脅威分析とセキュリティリスクアセスメント
ある製造業者が、部品調達先の取引先企業のネットワークを経由してマルウェアに感染し、自社の生産管理システムに被害が及んだ。このようなリスクへの対応として、取引先を含めたリスクアセスメントを行う際に着目すべき観点として最も適切なものはどれか。
- A自社内のネットワークセグメントの構成のみを評価すればよく、取引先の管理体制は評価対象外とする
- B取引先とは金銭的な契約関係にとどまるため、情報セキュリティ上の責任は一切自社にはないと整理する
- C被害が発生してから初めて取引先の管理体制を確認すればよい
- ✓取引先とのネットワーク接続の範囲、取引先側のセキュリティ管理体制、委託契約におけるセキュリティ要件の有無を評価する
解説
サプライチェーンリスクでは自社のみならず、接続範囲や委託先の管理体制、契約上のセキュリティ要件までを評価対象に含める必要がある。
根拠シラバス 業務と役割「システム調達（製品・サービスのセキュアな導入を含む）」及び情報セキュリティリスクアセスメント