【Web特別版】サプライチェーンをより安全にする方法

ロバート・ドッジ [*]

今日の市場においては、組織は潜在的なサプライチェーンの脅威を真剣に受け止めなければ、壊滅的な攻撃に対して脆弱であるリスクを負わなければならない。企業のサプライチェーンの効率性と安全性は、事業全体の健全性にとって極めて重要である。これらの複雑なシステムは、適切に保護・管理されれば、生産サイクルにおけるコスト、無駄、時間を最小化するのに役立つからである。

組織のサプライチェーンは、物理的な脅威とサイバー攻撃の両方に直面することがよくある。サプライチェーンはインターネットに大きく依存しているため、サイバー攻撃に対して脆弱であり、調達、ベンダー管理、サプライチェーンの継続性、さらには製品の品質にも影響を与える可能性がある。サプライチェーンに対する物理的な脅威には盗難、妨害行為、海賊行為など、より伝統的な方法による被害があり、これらは社内外から発生する可能性がある。例えば、海上で貨物が海賊にハイジャックされた場合、これは外部からの脅威である。また、不満を持つ従業員が輸送中の在庫を盗む、あるいは妨害することを決めた場合、これは内部の脅威である。とはいえ、企業のサプライチェーンに対する物理的セキュリティの脅威を軽減する方法を検討する場合、内部と外部の両方の脅威要因を検討することが重要である。

セキュリティリスクを軽減する

サプライチェーン・セキュリティの責任は誰が負うのか。サプライチェーンのリスクマネジメントについて、組織とサプライヤーのどちらに責任があるのかを明確にすることが重要である。このためには、セキュリティ部門、組織のリーダー、第三者であるベンダーとの間で卓越したコミュニケーションが必要である。サプライヤーに対する適切なデューデリジェンスが行われないと、リスクが増大する可能性がある。責任の所在を明確にした上で、企業のセキュリティリスクマネジメントに精通したセキュリティ・チームと連携することが最善である。

9月11日の同時多発テロは、あらゆる業界のセキュリティマネジメントに大きな影響を与えた。それ以来、組織はセキュリティ・プログラムを積極的に見直し、企業のセキュリティマネジメントに対するより正式なアプローチを開発してきた。セキュリティ・チームは、社内・社外を問わず、サプライチェーンのセキュリティに対してリスク・ベースのアプローチを取る必要がある。彼らは、組織に対して、守るべきものは何か、潜在的な脅威は何か、どのようにすれば最も効率よく保護できるのか、といった質問を投げかける。これらの質問は、保護すべき資産を特定し、それに優先順位をつけること、企業にとってのセキュリティリスクとそれらの資産との関係を理解すること、それらの資産に対する最も深刻なセキュリティ脅威とリスクから保護するための必要かつ適切で現実的な措置をとること、そして最後に、サプライチェーンシステム全体のセキュリティを継続的に改善し向上させることに役立つ。

以下は、企業がサプライチェーン・セキュリティの改善を検討するときの9つのベストプラクティスである。

1. サプライヤー、従業員およびパートナーのデューデリジェンス: 企業は、サプライヤーに対するデューデリジェンスの一環として、セキュリティ方針および手順の見直しを含めるべきである。このデューデリジェンスにはサプライヤー組織のリスク評価を含めるべきであり、これには、セキュリティ方針と手順のレビューのほか、原産国リスク、業界リスク、実体リスク、財務リスクの分析が含まれるべきである。

2. 身元確認: 可能であれば、商品・物資の加工・流通過程の管理に関わる従業員の身元調査を行うことも重要である。組織は、輸送パートナーの可能性を証明するために、認可された第三者監査人を用いて、輸送パートナーを監査する必要がある。

3. テスト: 可能であれば、組織はサプライチェーンの様々なポイントに沿って侵入テストと脆弱性テストを実施する必要がある。脆弱性評価は企業にシステムの欠陥を警告し、それらの欠陥がどこで起きているかをピンポイントで特定する。侵入テストは脆弱性を悪用して、どの欠陥が脅威となり得るかを判断しようとするものである。

4. 訓練: サプライチェーンで働く従業員は、環境の変化や矛盾に注意を怠らないよう訓練されるべきである。彼らは常に状況を把握し、自分がどこにいるのか、周りで何が起こっているのかを知り、より良い意思決定を下すために注意力と情報収集力を高める必要がある。

5. 追跡: ベストプラクティスとして、すべての組織は出荷の記録と追跡を行う必要がある。GPS機器は貨物、海上コンテナ、航空貨物コンテナに取り付けられ、さらには個人を保護するために人に装着することができる。これらのGPS機器からの信号は、セキュリティ・オペレーション・センターで監視することができる。貨物がどこにあっても、何かが起これば、それを追跡して対応する生身の人間がいることになる。

6. 設備・機器: 企業は、コンテナドアを内側から監視するスマートコンテナ内部検知や環境モニタリング技術などのロックや不正開封防止シールを実施すべきである。これらの先進的なシステムは、追跡・移動経路確認を超えて、それぞれのドアを独立して監視し、湿度、温度、露点、光などの環境変化を感知することができる。鉄道の場合、トレーラーの盗難を阻止するためにエアブレーキロックアウトを利用するシステムがある。このシステムはトレーラーブレーキのロックと解除を可能にし、資産の不正な移動を防止する。

7. セキュリティ護衛者: より高価な貨物の場合、地域によってはセキュリティ護衛者が必要となる場合がある。この護衛ではルート計画や危機増加対応手順など、あらかじめ定義されたセキュリティ手順を備えているべきである。また、出荷係、ドライバー、セキュリティ・オペレーターと継続的に連絡を取り合い、すべてのセキュリティ護衛者は入念な審査を受け、現地の知識を持ち、標準化された訓練を受けるべきである。

8. 対応計画: すべての組織は、発見された脅威に対して迅速に行動するための対応計画を備えるべきである。セキュリティ・チームは積荷修復作業と捜査のプロセスを支援する、完全に補償された対応サービスを提供すべきである。貨物での警告信号を受けた場合、オペレーターは直ちに警察の対応を開始し、警察当局に対して実況での追跡情報を提供すべきである。

9. 貨物回収計画: もし、貨物が予定していない場所に行き着いてしまった場合、組織は貨物を取り戻すための努力をする必要があるが、それは必ずしも容易なことではない。セキュリティ・オペレーション・センターのオペレーターは、貨物回収に特化している。24時間365日のライブ監視と集中型事故対応管理により、迅速な警察対応のために、電子的および人的資産を含む危機増加対応手順に基づいて作業している。また、地元の警察と連携するため、事故対応チームを立ち上げる場合もある。サプライチェーンがグローバルであることを考えると、これらの機能をすべて備えたグローバルセキュリティパートナーと協力することは、経営資産である。

トピックス
サイバー、事業中断、リスクマネジメント、セキュリティ、サプライチェーン

本翻訳は“How to Make Your Supply Chain More Secure”, Risk Management Site (https://www.rmmagazine.com/articles/article//2022/07/07/how-to-make-your-supply-chain-more-secure), July, 2022,をRIMS日本支部が翻訳したものです。原文と和訳に相違があるときには、原文を優先します。本文中は敬称略です。

ロバート・ドッジはプローズガー・グローバル・リスク・サービス社EO。リスクマネジメントとセキュリティ戦略について組織に助言するチームを率いている。