サプライチェーンから情報漏洩、自社内外のセキュリティ状況を把握する

サイバー犯罪は、自社の関連会社やパートナー、つまりサプライチェーンの隙を狙う傾向にある。セキュリティ対策に投資している企業よりも、脆弱性をかかえた企業を狙ったほうがより容易にクラック（※1）できるからだ。

（※1）ネットワークに繋がれたシステムへ不正に侵入し、コンピュータシステムを破壊・改竄するなど、コンピュータを不正に利用すること。

サプライチェーンを狙う犯罪者は、盗み出した情報を分析し、見積書・請求書などはコストに関わる情報、仕様書や設計図などは秘密情報、または人事情報などは個人情報として理解して、直接被害企業やその取引先に直接連絡し、インターネットに暴露するなどと恐喝する材料にし始めている。

これまでのように身代金要求ウイルスを仕込み、被害企業に対して暗号解除やウイルス駆除の為の現金の要求もしており、2重に恐喝される事件も発生している。

さらにダークウェブ（※2）上にはこうした流出情報を企業名・業種・入手日・データ量・データ内容の特徴など整理して売買されているサイトが登場しており、次の犯罪の手掛かりにされてしまう危険がある。

（※2）インターネットを使用するが、一般的な検索エンジンでは検索できないWebサイト。特定のソフトウェアによるオーバーレイ・ネットワーク上に存在しておりアクセス元情報を秘匿できる。

インターネット側の情報から企業のセキュリティを可視化する

インターネット上には、マルウェアとボットネットからの通信、脆弱性のあるDNSやホストサーバ、ハニーポット（※3）、そしてダークウェブなど、企業の脆弱性を知りうる様々な情報と情報源がある。そういった情報を日々大量に収集し、分析し評価しているサービスがBitSightだ。

（※3）ハニーポット：不正アクセスを受ける為に設置された、犯罪者による攻撃の余地を意図的に残した公開サーバなど。攻撃元情報やマルウェアの収集に活用されている。

BitSightとは

BitSightは毎日900億以上のイベントを収集、リスク要因（指標）でフィルタリングし、企業のセキュリティをインターネット側の情報から可視化することができる。

※２３の診断指標の一部抜粋

• オープンポート
• DNSサーバの情報の正確性確認
• ボットネットへの感染兆候
• 不適切なサイトとのセッション履歴
• マルウェアなどの通信
• SPAMメールの送信履歴
• ファイルシェアリング　など

BitSightはサブスクリプション契約であり、1回だけのセキュリティ診断サービスではない。契約期間中いつでもポータルから可視化されたレポートを自動的に入手することができる。

BitSightはインターネット上に公開されている情報を分析するということがポイントだ。自社ネットワークと接続していない企業のセキュリティ遵守状況も確認できるので、サプライチェーン全体のモニタリングも可能である。

BitSight基本パッケージ

契約期間　1年　＊その時点から1年前までのデータを遡って参照可能

• 自社＋2社の子会社のヘルスチェック
• 他社を5社までベンチマーク（セキュリティパフォーマンススコア・数値のみ表示）
  各種追加オプション
• ヘルスチェック対象の子会社やベンチマーク他社の追加
• サプライチェーン向けメニュー（多数の社外企業を対象としヘルスチェック対象の組み換え可能）

【ご相談・お問い合わせ】

ご相談・お問い合わせは、Eメールにて件名に「BitSightの件」とご入力の上、

s-stjmkt@singtel.com

までお問い合わせください。

■　インシデント発生後の対応を明確にできてないという課題がある場合こちらもお勧めしたい。

DFIR デジタルフォレンジック＆インシデントレスポンス

• デジタルフォレンジックとは、サイバー犯罪者が残した痕跡を分析・復元しデジタル証拠を確保し、データ流出・滲出の確認をする。
• インシデントレスポンスとは、侵害されたメモリーや悪意のあるプログラムを分析し封じ込める。

オンサイト／リモートで、Singtelセキュリティ部門のTrustwave社のホワイトハッカーチームが世界中から、24h365日対応で、インシデント発生後の対応をサポート。

DFIR