重要インフラのサプライチェーンリスク

2019/2/16（土）の日本経済新聞に、『重要インフラのサイバー攻撃　「機器調達リスク」初の明記』との見出しの記事がありました。

重要インフラは、14分野が指定されており、非常に多岐に亘っています。

１　情報通信

２　金融

３　航空

４　空港

５　鉄道

６　電力

７　ガス

８　政府・行政サービス（地方公共団体を含む）

９　医療

10　水道

11　物流

12　化学

13　クレジット

14　石油

重要インフラ事業者が情報セキュリティに取り組む内容として、「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）」があります。

今後の改定で、この文書に、サプライチェーンリスクについて盛り込むとのことです。

サプライチェーンとは、一般的には製品を製造する過程から消費者に届くまでのことです。

このサプライチェーンの中で、不正な改造やマルウェアの混入により、情報窃取等のリスクが考えられます。これをサプライチェーンリスクと言います。

今後、重要インフラ事業者が導入する通信機器に対して、このサプライチェーンリスクを考慮していこうという内容が盛り込まれる予定とのことです。

アメリカでは、2018年8月13日にトランプ大統領が署名した2019年度の国防権限法で、中国企業のファーウェイ（華為技術）とZTE（中興通訊）は、政府調達禁止となっているようです。

セキュリティの解説書