SolarWindsの事例に見る、ソフトウェアサプライチェーンに潜むサイバー脅威

　2020年末に発生したSolarWindsサプライチェーン攻撃は、何千社にも及ぶ世界中の企業や、米国の複数の政府機関のシステムに侵入するなど、大規模な被害をもたらした。その攻撃手法は高度な永続的脅威（APT）であり、高い信頼を得て広く利用されてきた同社のソフトウェアが標的となっていた。

　こうしたソフトウェアサプライチェーン攻撃は、単独の企業がどれだけセキュリティを強化したとしても、完全に防ぐことは不可能に近い。唯一採り得る策といえるのが、サプライヤーや顧客、自社のセキュリティを包括的に調査し、リスク要因を洗い出すためのセキュリティ診断の実施だ。しかし、それも単なる脆弱性の文書化だけでは意味を成さないだろう。

　本コンテンツでは、ソフトウェアサプライチェーン全域にわたるセキュリティ診断の必要性を、SolarWindsの事例を交えながら解説している。併せて、セキュリティ診断の実施に際して、サプライヤーやソフトウェアベンダーに問うべき質問を具体的に提示しているので、参考にしてほしい。