のためには＞
１．委託者受託者の各組織内部の合意形成が重要
２．セキュリティ意識の向上のため、経営者の意識改革、組織文化、法制度等の研究が重要21

参考1：要件と特徴の対応

22

参考2：説明工程の心構えと要件・特徴との対応

23

参考3：セキュリティ対策の役割分担

24参考4：業務委託における難易度と役割分担の関係

25