平成 22 年度
内閣官房情報セキュリティセンター委託調査

情報システムのサプライチェーンにおける情報セキュリティに関する調査

財団法人未来工学研究所

平成 23 年３月

1

情報システムのサプライチェーンにおける情報セキュリティに関する調査
1. 情報システムのサプライチェーンのセキュリティ問題の概要

1.1

情報システムのサプライチェーンの定義

1.2 サプライチェーンのセキュリティ課題が登場した背景

1.3 情報システムのサプライチェーンの概念図
2. サプライチェーンの情報セキュリテ問題の最近の動向と将来予測
2.1 米国におけるサプライチェーンの情報セキュリティの最近の動向と将来予測
2.1.1 米国の商務省・NIST による情報サプライチェーン管理政策の近年の動向
2.1.2 米国の国土安全保障省による情報サプライチェーン管理政策の近年の動向
2.1.3 国防総省による情報サプライチェーン管理政策の近年の動向
2.1.4 大統領のサイバーセキュリティ・イニシアティブにおけるサプライチェーン課題
2.1.5 NISTIR 7622 文書

2 .1.6

日本企業に関わる米軍サプライチェーンの情報セキュリティ課題の一事例

2.2 欧州におけるサプライチェーンの情報セキュリティの最近の動向と将来予測
2.2 欧州におけるサプライチェーンの情報セキュリティの最近の動向と将来予測
2.2.1 ENISA の研究開発課題におけるサプライチェーンの情報セキュリティの提起
2.2.2

ENISA Quarterly Review におけるサプライチェーン課題の提起

2.2.3

EU の研究開発計画（PRCENT）における「サプライチェーン統合」の登場

2.3 わが国におけるサプライチェーンの情報セキュリティの最近の動向と将来予測
2.3.1 わが国における近年のサプライチェーン問題の認識の推移
2.3.2 「第２次情報セキュリティ基本計画」におけるサプライチェーン課題の認識
2.3.3 「サイバーセキュリティと経済」研究会におけるサイバーセキュリティ課題の認識
３．サプライチェーンが重要インフラの情報セキュリティにもたらす影響の考察
3.1 米国における考察

3.1.1

サイバーセキュリティ・イニシアティブにおけるサプライチェーン関連技術開発

3.1.2 国防総省の視点から見たサプライチェーンリスク管理の標準化
3.1.3
3.2

IT 技術の歴史的発展から見たサイバー・サプライチェーンへの一考察
欧州における考察

3.2.1 欧州サイバー研究開発計画におけるサプライチェーン統合についての記述
3.3 わが国における考察
3.3.1 「サイバーセキュリティと経済」研究会における山口委員の議論
4. 今後の取り組みに向けた提言
5．文献一覧

2

１．サプライチェーンの情報セキュリティ課題の概要

1.1

サプライチェーンの定義

2010年6月に公表されたNISTIR 7622ドラフト、”Piloting Supply Chain Risk Management
Practices for Federal Information Systems”は、サプライチェーンに以下のような簡潔な定義を与えている。
本報告書において、サプライチェーンとは、製品やサービス（サブエレメントを含む）を生産し、移動して、サプライヤから組織の顧客に供給するための組織、人、活動、情報及び資源を意味する。

http://csrc.nist.gov/publications/drafts/nistir-7622/draft-nistir-7622.pdf
1.2 サプライチェーンの情報セキュリティが課題として登場した背景
サイバー・サプライチェーン・セキュリティという概念は、1980 年代末に米国で導入された Trusted Product Evaluation（高信頼製品評価）制度に始まる。当時の米国の関心は、防衛関連装備の調達において、そのコンポーネントや部品に民生品の採用が進んだ（いわゆる COTS 化1）ことによって、民生品の信頼性が問われるようになったことにあった。また、この頃に日本や欧州各国などの技術水準の上昇によって、米国産品だけによる装備品のコンポーネントや部品の調達が困難になったという事情（調達のグローバル化）もその背景にあった。
NCSC-TG-002, Trusted Product Evaluation, A Guide for Vendors, March 1988

http://www.fas.org/irp/nsa/rainbow/tg002.htm
その後、1990年代後半以降のIT技術の劇的な発展過程で、サーバ、PC、ルータ、ICチップなどのIT関連ハードウェアの価格が下落し、安価な民生用品が防衛装備などの政府調達システムに大量に採用されることとなり、ソフト面また、WindowsやLinuxなどのオープンOSや汎用ソフトウェアが、大型メインフレーム時代以来のいわゆるレガシーシステム中に大量に導入されることとなった（IT調達のオープン化）。
さらに2001年の9.11事件において重要インフラがテロ攻撃の手段や対象になり、その防護が国家的重要課題として浮上し、その後も相次いだ政府システムや重要インフラへのサイバー攻撃が、サプライチェーンのセキュリティ課題の重要性を一層広く認識させることなった。
以上に述べたように、COTS化、グローバル化、オープン化という三つの背景と、重要インフラへの攻撃の頻発が相まって、この課題の重要化に至ったといえる。
本報告書では、サプライチェーンのセキュリティという幅広い概念のうち、情報シス
テムに関わるサプライチェーンのセキュリティについて主として論及する。また、この課題が近年米国において急速に関心を集め、対策も次々と公表されてきたので、本報告
1

COTS＝Commercially off the Shelf, 民間が開発したソフトウェアを政府部門が購入してそのまま使
用すること

3

書では主に米国
国の動向を中中心として叙叙述し、欧州とわが国のの動向についいても簡単にに触れることとする。
サプライチェーンの概
概念図
1.3 サ
米国で情報シシステムサププライチェー
ーンのセキュ
ュリティにつついて論及さされるとき、、しば
しば用用いられる概念図が次次ページに示示した図表1-1である。発注者・運運用者とシスステム
構築を依頼されれたプライムム・コントラ クタ（システ
テム・インテテグレータ）から見たととき、情報システムが今日どのよように製作さされ運用されれているかをを、この図ははよく示してていると考えられる。図表1-1はや
やや読み取りりにくいのでで、次ページ
ジにおいて図図表1-2としして翻訳して再掲した
た。
図表
表1-1 アメ
メリカにおけけるサプライイチェーンのの概念図

4

図表 1-2

サプライチェーンの概念図（翻訳）

プログラ

プライ

再使用

レガシーソフトコントラクター

ム・オフィ

ム・コント

（リユ

ウェア

（サプライヤ）

ス

ラクタ

ース）

その他のプログコントラクター

（発注・運

（システ

ラム

（サプライヤ）

用者の中

ム・インテ

外注（ア

サプライヤ

米国内（のサプライヤ）

心部局）

グレータ）

ウトソ

グローバル（に展開しているサプライヤ）ーシン

外国（のサプライヤ）

不明のサプライヤ群

不明のサプライヤ群

グ）
内製（イ

海外

外国に立地する開発者

ンハウ

外国の開発者ス開発） 米国内

米国内の開発者

調達（購ソフトウェア

入）

サプライヤ
COTS

サプライヤ

再使用

不明のサプライヤ群

外注

不明のサプライヤ群

内製

不明のサプライヤ群

調達

不明のサプライヤ群

ENGINEERING FOR SYSTEM ASSURANCE Version 1.0 National Defense Industrial Association
http://www.ndia.org/Divisions/Divisions/SystemsEngineering/Documents/Committees/
Systems%20Assurance%20Committee/2008/SA-Guidebook-v1-Oct2008-REV.pdf
上の二つの図が示しているように、情報システムのサプライチェーンが、システムの下部要素に行けば行くほど、その開発が、調達者である政府機関やそのプライム・コントラクタであるシステム・インテグレータの目を離れ、開発者の実体が定かではない国内外のサプライヤの手にゆだねられるという現実が存在している。政府情報システムの調達や開発におけるこのような現状の下で、システムの情報セキュリティをいかに担保するかが、
情報システムのサプライチェーンにおける情報セキュリティ課題の本質であると考えられる。

5

２．サプライチェーンの情報セキュリティ問題の最近の動向と将来予測
2.1 米国におけるサプライチェーンの情報セキュリティの最近の動向と将来予測
2.1.1 米国の商務省・NIST による情報サプライチェーン管理政策の動向
1.2 で述べたサプライチェーンにおける COTS の拡大、グローバル化、オープン化という三つの傾向を背景に、1996 年に施行された「情報技術マネジメント改革法」の第 5131 条
で、連邦政府の調達する IT 機器に関わる「標準とガイドライン」の設定が求められている。
http://govinfo.library.unt.edu/npr/library/misc/s1124.html
また、9.11 テロ後の 2002 年には、「2002 年連邦情報セキュリティマネジメント法＝法律
107 347」が制定された。
http://csrc.nist.gov/drivers/documents/FISMA-final.pdf
この二つの連邦法の下で商務省・NISTの手で策定されたのが、2004年2月公布の「連邦情報処理規格＝FIPS199」、及び2006年3月公布の「FIPS200」であった。FIPS199は「連邦政府の情報および情報システムに対する最低限のセキュリティ分類規格」を定めたものであり、FIPS200は「連邦政府の情報および情報システムに対する最低限のセキュリティ
要求事項」を定めたものである。この二つの規格については、米国政府の調達に応じる外国企業が順守しなければならない情報セキュリティ基準として、わが国の情報処理機構（IPA）の手によって訳出されている。
http://www.ipa.go.jp/security/publications/nist/documents/FIPS-200-J.pdf
http://www.ipa.go.jp/security/publications/nist/documents/FIPS-199-J.pdf
さらに、2009 年 8 月には NIST から「連邦情報システムと組織に推奨されるセキュリティコントロール」と題する特別出版 800-53 第 3 版が刊行された。239 ページに及ぶ大部のNIST800-53 文書は、FIPS199 と FIPS200 と並んで、連邦政府の情報システムの調達に際するセキュリティ順守の基準を定めるものとなっている。NIST800-53 は下の図表 2-1 を掲
げて、FIPS199 と FIPS200 と連動した情報リスクマネジメント戦略のフレームワークのサイクルを描いている。

6

図表 2-1

NIST
T800-53 が示示すリスクママネジメントト・フレームムワーク

情報システム
ムと組織に推推奨されるセセキュリティ
ィコントローール、NIST 特別出版 800-53
連邦情
第3版
版、2009 年 8 月
http:://csrc.nist.g
gov/publicattions/nistpu
ubs/800-53-R
Rev3/sp800-53-rev3-fin
nal.pdf
上の図図の示すリス
スクマネジメメント・フレレームワーク
クのサイクルルは、以下のの６つのステテップ
から成成っている。
。
ステップ１、FIPPS 199 / SP
P 800-60 に基基づいた情報報システムのの分類基づいたセキキュリティコ
コントロール
ルの選択
ステップ 2、FIPS 200 / SP 800-53 に基ールの実施
ステップ 3、SP 800 Series に基づいた セキュリティコントロー
基づいたセキキュリティコ
コントロールルへのアクセセス
ステップ 4、SP 800 53A に基基づいたセキ ュリティ情報報システムのの認可
ステップ 5、SP 800 37 に基基づいたセキキュリティコ
コントロール
ルの監視ステップ 6、SP 800 53A に基お、この項やや以下の各項
項では政府調調達の情報シシステムのササプライチェ
ェーンを対象
象としなおた記述
述が多いが、、これらの政政府調達に関関わる規格ややグッドプラクティスな どは、民間部
部門、
7

重要インフラの所有者・管理者にももほぼそのままま準用でききることを、 ここで確認
認して
特に重
おきた
たい。
2 米国の国土土安全保障省
省による情報
報サプライチ
チェーン管理政策の近年の
の動向
2.1.2
米国
国では、重要要インフラ・
・キー資源セセクター（CIIKRS）としして 18 の分野
野が定められれており、そそれぞれに担
担当官庁が決決められていいる。農業（農農務省と健康康保健省）、防防衛産業基盤
盤（国防総省省）、エネルルギー（エネルルギー省）、保健衛生（健康保健省））、国家的記記念物（内務省）、
銀行と財務（財務務省）、水（（環境庁）で あり、残りの 11 分野（化学、商業
業施設、重要要製造
ダム、緊急時時サービス、原子炉・核
核物質・核廃廃棄物、情報報技術、通信信、郵便と海海運、業、ダ運輸シシステム、政政府機能）は
はすべて国土土安全保障省
省が担当官庁庁となっていいる。
こののうち、情報報技術と通信信が DHS ののサイバーセキュリティ・通信局の担担当であるがが、その下にに置かれたササイバーセキキュリティ部
部がスポンササーしている
るのが、ソフフトウェアアシュアランス(SwA)でであり、そのの下に調達ワワーキンググループが置かれている。
。このグルーープが8 年 10 月にソフトウェア
アの調達と外外注のためのの参照ガイド
ドとして提出
出したの
2008
が、””Soft-ware Assurance in Acquisi tion”である。
このの参照ガイドは、ソフト
トウェア保証
証とソフトウウェア調達ププロセスの関関係を図表 2-2 のようにに図示していいる。ソフトトウェアの調調達者側には
は、計画、契契約、監視と 検収、フォロー
オンのの各フェイズズがあり、ササプライヤ内内部で進行すするソフトウウェア開発ののライフサイクル
プロセ
セスには、要要求分析、設設計、建設、 統合、試験験等のプロセセスがある。 調達者側が調達
プロセ
セスをガイドラインに沿沿って進め、 サプライヤ
ヤ内部の進行
行との協働性性を高めることを
下図はは主張していいるわけであある。
トウェア保証
証とソフトウウェア調達ププロセス
図表 2-2 ソフト

Softwware Assuraance in Acq
quisition: MMitigating Risks to thet Enterprrise
httpss://buildseecurityin.u
us-cert.gov /swa/downlo
oads/SwA_in
n_Acquisitiion_102208.pdf

8照ガイドは、、調達者が調調達するソフフトウェアを
を適正評価 （デューデリ
リジェ
さらにこの参照）する際の、調査表の作作成を下の図図表 2-3 のように例示している。ソフ
フトウェアのの歴史
ンス）とライ
イセンスから始まりセキ
キュリティ履履歴まで、評
評価対象とななる部門ごととに優先順位
位を定め、各各ソフトウェ
ェアの評価ををスコアリン
ングし、各ソソフトウェアアにウェイト
ト付けを行っって、総合評評価を算出すするという方方式である。
下図
図の各評価項
項目においてて、「ソフト ウェアセキュリティの自自覚と訓練」、「ビルトイインソ
フトウェアの防衛衛」「（ソフトウェア）保
保証の宣言ととそのエビデデンス」、「適適時性と脆弱弱性緩ティの実績」など、情報 セキュリティに係る領域
域が評価の対
対象になってている和」「セキュリテ
が注目されるる。
ことが図表 2.3 調達ソ
ソフトウェア
アのスコアリ ングのサンプル

またた、上の図表表 2-3 と同じじ手法を用いいたデユーデデリジェンス
ス用のスコア
アリング調査票が、COT
TS ソフトウェ
ェア、オーププンソース・ソフトウェエア、カスタ
タム・ソフトトウェア、GGOTS2
いう 4 つの調調達ソフトウ
ウェアの種類
類別に提供さされている。
ソフトウェアとい2Govvernment off the shelf, 政府
府の他部門が開開発したソフトウェアをそのまま利用す ること。

9

そのの後、2009 年に国土安安全保障省は 、重要インフラのセキュュリティに係係る包括的文文書として、、”Nationall Infrastruc
cture Proteection Plan Partneringg to enhancee protectio
on andresilliency”を提提出している
る。この文書
書の大きな特特徴として、重要インフ
フラのセキュュリテ
ィを担担う要素として、物理的的セキュリテティ、人間的的セキュリテティと並んでで、サイバーーセキュリテ
ティを三本柱柱として強調調しているこことが注目さされる。
示す重要インンフラの強化
化改善サイククル
図表 2-4 国土安全保障省が示

to enhancee protection and“Nattional Infrrastructuree Protectioon Plan - PartneringPresilliency”
http://www.dhs.gov/xlibraary/assets/NNIPP_Plan.p
pdfの報告書は、、サプライチチェーンの情情報セキュリリティについいて特出してて項を立てててはい
上のないがが、例えば、、「重要イン
ンフラの最前 線の防衛を樹樹立する継続続的努力は、 現在の脆弱弱性の減少と侵入の検出
出、情報活動動とサプライイチェーンセセキュリティ
ィの強化によよる全分野的的な脅防衛、研究開開発と教育をを強化するこことによる未未来の環境をを概観するこことなどによ
よって
威の防
なされ
れる」
（同報
報告書 119P、下線は引用
用者による）といったように、サプラ
ライチェーンンのセ
キュリティ活動のの必要が述べべられているる。
による情報ササプライチェ
ェーン管理政政策の近年のの動向
2.1.33 国防総省に1.2で触れたよ
ように、米国
国におけるサ プライチェー
ーンのセキュ
ュリティに関関する関心はは元々政策の一環ととして生まれれたものであある。こうしした関心を防防衛装備生産
産に生かすために、
国防政
米国防
防衛産業協会会（NDIA）はは2008年10月
月に、“ENGIINEERING FO
OR SYSTEM ASSSURANCE Version
1.0”を公刊してて、防衛関連
連産業におけける情報シス
ステムセキュリティのガガイダンスとした。
の報告書ではは、サプライイチェーンののセキュリテティ課題は大大きく取り上上げられている。
この
サプライヤ・アシシュアランススの項では、 サプライチ
チェーンの情情報セキュリ ティ課題が述べ10

られており、特に以下の5項目について詳しくガイダンスが定められている。
①システム要素の重要性②サプライヤのリスク評価③オフザシェルフ（OTS）COTS 及び GOTS
④カスタムシステム⑤信頼できる IC 半導体
http://www.acq.osd.mil/se/docs/SA-Guidebook-v1-Oct2008.pdf
例えば、①システム要素の重要性評価については下の図表 2-5 による分類が求められている。
図表 2-5 システム要素の重要度評価基準
重要度
最高

定義

許容度

例

システム内のシステム又は要秒単位か

オンラインの防衛関連トランザ

素の不具合が、直接ミッション

ら分単位クションへの DoS 攻撃

システム内のシステム又は要分単位か

IT の不具合による駐屯地での停素の不具合が、システムのミッ

ら時間単

電

ション/ビジネスの能力を深刻

位/ビジネスの能力を低下させ、ミッション/ビジネスの失敗を
もたらす。
高い

に低下させる可能性がある
中間システム又は要素の不具合が、 時 間 単 位

IT システムの不具合による都市システムのミッション/ビジネ

から日単

交通信号の機能喪失

スの部分的または特定可能な位能力を低下させる可能性がある
低い

システム又は要素の不具合が、 日単位
不都合をもたらす可能性がある

上の表によって決定された重要性レベルに応じて、必要なソフトウェアアシュアランス
を与える必要があり、ソフトウェアの重要性のレベルについては、”DoD Instruction 8500-2”
が各々の定義を与えているとしている。
2.1.4 大統領のサイバーセキュリティ・イニシアティブにおけるサプライチェーン課題2009 年 10 月、オバマ大統領はサイバーセキュリティに対する包括的な政策を発表した
11

（Comprehensive National Cybersecurity Initiative＝CNCI）。このなかで大統領府は米国のサイバーセキュリティに関わる 12 の課題を指摘し、国家政策の焦点を明らかにしている。「サプライチェーンのリスク管理」は、第 11 番目の課題として登場している。下の図
表 2.6 に CNCI の指摘する 12 の課題を掲げる。
図表 2-6CNCI の掲げるサイバーセキュリティ 12 の課題#1

信頼できるインタネット接続を備えた単一の連邦政府ネットワークの管理#2

連邦政府システム全体に及ぶセンサーによる侵入検出システムの展開#3

連邦政府システム全体に及ぶ侵入防止システムの展開の追及#4

研究開発（R&D）努力の調整と再指向#5

状況認識力の強化のために現存するサイバー運用センターを結合させる#6

政府全体に及ぶサイバー・カウンターインテリジェンス（CI）プランの開発と実施#7

米国の機密ネットワークのセキュリティ強化#8

サイバー教育の拡充#9

耐久性のある「飛躍的」技術、戦略、計画を定義し開発する#10

耐久性のある抑止の戦略と計画を定義し開発する#11

グローバルに多数に枝分かれしたサプライチェーンのリスク管理#12

重要インフラドメインへのサイバーセキュリティの拡大への連邦政府の役
割の定義

The Comprehensive National Cybersecurity Initiative、white house, Oct. 2009http://www.whitehouse.gov/cybersecurity/comprehensive-national-cybersecurity-initiative#11 のサプライチェーンのリスク管理については、「サプライチェーンをよりよく管理し、リスクを緩和する強固なツールセットを提供し、連邦政府の技能、政策、プロセスを強化する」ことが目標として掲げてられている。
2.1.5 NISTIR 7622 文書（DRAFT）
2010 年 6 月、NIST は「連邦情報システムのためのチェーンリスク管理の実施を先導する」と題する NIST IR(Interagency Report)7622 の DRAFT（草案）を公表した。NISTIR
7266 は草案とはいえ、現時点においてサプライチェーンのセキュリティに関する最新文献であり、サプライチェーンリスク管理に関する極めて詳細な文書となっているので、本項でその概略をやや詳細に紹介する。
この報告書は３章構成になっており、１章で報告書の性格を紹介し、２章がサプライチ
ェーンリスク管理の手段、３章がサプライチェーンリスク管理の対策となっている。以下、
12

各章ごとに図表の形で大略を抄訳する。
図表 2-7 NISTIR 7266 の目的、対象、背景、ライフサイクル基準、前提条件
1.1 目的

本書の目的は、連邦政府規定によりインパクトレベルが高いと区分された
情報システムへのサプライチェーンの脅威を低減するための対策リストを提供すること。

1.2 対象

サプライチェーンには、製品のライフサイクルである設計、開発、調達、システム統合、システム運用及び廃棄が含まれる。人、プロセス、サービ
ス、製品やその構成要素は、すべてサプライチェーンに影響しうる。本書
は、そのようなライフサイクルを通じたサプライチェーンリスクへの対処を対象とする。

1.3 背景これまで本報告書で記述してきたので省略する

1.4 ライフサイ

ラ イ フ サ イ ク ル 基 準 に つ い て は NISTSP 800-64 Rev2

クル基準

Considerations in the System Development Life Cycle を参照する。

Security

http://csrc.nist.gov/publications/nistpubs/800-64-Rev2/SP800-64-Revis
ion2.pdf
1.5 成功するササプライチェーンリスクマネジメントを効果的に実施するには、システム

プライチェー

設計や運用の基本的な取組が前提となる。例えば、セキュリティ要件をラ

ンリスク管理イフサイクルの初期から組み込むこと、途中経過を適切に記録すること、の前提条件

危機管理計画にサプライチェーンを位置付けること、委託先を適切に管理すること等が前提となる。

2-8 NISTIR 726 の示すサプライチェーンリスク管理の手段
2.1 サプライチ

サプライチェーンリスクマネジメントを機能させるには、情報システム

ェーンリスク

セキュリティ、情報システム管理、調達、法務の各部門によるチームア

管理能力

プローチが必要である。

2,2 役割と責任

サプライチェーンに関わる役職や部門には次のようなものがある：経営者、CIO、契約管理者、契約担当者（技術担当）、法務アドバイザ、リスク担当役員、事業責任者・担当者、情報システム管理者、CISO、情報シ
ステムセキュリティ管理者、IT 投資役員会。

2.3 サプライチ

サプライチェーンリスクマネジメント機能の実施に当たっては、第 1 に、ェーンリスクサプライチェーンリスクを特定し、コスト、性能、スケジュール等のリ管理能力の実スクとのトレードオフを行ってサプライチェーンリスクマネジメントに施関する要求を定める（第 3 章は、サプライヤやインテグレータに対する一般的な又は技術的な要求のソースとして使用できる）。第 2 に、可能性
13

のあるサプ
プライヤを特特定し、市場
場分析を行う。第 3 に、 調達、計画
画、実
施、契約に
について法務
務部門や調達達部門と調整整を行う。そそれ以降も継継続的にリスクマ
マネジメントトのモニタリリングを行ううことが必要要である。連連邦政
府規定によ
よりインパククトレベルがが高いと区分
分された情報報システムはは、上記すべてをを実施しなくくてはならなない。
図表 2-8 NISTIR
R 7266 の図示するサプ ライチェーン
ンリスク管理理能力

図表 2-9NIST
TIR 7266 の示すサプラのイチェーンリスクマネジ
ジメント対策
策3.1

インテ
テグレータとサプライヤ
ヤの活動を調達者から見てて最大限可視
視化する

3.2

使用し
している構成成要素の機密
密性を守る

3.3

サプラ
ライチェーン
ンの保証を要要求に組み込む

3.4

信頼性性の高い構成成要素を選定
定する

3.5

多様性
性を取り入れれる

3.6

重要ななプロセスと構成要素を 特定し、防護
護する

3.7

防護性
性の高い設計
計にする

3.8

サプラ
ライチェーン
ン環境を防護
護する

3.9

構成要
要素へのアクセスや公開開を制限するシステム構成
成にする

3.10

外部サ
サービスの利利用やメンテ ナンスを正規に扱う

3.11

システ
テム開発のラライフサイク ルを通じて試試験を実施す
する

3.12

システ
テム構成を管
管理する
14

3.13

人をサプライチェーンの一部と考える

3.14

サプライチェーンに関する意識啓発、人の教育・訓練を行う

3.15

サプライチェーンの配送メカニズムを強化する

3.16

運用システムを防護し、モニタし、監査する

3.17

要求の変更について交渉する

3.18

サプライチェーンの脆弱性を管理する

3.19

ソフトウェア更新時やパッチ適用時のサプライチェーンリスクを低減する

3.20

サプライチェーンインシデントに対応する

3.21

廃棄時のサプライチェーンリスクを低減する

2 .1.6

日本企業に関わる米軍サプライチェーンの情報セキュリティ課題の一事例

この項では、調達システムオープン化およびそのサプライチェー問題の一例として、
米国空軍研究所のスーパーコンピュータシステムに関わる事例を紹介する。
米国ニューヨーク州ローマ市に立地する空軍研究所は、そのスーパーコンピュータシ
ステムの演算クラスタの一部として、約1700台のソニー製PS3（各160GB）を購入し、Linux上で動く500テラFLOPSのスーパーコンピュータクラスタとした。このスーパーコンピュータの用途は、合成開口レーダー（SAR）の画像情報処理である。PS3の購入
価格は総額66万3000ドルであり、この価格はインテル社製のXeonを用いたクラスタ構
成よりも一桁安価なコストであるという。
しかし、米空軍が購入契約を結んだ数カ月後、SonyはPS3のOS（gameOS）のアッ
プグレードを行うとともに、今後PS3はLinuxをサポートしないと発表した。空軍研究所のシステムはPS3ネットワークから切り離されているので、自動的にファームウェア
を書きかえられる心配はないが、コンポーネントが故障して返送修理をメーカーに依頼した際にファームウェアが書きかえられ、Linuxが動かなくなることが心配されている。
下に米空軍スーパーコンピュータシステムの写真と、この問題について論じた２つのメ
ディア記事を情報源として挙げた。

15

図表 2-10

米空
空軍スーパー
ーコンピューータシステムムの一部に採採用された PS3

The iinitial test clusterc(souurce: US Airr Force) ]Air F
Force may sufferscollateeral damagge from PS3 firmware update，arsus technical, July
20100

http:://arstechniica.com/gam
ming/news//2010/05/ho
ow-removinng-ps3-linu
ux-hurts-thee-airforcee.ars
http:://www.4ga
amer.net/ga
ames/017/G
G001762/20101118052//
2.2

欧州におけ
けるサプライチェーンの情
情報セキュリティの最近
近の動向と将将来予測

1 ENISA の研究開発課題
題におけるササプライチェ
ェーンの情報報セキュリテ
ティの提起
2.2.1
E
ENISA は 20004 年 3 月にに設立されたたギリシャにに本部を置く欧州連合（（EU）の機関関であり、ネネットワーククセキュリテティ及び情報報セキュリテティに関する
る予防・対応
応能力を促進進することを任務としてている。EU 加盟国およ び欧州諸機関へ助言や勧勧告を行うととともに民間
間企業
業関係者とのの連携を促進進している。
や産業
そのの ENISA がサプライチ
がチェーンの情情報セキュリリティに関わ
わる課題を認認識し始めたのは、
ENIS
SA の文献にによる限り、2009 年頃かからだったよように思われれる。ENISA
A は 2009 年の
年 3月頃かから、次世代代のネットワ
ワーク関連のの技術開発課
課題を探求すする PROCENT （Prioritie
es forReseaarch on Currrent & Eme
erging Netwwork Technol
logies）と称
称するプロジ
ジェクトを推推進してきた
た。ENISA の文献を追うのう限り、PROCCENT のエキス
スパートグルループ（EG） において、サプ
ライチ
チェーンのリ
リスク管理問問題が浮上ししていったよようである。
http://www.enissa.europa.e
eu/act/res/ technologie
es/procent//eg1?searchhterm=procent
http://www.enissa.europa.e
eu/act/res/ technologie
es/procent?
?searchtermm=procent

162.2.2ENISA Quarterly Review におけるサプライチェーン課題の提起

ENISA は４半期毎のレビュー（ENISA Quarterly Review）を刊行しているが、その 2010
年第１号（2010 年 3 月発行）において初めてサプライチェーンについての議論が行われている。以下、「サプライチェーンの統合」と題する、スラボミール・ゴルニアクの論文が特筆している「サプライチェーン統合にともなう課題」と「サプライチェーンリスクのキー
ファクター」を紹介する。同論文は課題として７点、キーファクターとして４点を指摘している。
ENISA Quarterly Review, vol. 6, no. 1
http://www.enisa.europa.eu/publications/eqr/issues/eqr-q1-2005-vol.-6-no.-1
・サプライチェーン統合にともなう幾つかの課題① グローバルに分散したサプライチェーン（人、プロセス、技術）の複雑な性格② ICTサプライチェーンに共通したガイドラインの欠如③

統計的な確信レベルとITエコシステム全体を通じて統合性を認証するツール、プロセ

ス、コントロールの欠如④

エンドユーザにとっての非効果的な製品評価の方法論と技術⑤

偽造や偽装によるシステムへの侵入を検出し、または打破できる、幅広く適用できる

ツール、テクニック、プロセスの欠如⑥

購入によって生産され運用・使用されている、異なったタイプの製品の統合を維持するための協同的アプローチの欠如。
⑦ ICTの各種の分野を越えた統合的要求の調和を引きだし得る、共通のビジネスモデルの欠如。
・サプライチェーンリスクのキーファクター①

生産、配送、購入、導入および導入された製品とシステムの維持などの全サプライチ

ェーンの設計を通じて、継続的に実行され明確に定義された製品とサービスへの要求②

アップストリームの要求を遵守したコンポーネントの評価と実証のための方法論③

ソルージョンの組立と導入時、及び製品の適切な（定義されるべき）ライフサイクル

時期における、ハードウェアとソフトウェアのコンポーネント・パーツの出自（確認された起源）と真実性を評価する能力。
④

その元来の意図された利用モデル全体を通じた、システム、コンフィギュレーション、

運用パラメータの統合性を防護し維持する手段
2.2.3

EUの研究開発計画（PRCENT）における「サプライチェーン統合」の登場

2010年の4月、EUは先に触れた研究開発の優先分野を特定したPROCENTと称する情報セキ
ュリティ関連研究開発プロジェクトを公表した。この報告書では、今後３～５年の優先開17発課題として５つの分野が挙げられ、サプライチェーンの統合はその第５番目に登場している。これら５つの分野とは、①クラウド・コンピューティング、②リアルタイム検出・診断システム、③将来型無線ネットワーク、④センサネットワーク、⑤サプライチェーンの統合、である。なお、⑤サプライチェーン統合に関する課題の詳細については、本報告書の3.2で述べることとする。
“Priorities for Research on Current and Emerging Network Trends”
http://www.enisa.europa.eu/act/it/library/deliverables/procent
2.3 わが国におけるサプライチェーンの情報セキュリティの最近の動向と将来予測
2.3.1 わが国における近年のサプライチェーン問題の認識の推移
経済産業省が「設計と製造の無駄を見える化」を掲げて取り組んできた「サプライチェーン省資源化連携促進事業」のように、わが国ではサプライチェーンは長く物流やモノづ
くりに関わる問題としてとらえられることが多かった。オープン化・グローバル化が進む
サプライチェーンを情報セキュリティ問題と結び付けて考えることは、最近に至るまでほとんど行われてこなかった
2.3.2 「第２次情報セキュリティ基本計画」におけるサプライチェーン課題の認識
わが国の情報セキュリティに関する基本プランは「情報セキュリティ基本計画」である
が、2006 年の「第 1 次基本計画」においてはサプライチェーンのセキュリティへの言及はまったくなかった。その後 2009 年２月に樹立公表された「第２次基本計画」において、幾つかの箇所でサプライチェーンの情報セキュリティについての論及がなされるに至った。
サプライチェーンの課題は、対策実施４領域の「企業」の項、横断的な情報セキュリテ
ィ基盤の「国際連携・協調」の推進の項で、「企業の領域においては、グローバル化に伴う企業活動の細分化、専門化が更に進展し、海外へのアウトソーシング、直接投資が拡大している。製品・サービスは、少なからぬ部分が IT を活用したグローバルなサプライチェーンを経て製造、提供されている。経済活動は国家の領域を超えて行われており、世界における情報セキュリティ対策の推進という観点から、グローバル企業の果たす役割は拡大している」と言及されている。この時点においては、サプライチェーンは、主としてグロー
バルな企業活動の問題として認識されていたように思われる。
http://www.nisc.go.jp/active/kihon/pdf/bpc01_ts.pdf
http://www.nisc.go.jp/active/kihon/pdf/bpc02_ts.pdf
2.3.3 「サイバーセキュリティと経済」研究会におけるサイバーセキュリティ課題の認識
2010 年 12 月に第１回が開催された経産省の「サイバーセキュリティと経済」研究会では、検討課題として 5 つの項目が掲げられている。①標的型攻撃への対処、②制御システ
ムの安全性確保、③企業等の機密漏えい対策、④サイバーセキュリティ産業の強化、⑤そ
18

の論点。以上
上５つの論点
点では、サププライチェー
ーンのセキュ
ュリティ問題
題は特に取り
り上げ
の他の
られて
ていない。
なお
お、同研究会会の委員の一一人からサププライチェーーンに関わる
る問題を提起起しているのので、3.3.１
１の項で特記
記して報告すする。
http:://www.metii.go.jp/commmittee/kenk
kyukai/shoujjo/cyber_seccurity/001_004_00.pdf
同研研究会の第１回会合で、、経済産業省
省商務情報政政策局が配布布した資料にに掲載されたた下の
図表 2-11 は、
サイバーセキキュリティ産産業と経済のの関係に関わる課題と題 された概念図図」で「サ。ここではササイバーセキキュリティ産産業の強化を
を、サイバーセ
セキュリティ
ィ産業、IT 産業、
産
ある。
IT 利
利用産業の育育成を通じてて、市場の創 出、経済成長
長、システムム輸出等を通通じての海外外市場へ進出出という形でで、わが国のの経済成長にに結び付ける
るという方向向性が示されれている。
図表
表 2-11 経産
産省配布資料料によるサイイバーセキュ
ュリティ産業
業と経済に関
関わる課題

htttp://www.meeti.go.jp/com
mmittee/ken
nkyukai/sho
oujo/cyber_s
security/0011_05_00.pdf

19

3．サプライチェーンが重要インフラの情報セキュリティにもたらす影響の考察
3.1 米国における考察

3.1.1

サイバーセキュリティ・イニシアティブにおけるサプライチェーン関連技術開発

本報告書 2.1.4 で書いたように、米国ではホワイトハウスの主導下で、Comprehensive
National Cybersecurity Initiative＝CNCI が推進されており、その第 11 項が「グローバルに多数に枝分かれしたサプライチェーンのリスク管理」であった。この研究開発項目について、CNCI の記者発表では、次のように語られている。
「民間の情報通信技術市場は、サプライチェーンへの侵入を通じて、データへの非正統的なアクセスの入手、データの改変、通信の妨害などを試みる者たちに、増大する機会を提供している。国内外のサプライチェーンから由来するリスクは、製品の全ライフサイク
ルに亘って、戦略的で包括的な方法で管理されなければならない。このリスク管理は、調達決定、に関連した脅威、脆弱性、その結果についてのより大きな認識を要請している。
それらは、ライフサイクル全般（設計から退役まで）に亘って技術的にも運用面でもリスクを軽減するツールとリソースの開発と採用、複雑なグローバル市場を反映した新しい調達政策とその実行、サプライチェーンとリスクマネジメントの標準とベストプラクティス
を開発、採用するための産業界との協力を要請している。このイニシアティブは、彼らのシステムやネットワークの重要性とリスクに相応するレベルで、サプライチェーンのリス
クをよりよく管理し緩和するロバストなツールセットを各省庁に提供し、連邦政府の技能、政策、プロセスを強化する」。
なお、CNCI の 12 項目の研究開発は、HSPD-23（国土安全保障大統領令-23）及び NSPD-54（国家安全保障大統領令-54）という形の大統領令として実施されているが、研究開発の詳
細は極秘扱いとなっている。

3.1.2 国防総省の視点から見たサプライチェーンリスク管理の標準化
2010 年 9 月、米国防総省の ICT サプライチェーンリスク管理担当者であるドン・デイビッドソンは、ソフトウェア保証（SwA）フォーラムにおいて、3.1.1 で紹介した CNCIを受けて、SCRM（サプライチェーンリスク管理）とその標準化について、下の図表
3-1 に示したプレゼンテーションを行っている。
図の右側に書かれているように、サプライチェーンのリスク管理は、「民間産業のベ
ストプラクティスから導き出された民間が受容できるグローバル標準でなければならない」とディビッドソンは強調している。

20

図表 3-1

国防総
総省の見るササプライチ ェーンリスク管理と標
標準化

さらに、デイビッドソンはは、サプライイチェーンリ
リスク管理にについて、下下の図のよううな標
準化のの方向性を示示すとともにに、大まかな 開発期間（2010－2013 年）と採用のの時期（2013-2016年）を示しているる。

21

図表 3-2

国防総総省の示すササプライチ ェーンリスク管理の標
標準化

httpss://buildseccurityin.us--cert.gov/sw
wa/presenta
ations_2010
0_10/02_Tu
uesday/11a_
_Don
_Dav
vidson_nistt_28sep.pdff
'
3
3.1.3

IT 技術のの歴史的発展
展から見たササイバー・サプライチェーンへのの一考察

米国
国メリーラン
ンド大学ビジ
ジネス大学院
院のロバート・H・スミミス教授は、、2009 年 6 月に発表した「Building A Cyber Supply Chhain Assurannce Reference Model」とと題する論文
文で、サプライチェーン
ンのサイバー
ーセキュリテティを IT 技術
術発展の最新新のビジネススモデルとしして論いる。純民間間から提出さされた一つのの視点としてて本項で紹介介する。
じてい同教
教授は、OS、、アプリケーーション、ネネットワーク
ク、フレームムワーク、ププラットフォ
ォーム
と、ビビジネスモデデルが順次高高度化するな
なかで、次世代代のビジネススモデルとしして、SDLC（System
Devellopment Liffe Cycle＝シシステム開発発のライフササイクル）ととしてサプラライチェーン
ンを位
置付け
けている。

22

ド・トゥ・エエンド・ビジジネスモデルルのパラダイムシフト
図表 3-3 エンド

た、同教授はは、上の図を
を縦方向に積積み重ねた下下の図表 3-4 を示し、ITT 市場がコンンプラ
また
イアンスとアナリシスから、、統合力（シシンセシス）とリスク管管理へといううヒエラルキキーをする方向に向向かうだろううと予測してている。
形成す
図表 3-4

コンプ
プライアンススとアナリシシスから統合合とリスク管
管理へのサイイバー市場の
のフォ

ーカス
スシフト

Buildding A Cybeer Supply Chain
C
Assur ance Refere
ence Model
http:://csrc.nist.g
gov/groups/S
SMA/ispab//documents//minutes/20009-04/ispabb_sboyson-hhross
man__april2009.pdf

23

3.2 欧州における考察
3.2.1 欧州サイバー研究開発計画におけるサプライチェーン統合についての記述
本報告の2.2.3で触れたように、EUは2010年4月に公表した情報セキュリティに関わる研究開発計画（PROCENT）において、「サプライチェーンの統合」を第5番目の研究開発課題として提起している。原報告書では、サプライチェーンの統合に関する部分だけでも10ページに及んでいるので、ここではその部分の構成のみを紹介することとする。
「サプライチェーンの統合」①問題の紹介②取組まれる課題③サプライチェーン統合のリスクの理解④サプライチェーン統合のリスク管理⑤評価のフレームワーク⑥グッドプラクティスと現在の研究プロジェクトの例⑦現在のリスクと新しい研究機会⑧結論
上の各項のうち、⑦現在のリスクと新しい研究機会において取り上げられている7個の項目をここに紹介する。
1．改良された革新的なトラストモデル
2．評価と統合チェックテクニックの改良
3．各種の産業分野と政府の購入で用いられているグッドプラクティスの研究
4. 偽装と乗っ取りを検出・防護する改良された技術ソリュージョン
5．情報保証への新しいアプローチ
6. 在庫とコンフィグレーションの制御と維持への新しいアプローチ
7. グローバル規模での政策的必要性評価のアプローチ法の研究“Priorities for Research on Current and Emerging Network Trends”
http://www.enisa.europa.eu/act/it/library/deliverables/procent

243.3 わが国における考察
3.3.1 「サイバーセキュリティと経済」研究会における山口委員の議論
サイバーセサプライチェーンの情報セキュリティ問題について、わが国の認識や対策は先進的であるとは言い難いが、制御システム（スマートグリッドを含む）のセキュリティなどとならんで、今後重要な情報セキュリティ課題として世界的なトピックとなっていく
ことは疑いをえないと思われる。
わが国ではこの課題についての議論はほとんど行われていないが、ここでは 2.3.3 で述べた「サイバーセキュリティと経済」における山口委員の意見を紹介する。同研究会の第１回会合には、３名の委員から意見が提出されているが、なかでも奈良先端科学技術大学院
大学の山口英教授の「本研究会が議論すべき領域について」で、サプライチェーンについて特出して論じているので下に引用する。
「第四に、サプライチェインの情報化と保護が、近年の諸外国におけるサイバーセキュリ
ティ政策では大きな柱になっているが、このような柱を設定しないのは、通商政策、あるいは、産業政策を持つ経産省の研究会としては、適切であろうか。サプライチェーンの情
報セキュリティ対策についても議論すべきではないか」（下線は原文のママ）。
また、同教授は「元々地域性の低い産業である情報セキュリティ産業を対象に、数年で解決できないような構造的課題を抱えているわが国において、内需拡大などを政策課題として考えることは、適切ではない。そこで、そもそも内需は存在しないという前提、すな
わち、わが国の情報セキュリティ産業が現状のような国際競争力を持たない状況をどのように改善し、そのビジネスを世界に広げていくのかを考えた方が、より建設的かつ的確な議論と政策提示ができるのではないか。「内需ゼロ」を前提とした、情報セキュリティ産業政策再設計による産業の国際化の推進を議論することを強く提案したい」（下線は原文のママ）とも発言されている。
重要インフラシステムのサプライチェーンにおける情報セキュリティ課題の重要性を指摘するとともに、わが国情報セキュリティ産業の国際化を考える必要性を訴えた数少ない議論の一つとしてここに引用した。

25

４．今後の取り組みに向けた提言①サプライチェーンの情報セキュリティ課題の認識
重要インフラに係るサプライチェーンの情報セキュリティ問題が今後の国家的セキュリ
ティ課題であるとの認識を、政府（NISC、重要インフラ所管官庁）や重要インフラ事業者などが共有し、この課題が情報セキュリティ政策会議における重要アジェンダとして取り上げられることが望ましい。
②サプライチェーン課題の先進国・地域の情報収集
サイバー・サプライチェーン問題への対応と対策について、わが国より先行している米国、EU、あるいは欧州各国のインシデント事例、インシデント対策、グッドプラクティス、
標準化、研究開発などの現状について、広く情報収集に当たること。
③「事故前提社会」の下でのサプライチェーンの情報セキュリティ管理
セキュリティインシデントの発生＝不祥事＝当事者の責任問題という考え方が、日本では長く定着している。
「国民を守る情報セキュリティ戦略」（2010 年 5 月、情報セキュリティ
政策）が指摘する、「事故前提社会」という認識を共有することが、決定的に重要な段階に入っている。サプライチェーンのリスク管理についても同様な視点が必要である。
④インシデント事例共有が必要
どのレベルまでどういう形で公開するかは別として、サプライチェーンの情報セキュリ
ティに係るわが国のインシデント事例を、NISC、所管官庁、事業者の間で透明性の高い形で共有するシステムが今後ますます必要になると思われる。RISI のような形のデータベース機関の設立や、低レベル情報の一般公開、ハイレベル情報の機密化などの手法も考えられる。また、IPA や JPCERT/CC のような既設組織の強化なども対策の一つかもしれない。
⑤産学官による集中的な課題検討の実施
わが国が総力を挙げて取り組むべき情報セキュリティ課題の特定が行われるなかで、その重点課題の一つにサプライチェーンの情報セキュリティが挙げられるべきである。サプ
ライチェーンの情報セキュリティについて、官・学・産が集中して課題検討を実施する場を設けることが望ましい。
⑥政府の雇用や具体的プロジェクトを通じた情報セキュリティ人材の維持と育成
情報セキュリティに関わる人材の不足が深刻である。サプライチェーンに限らず情報セキュリティ人材の育成に政府の協力は欠かせない。政府自身による人材雇用や、継続的な情報セキュリティ関連のプロジェクトなどを通じて、人材の維持と育成を図ることが必要である。
⑦近い将来のガイドラインの作成を目指すこと
上記の各施策の実施を通じて、サプライチェーンの情報セキュリティについての、ガイドライン等のあり方を検討することが必要となると考えられる。

26

５．文献一覧
・Draft NISTIR 7622 Piloting Supply Chain Risk Management Practices for Federal
Information Systems, June 2010

http://csrc.nist.gov/publications/drafts/nistir-7622/draft-nistir-7622.pdf
・NCSC-TG-002, Trusted Product Evaluation, A Guide for Vendors, March 1988

http://www.fas.org/irp/nsa/rainbow/tg002.htm

・ENGINEERING FOR SYSTEM ASSURANCE Version 1.0 National Defense Industrial Association
http://www.ndia.org/Divisions/Divisions/SystemsEngineering/Documents/Committees/
Systems%20Assurance%20Committee/2008/SA-Guidebook-v1-Oct2008-REV.pdf
・1996年情報技術マネジメント改革法
http://govinfo.library.unt.edu/npr/library/misc/s1124.html
・2002 年連邦情報セキュリティマネジメント法
http://csrc.nist.gov/drivers/documents/FISMA-final.pdf
・連邦情報処理規格＝FIPS199
http://www.ipa.go.jp/security/publications/nist/documents/FIPS-200-J.pdf
・連邦情報処理規格＝FIPS200
http://www.ipa.go.jp/security/publications/nist/documents/FIPS-199-J.pdf
・連邦情報システムと組織に推奨されるセキュリティコントロール、NIST 特別出版 800-53
第 3 版、2009 年 8 月
http://csrc.nist.gov/publications/nistpubs/800-53-Rev3/sp800-53-rev3-final.pdf
・ National Infrastructure Protection Plan Partnering to enhance protection andresiliency
http://www.dhs.gov/xlibrary/assets/NIPP_Plan.pdf
・ ENGINEERING FOR SYSTEM ASSURANCE Version 1.0, National Defense Industrial
Association
http://www.acq.osd.mil/se/docs/SA-Guidebook-v1-Oct2008.pdf

27

・The Comprehensive National Cybersecurity Initiative、white house, Oct. 2009http://www.whitehouse.gov/cybersecurity/comprehensive-national-cybersecurity-initiative・Air Force may suffer collateral damage from PS3 firmware update，ars technical, July2010

http://arstechnica.com/gaming/news/2010/05/how-removing-ps3-linux-hurts-the-airforce.ars
http://www.4gamer.net/games/017/G001762/20101118052/
http://www.enisa.europa.eu/act/res/technologies/procent/eg1?searchterm=procent
http://www.enisa.europa.eu/act/res/technologies/procent?searchterm=procent
・ENISA Quarterly Review, vol. 6, no. 1
http://www.enisa.europa.eu/publications/eqr/issues/eqr-q1-2005-vol.-6-no.-1
・Priorities for Research on Current and Emerging Network Trends
http://www.enisa.europa.eu/act/it/library/deliverables/procent
・第１次情報セキュリティ基本計画
http://www.nisc.go.jp/active/kihon/pdf/bpc01_ts.pdf
・第２次情報セキュリティ基本計画
http://www.nisc.go.jp/active/kihon/pdf/bpc02_ts.pdf
・経産省「サイバーセキュリティと経済研究会」第１回配布資料４
http://www.meti.go.jp/committee/kenkyukai/shoujo/cyber_security/001_04_00.pdf
・同上、配布資料 5
http://www.meti.go.jp/committee/kenkyukai/shoujo/cyber_security/001_05_00.pdf
・同上、参考資料１
http://www.meti.go.jp/committee/kenkyukai/shoujo/cyber_security/001_s01_00.pdf
・CyberSecurity, US CNCI-SCRM, Public-Private STANDARDIZATION, Don Davidson, Sept.
2010

https://buildsecurityin.us-cert.gov/swa/presentations_2010_10/02_Tuesday/11a_Don_Davidson_nist_28sep.pdf
28

・Building A Cyber Supply Chain Assurance Reference Model
http://csrc.nist.gov/groups/SMA/ispab/documents/minutes/2009-04/ispab_sboyson-hross
man_april2009.pdf
・Priorities for Research on Current and Emerging Network Trends
http://www.enisa.europa.eu/act/it/library/deliverables/procent

29