なぜトヨタは全工場を停止できたのか？ 日本ハッカー協会・杉浦隆幸氏が解説するサプライチェーン攻撃への対応

本稿は、2022年に発生した小島プレス工業へのサイバー攻撃をモデルにした架空ケースを通じ、取引先のセキュリティ事故が自社生産へ影響を及ぼす流れを整理している。トヨタは当時、部品供給網の断線を避けるべきか、それとも生産停止を回避するために接続を遮断すべきかという判断を迫られた。実際には、攻撃を受けたサプライヤーとの接続をどう扱うかが重要な論点となる。

サプライチェーン攻撃には三つの型があり、第一は本体より守りが脆弱なサプライヤーを狙う攻撃、第二は侵入経路を介して取引先へ広がる攻撃、第三は多くの企業に部品を提供する会社を狙い多数へ被害を及ぼす攻撃である。製造業のサプライチェーンは十数万社に及ぶこともあり、全社を監視するのは難しいが、自社と直接つながる取引先は比較的限られている点に留意が必要だ。

大手企業は自社のシステム子会社を通じて取引先へシステム提供・運用を任せるケースがあり、接続管理の要点が変わる。ケースの提示として、取引先がランサムウェア被害を受けた場合の自社の対応を問う設問が示され、現場の声と経営判断の妥当性が議論された。