止まるのは自社だけではない――サプライチェーン時代のサイバーBCP

なぜ今、「サイバーBCP×サードパーティリスク」なのか

近年、企業の事業継続を取り巻くリスク環境は大きく変化しており、サイバー攻撃を起点としたBCP（サイバーBCP）とサードパーティリスクは、従来のBCM／BCP（事業継続に関する管理体制や計画）の前提を大きく揺るがせています。本稿では、これらを統合的に捉えた「サイバーBCP×サードパーティリスク」の必要性について考察します。

サプライチェーンの複雑化がもたらす新たなリスク構造

企業の事業は、クラウドサービス、API連携、プラットフォーム事業者といった複数のサードパーティに依存して成り立っています。加えて、昨今のAIの台頭により、この依存関係はさらに複雑化しつつあります。また、コンタクトセンター、システム開発、セキュリティ運用、バックオフィス業務など、サードパーティに委託される多くの領域でもクラウド活用やAI活用が進展している状況です。その結果、企業はサードパーティに加え、その背後に存在するクラウド基盤・AI基盤にも、従来以上に依存する構造となっています。

こうした中、委託先事業者やサービス提供事業者のシステム停止、サービス障害、セキュリティインシデントが発生した場合、その影響は単一の業務にとどまらず、自社の事業継続や顧客向けサービスの提供に直接波及する可能性が高まっています。

実際、近年ではサードパーティへのサイバー攻撃に起因する事業停止事例が増加傾向にあります。例えば、外部委託先のシステム侵害により物流や決済機能が停止したケース、自社が利用するクラウドサービスの障害により基幹業務が長時間停止したケースなどが複数報告されています。これらはいずれも、自社のセキュリティ対策だけでは防ぎきれないリスクが顕在化したものです。

さらに、いわゆるサプライチェーン攻撃も高度化・頻発しており、攻撃者は相対的に見てセキュリティレベルの低いサードパーティ経由で標的企業に侵入する手法を拡大しています。このような状況において、サードパーティを含めたリスクマネジメントおよびBCPの再構築は、もはや避けて通れない課題です。

図表：自社のサイバーBCPと関係するサードパーティ

「サイバーBCP×サードパーティリスク」対応の未整備という課題

現在、多くの企業において、業務プロセスは広範なサードパーティと密接に結び付いています。クラウドサービスやAPI連携、スマートフォンアプリなどの活用がDXの進展とともに広がる中、その依存関係はますます複雑化しています。従来の自社中心のBCM／BCPでは、もはや事業継続を十分に担保することは困難になりつつあります。

しかしながら、サードパーティを含めたサイバーBCPを十分に整備できている企業は、現時点では極めて限定的です。主な課題として、以下が挙げられます。

まず、インシデント発生時の経営インパクト（国内外の法令違反による罰則、インシデントや当局の制裁による事業停止、売上減少、株価への影響、自社のレピュテーション低下など）を定量的に分析・整理し、経営層に対して適切に説明するための枠組みが整備されていない点です。結果として、迅速かつ合理的な意思決定が困難となっています。

また、サードパーティとの契約において責任分界が不明確なケースや、サイバーインシデント時の対応や情報共有に関する取り決めが十分でないケースも多いです。

さらに、関連規制の棚卸や遵守体制が不十分であり、法務部門を巻き込んだガバナンスが機能していない企業も見受けられます。

加えて、AIの影響を踏まえたサプライチェーン全体のリスク分析についても、ガイドライン整備にとどまり、実効的な評価に至っていないという課題が存在します。

海外規制とのギャップと今後想定される圧力

海外に目を向けると、EUのDORA（Digital Operational Resilience Act：デジタル業務レジリエンス法）やISO/IEC 27031、米国金融規制（FFIEC）などにおいて、サードパーティを含めた業務継続・サイバー耐性の確保が明確に求められています。さらに、当局向けの報告やサードパーティとの情報連携、共通の標準や契約、覚書に基づいた安全管理措置の実装も求められます。

こうした規制対応はサプライチェーン全体で必要となりますが、サードパーティとの間、あるいは自社内でも領域の分断が生じることで、対応が不十分となるリスクが大きいといえます。

今後は、こうしたギャップが投資家や取引先といったステークホルダーからの要求として顕在化する可能性が高く、特にサプライチェーンの強靭性に対する開示要求や監査は一層の強化が想定されます。

サプライヤーとしての責任と新たなリスク

ここまではサードパーティ・サプライヤーからの影響を受ける側の立場で考察してきましたが、見落としてはならないのが、自社が「サプライヤーの立場」となる場合のリスクです。自社の業務やサービスが他社の重要な機能の一部を支えている場合など、自社が認識している以上にサプライチェーン上の重要な役割を担っているケースもあります。自社のサイバーBCPが不十分な場合、供給責任の不履行や違約金の発生、さらには重要なサプライヤーリストからの除外といった事業機会の喪失につながる可能性があります。

すなわち、サイバーBCP×サードパーティリスクへの対応は「守りのリスク管理」にとどまらず、「競争力の維持・強化」という観点からも不可欠となっているのです。

サプライチェーン全体のレジリエンス確保に向けて

サイバーBCPとサードパーティリスクの融合は、もはや一部の先進企業だけの課題ではなく、あらゆる企業にとっての経営アジェンダとなりつつあります。自社単独では完結しない事業継続のあり方を再定義し、サプライチェーン全体でのレジリエンスをいかに確保するか――その鍵が「サイバーBCP×サードパーティリスク」です。

次回は、本稿で取り上げた課題を踏まえて、企業がサードパーティを含むサイバーBCPをどのように構築すべきか、その実践アプローチについて考察します。