製造業のサプライチェーン攻撃事例｜取引先とつながるWeb機能の確認

取引先との受発注や図面のやり取りに使っているWeb画面について、「普段どおり動いているから大丈夫」と思っていませんか？

受発注画面や見積依頼・図面送信フォーム、協力会社向けログイン画面は、製造業にとって取引先との大切な窓口です。

もし、こうしたWeb機能に問題があれば、自社だけでなく、取引先の図面や見積書、発注情報にまで影響するおそれがあります。

万一のトラブルに備えて、まずは取引先とつながっているWeb機能を把握し、安全性を確認しておくことが大切です。

今回は、製造業のサプライチェーン攻撃事例をもとに、注意したい問題や、Web診断の結果を修正・取引先への説明に活かす方法をご紹介します。

セキュリティー診断さん

サプライチェーン攻撃？ なんか難しそうな名前だね…うちみたいな小さい部品メーカーは関係ないんじゃないかな？

サプライチェーン攻撃とは？取引先とのつながりにも危険が

サプライチェーン攻撃とは、取引先や利用しているサービスなど、企業同士のつながりを通じて被害が広がる攻撃です。

製造業では、設計や部品製造、組み立て、物流などを複数の会社が担い、受発注情報や図面をやり取りしています。

そのため、どこか一社のシステムに問題が起きると、ほかの会社の納品や生産計画にまで影響することがあるのです。

「うちは小さい会社だから関係ない」とは言い切れません。

会社の規模に関係なく、取引先とのつながりが攻撃のきっかけになる可能性があります。

たとえば、受発注画面やファイル送信フォーム、取引先向けログイン画面なども、注意しておきたい場所です。

こうしたWeb機能に問題があれば、取引先の情報が漏れたり、受発注などの業務が止まったりするおそれがあります。

難しい攻撃方法まで覚える必要はないので、まずは「どの会社と、どのWeb機能を使い、どんな情報をやり取りしているか」を把握しておきましょう。

製造業の被害事例から学ぶ、注意したいポイント

実際にどのような被害が起きているのかを知ると、自社にも関係する問題だとイメージしやすくなります。

ここでは、製造業で起きた事例をもとに、確認しておきたいポイントをご紹介します。

部品会社への攻撃が、自動車メーカーの工場停止に

国内の自動車メーカーでは、取引先の部品会社がサイバー攻撃を受け、その影響で工場の稼働が止まった事例があります。

部品会社が受発注や生産に必要な情報を扱えなくなり、予定どおりに部品を供給できなくなったことで、ほかの会社にまで影響が広がったのです。

この事例からも、自社のシステムが正常に動いていれば安心、とは言い切れないことがわかります。

取引先との注文や納品に使っているWeb機能が止まった場合、どの業務に影響するのかも考えておくことが大切です。

まずは、外部から利用できる受発注画面や取引先向けログイン画面があるか、どのような情報を扱っているかを確認しましょう。

万一、その画面が使えなくなったときに、注文内容や納期をどう伝えるかも決めておくと安心です。

事前に備えておけば、取引先への説明や業務の継続もスムーズに進めやすくなります。

セキュリティー診断さん

えっ、取引先が原因でうちの工場が止まることもあるの！ ？ 怖すぎるよ！

利用しているソフトが攻撃の入り口になるケースも

製造業で使われる設計ソフトなど、外部のソフトウェア会社を経由して被害が広がるケースもあります。

こうした被害に備えるには、自社のWebサイトだけでなく、利用しているソフトや社内のパソコンにも目を向けることが大切です。

ソフトの安全性は提供会社に、社内のパソコンについては管理担当者に相談しましょう。

また、自社が取引先向けに公開しているWeb画面やAPIについては、Web診断で問題がないか確認できます。

「自社で管理しているWeb機能」と「別の対策が必要なもの」を分けて考えると、何を確認すればよいのかが見えてきます。

取引先とつながるWeb機能に潜む危険

製造業で使うWeb画面や機能に問題があると、取引先への説明や納期にも影響することがあります。

たとえば、受発注画面で別会社の注文情報が見えてしまえば、関係する取引先への説明が必要です。

図面や見積書を受け取るフォームが悪用されたり、協力会社のアカウントに必要以上の権限が残っていたりするケースにも注意しなければなりません。

また、外部公開APIに問題があると、本来は許可されていない方法で受発注情報にアクセスされるおそれもあります。

厄介なのは、こうした問題があっても、普段どおり画面が動いているだけでは気づきにくいことです。

技術的な修正は制作会社やシステム会社に相談できるので、自社では「どの取引先に影響するか」「どの業務に関わるか」を把握しておきましょう。

あわせて、Web機能ごとに利用する会社や扱う情報、管理担当者、修正の依頼先も確認しておくと安心です。

いざ問題が見つかったときにも、取引先への説明や修正依頼をスムーズに進められます。

Web診断の対象範囲と確認しておきたいポイント

Web診断では、外部からアクセスできる会社のサイトやWebアプリ、外部公開APIなどの安全性を確認できます。

社内のパソコンやネットワーク、工場設備、外部からアクセスできない生産管理システムなどは、Web診断とは別の対策が必要です。

これらについては、管理担当者や提供会社に相談しましょう。

取引先向けに公開しているWeb機能も、普段どおり動いているからといって、安全とは限りません。

まずは、受発注画面やファイル送信フォーム、他社のシステムと情報をやり取りするAPIなどがないか確認してみましょう。

難しい技術名がわからなくても、「誰が使うのか」「どんな情報を扱うのか」がわかれば、診断する範囲を相談しやすくなります。

『セキュリティー診断さん』なら、対象となるWeb画面や機能をもとに、問題がある場所や危険度を確認できます。

診断結果を制作会社やシステム会社に共有すれば、どこから修正すればよいのかも相談しやすくなるでしょう。

取引先のセキュリティ対策について詳しく知りたい方は、取引先を含むサプライチェーンのリスク管理方法も参考にしてみてください。

診断結果を修正や取引先への説明に活かすには

診断で問題が見つかったら、その結果を制作会社やシステム会社に共有し、修正を相談しましょう。

『セキュリティー診断さん』なら、問題がある場所や危険度がわかるため、診断結果をそのまま修正依頼の資料として使いやすいのも魅力です。

自分たちで難しい内容を説明し直す手間が減り、優先して直すべき場所も相談しやすくなります。

修正後に問題が解消されたことまで確認しておけば、取引先からセキュリティについて聞かれたときにも、どのような対策を行ったのか説明しやすくなるでしょう。

大切な取引を守るには、Web機能の安全性が重要

製造業では、自社だけでなく、取引先とつながるWeb画面やフォームの問題が、ほかの会社の業務にまで影響することがあります。

だからこそ、どのWeb機能で誰とどんな情報をやり取りしているのか、普段から把握しておくことが大切です。

安全性に不安がある場合は、『セキュリティー診断さん』を活用して、問題がある場所や危険度を確認する方法もあります。

診断結果は制作会社への修正依頼や取引先への説明にも役立つので、専門知識がなくても対策を進めやすくなります。

大切な取引と会社の信用を守るためにも、この機会にWeb機能の安全性を確認してみませんか？