製造業のサプライチェーン攻撃事例｜取引先とつながるWeb機能の確認

受発注画面や見積依頼・図面送信フォーム、協力会社向けログイン画面は、製造業と取引先をつなぐ大切な窓口です。

こうしたWeb機能に問題があると、自社の情報だけでなく、取引先の図面や見積書、発注情報まで影響を受けるおそれがあります。

問題が起きてから説明に追われるのではなく、外部から利用できるWeb上の接点を把握し、問題の有無を確認しておくことが大切です。

この記事では、製造業のサプライチェーン攻撃事例を踏まえ、取引先とつながるWeb機能で確認したい問題と、診断結果を修正や説明へつなげる流れをご紹介します。

セキュリティー診断さん

サプライチェーン攻撃？ なんか難しそうな名前だね…うちみたいな小さい部品メーカーは関係ないんじゃないかな？

サプライチェーン攻撃は企業間のつながりから広がる

サプライチェーン攻撃とは、取引先や利用サービスなど、企業間のつながりを経由して被害が広がる攻撃です。

製造業では、設計、部品製造、組み立て、物流などを複数の会社が担い、受発注情報や図面をシステムでやり取りします。

そのため、一社のシステムやWeb上の接点に問題が起きると、納品や生産計画、関係先への説明に影響が及ぶことがあります。

重要なのは、会社の規模ではありません。

取引先と情報をやり取りする受発注画面、ファイル送信フォーム、取引先向けログイン画面、外部公開APIがあるなら、自社側の接点も確認する必要があります。

製造業の取引は、一つの製品が完成するまでに、設計会社、部品会社、組立工場、物流会社など多くの企業が関わります。

Web上で注文、納期、図面、見積書を共有している場合、その画面や機能も企業間のつながりの一部です。

攻撃者が必ず自社を直接狙うとは限りません。

取引先が利用するアカウントや、複数社が情報をやり取りする機能に問題があれば、そこから情報の閲覧や業務停止へ影響が広がる可能性があります。

経営者が個別の攻撃方法を覚えるより、どの会社と、どのWeb機能を通じて、どの情報を共有しているかを把握することが最初の判断になります。

製造業の事例から確認すべき接点を考える

部品会社の停止が取引網へ波及した事例

国内の自動車メーカーで、取引先の部品会社がサイバー攻撃を受けた影響により、工場の稼働が止まった事例があります。

部品会社側で受発注や生産に必要な情報を扱えなくなり、必要な部品を予定どおり供給できなくなったことで、影響が取引網へ広がりました。

この事例から分かるのは、自社だけが動ければよいのではなく、取引先との注文や納品に使う接点が止まった時に、どの業務へ影響するかを把握する必要があることです。

自社では、外部から利用できる受発注画面や取引先向けログイン画面があるか、そこでどの情報を扱っているかを確認する判断につながります。

あわせて、その画面を利用できなくなった場合に、注文内容や納期をどの方法で取引先へ伝えるかも整理しておくと、問題発生時の説明と業務継続を進めやすくなります。

セキュリティー診断さん

えっ、取引先が原因でうちの工場が止まることもあるの！ ？ 怖すぎるよ！

利用ソフトを経由して被害が広がった事例

製造業が利用する設計ソフトなど、外部のソフトウェア会社を経由して被害が広がることもあります。

これは、自社のWebサイトだけを確認すれば防げる事例ではありません。

利用ソフトや社内端末の対策は、それぞれの提供会社や社内の管理担当者と進める必要があります。

一方で、自社が取引先へ公開しているWeb画面やAPIは、自社側で診断対象として伝えられます。

事例を不安の材料だけにせず、自社が管理するWeb上の接点と、別の対策が必要な領域を分けることが大切です。

取引先とつながるWeb機能で起こり得る問題

製造業のWeb上の接点では、技術的な問題が取引先への説明、納期、取引継続へ直接つながることがあります。

たとえば、受発注画面で別会社の注文情報が見える状態なら、関係する取引先へ事実と対応状況を説明しなければなりません。

図面や見積書を受け取るフォームが悪用されれば、必要な依頼を確認できなくなったり、預かったファイルの扱いについて問い合わせが増えたりするおそれがあります。

協力会社向けのログイン画面に、契約を終えた会社のアカウントが残っていたり、必要以上の情報を見られる権限が付いていたりする場合もあります。

外部公開APIに問題があれば、受発注情報へ意図しない方法でアクセスされる可能性があります。

別会社の情報が見える問題では、どの取引先の情報が、誰から、どの期間見える状態だったのかを確認し、関係先へ説明する必要が生じます。

原因や影響範囲が分からないままでは、通常の受発注対応と問い合わせ対応を並行して進めなければなりません。

フォームやAPIの問題も、Web画面が表示されているだけでは判断しにくい点に注意が必要です。

正常に送信できることと、他社の情報が分離され、意図しない使われ方を防げていることは別の確認になります。

これらは、経営者が技術的な直し方まで判断する必要はありません。

ただし、問題が起きた時にどの取引先へ説明が必要か、納期や受発注へどのような影響が出るかは把握しておく必要があります。

セキュリティー診断さん

もしパソコンが全部使えなくなったら仕事にならないよ！ どうしよう…請求書も作れないし、お客さんにも連絡できない！

Web上の接点を確認する目的は、恐怖を大きくすることではありません。

元請けや発注元から確認を求められた時に、対象機能と対応状況を説明し、安心して取引を続けられる会社だと判断してもらうためです。

そのためには、利用会社、扱う情報、管理担当者、修正を依頼する会社をWeb機能ごとに整理しておきます。

問題が見つかった時の連絡先まで分かれば、社内確認だけで時間を使わず、取引先への説明と修正依頼を並行して進められます。

Web診断で確認する範囲を整理する

Web診断で確認できるのは、外部からアクセスできる会社サイト、Webアプリ、取引先向けログイン画面、見積依頼・図面送信フォーム、外部公開APIなどです。

社内PC、社内LAN、工場設備、Webからアクセスできない生産管理システムは別の領域です。

それぞれの管理担当者や提供会社と確認し、自社のサプライチェーン全体をWeb診断だけで調べられるような受け止め方を避けます。

外部公開しているWeb機能は、見た目どおりに動いていても、利用会社ごとの情報の分け方やログイン後の権限、入力フォーム、APIの状態を経営者自身が判断するのは簡単ではありません。

まず、取引先がブラウザから利用する画面、外部からファイルを送るフォーム、他社システムと情報を連携するAPIを一覧にします。

サービス名や技術名が分からなくても、「誰が使う画面か」「何の情報を扱うか」を伝えれば、診断対象を相談しやすくなります。

Web上の管理画面も、インターネットからアクセスできるものは対象候補です。

一方、社内だけで利用する端末や閉じたネットワークの確認は、Web診断とは分けて担当会社へ相談します。

『セキュリティー診断さん』を活用すれば、対象となるWeb画面や機能を伝え、問題箇所と危険度を確認できます。

結果を制作会社やシステム会社へ渡せるため、どの画面を優先して修正するか相談しやすくなります。

継続的な取引先管理の考え方は、取引先を含むサプライチェーンのリスク管理方法でも確認できます。

Web診断の結果と、契約・アカウント管理など社内で行う確認を分けて進めると、対応範囲が明確になります。

診断結果を修正と取引先への説明につなげる

診断結果を受け取ったら、経営者は問題の危険度と業務への影響を見て、対応する順番を決めます。

対象画面と指摘内容は、Web制作会社やシステム会社へ共有します。

技術的な修正方法は担当会社に検討してもらい、自社では担当者と対応期限を明確にします。

修正を依頼する時は、診断結果に記載された対象画面、問題の内容、危険度をそのまま共有します。

経営者が専門用語を言い換えて説明するより、診断結果を共通資料として使う方が、確認する場所と対応の優先順位をそろえやすくなります。

修正後は改めて診断を依頼し、指摘された問題へ対応できたかを確認してもらいます。

問題箇所、修正依頼、再確認の結果がそろえば、対応を進めた経緯を社内外へ説明しやすくなります。

すぐに対応できない指摘がある場合も、理由、担当者、対応予定を記録しておけば、放置している状態と、対応を管理している状態を区別して説明できます。

取引先からセキュリティ確認や質問票への回答を求められた場合も、どのWeb機能を確認し、どの問題を修正したかを示す材料として活用できます。

『セキュリティー診断さん』の診断結果は、問題を見つけるだけでなく、修正担当者へ依頼内容を渡し、取引先へ対応状況を説明できる状態を作るために役立ちます。

セキュリティー診断さん

一度だけじゃなくて、定期的にチェックしなきゃいけないのか！ 健康診断と同じなんだね！

取引先とつながるWeb機能を説明できる状態にしよう

製造業では、受発注画面、見積依頼・図面送信フォーム、協力会社向けログイン画面、外部公開APIが取引先との業務を支えています。

こうしたWeb上の接点に問題があると、取引先への説明や納期に影響し、取引継続について不安を持たれるおそれがあります。

経営者が技術的な弱点を自分で判断するのではなく、外部公開しているWeb機能を整理し、専門的な診断で問題箇所と危険度を確認することが大切です。

『セキュリティー診断さん』なら、確認したいWeb上の接点を伝え、診断結果を制作会社やシステム会社への修正依頼に使えます。

取引先から確認を求められる前に、どのWeb機能を確認し、どのように対応したかを説明できる状態へ整えてみませんか？