SP 800-161はサプライチェーン攻撃に対処するためのC-SCRMフレームワークです。中小企業は「委託先の棚卸し→契約のセキュリティ条項→SBOMの把握」から着手しましょう。
SP 800-161とは
NIST SP 800-161 Rev.1「Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations」（2022年公開）は、サプライチェーン全体のサイバーセキュリティリスクを管理するためのフレームワーク（C-SCRM）を定義した文書です。SolarWinds事件やLog4j脆弱性のように、サプライチェーンを経由した攻撃が急増していることを受け、Rev.1で大幅に内容が強化されました。
サプライチェーンの脅威
| 脅威 | 概要 | 実例 |
|---|---|---|
| ソフトウェアサプライチェーン攻撃 | 正規のソフトウェアやアップデートにマルウェアを混入 | SolarWinds Orion（2020年） |
| OSS脆弱性 | 広く使われるOSSライブラリの脆弱性 | Log4Shell（2021年） |
| 委託先からの漏洩 | 業務委託先がサイバー攻撃を受け、委託元の情報が漏洩 | 日本国内の多数の委託先ランサムウェア被害（2024年） |
| ハードウェアの改ざん | 製造過程でバックドアが仕込まれたハードウェア | 偽造チップ、改ざんネットワーク機器 |
| サービスプロバイダーの障害 | クラウド/SaaSの障害が顧客のビジネスに波及 | 主要クラウドの大規模障害 |
セキュリティ対策は導入して終わりではなく、日々の運用と検知後の初動が成果を分けます。情シス365では Defender／Intune の運用も含めて、必要な時間数に応じた月額制（月12万円〜）でご支援しています。
情シス365（セキュリティ運用） を見る →C-SCRMフレームワーク
SP 800-161は、サプライチェーンリスク管理をSP 800-39の3層モデル（組織→ミッション→システム）に統合して実施することを推奨しています。
| 層 | C-SCRMの活動 |
|---|---|
| Tier 1（組織） | C-SCRMポリシーの策定、リスク許容度の決定、経営層のコミットメント |
| Tier 2（ミッション） | 重要なサプライヤーの特定と評価、契約へのセキュリティ要件の組み込み |
| Tier 3（システム） | SBOM（ソフトウェア部品表）の管理、サプライヤー製品の脆弱性監視 |
主要な管理策
- サプライヤーの評価：主要サプライヤーのセキュリティ体制を定期評価（ISMS認証、SOC 2レポート等）
- 契約条件：セキュリティ要件、インシデント通知義務、監査権を契約に明記
- SBOMの取得・管理：ソフトウェアの構成要素（OSSライブラリ含む）を可視化（→ SBOM解説）
- 多層防御：サプライヤーの製品・サービスに依存する部分を最小化し、代替手段を確保
- 継続的監視：サプライヤーの脆弱性情報、セキュリティインシデント情報を継続的に収集
よくある質問
SP 800-161とは何ですか？
NIST SP 800-161 Rev.1（2022年公開）は、サプライチェーン全体のサイバーセキュリティリスクを管理するC-SCRM（Cybersecurity Supply Chain Risk Management）の実践方法を示した文書です。
どんな脅威が想定されていますか？
正規のソフトウェアやアップデートにマルウェアを混入するソフトウェアサプライチェーン攻撃（2020年のSolarWinds Orion）、広く使われるOSSライブラリの脆弱性（2021年のLog4Shell）、業務委託先からの漏洩です。
C-SCRMはどう階層化されますか？
Tier 1（組織）でC-SCRMポリシーの策定・リスク許容度の決定・経営層のコミットメント、Tier 2（ミッション）で重要サプライヤーの特定・評価と契約へのセキュリティ要件の組み込み、Tier 3（システム）でSBOMなどの具体的な管理を行います。
主要な管理策は何ですか？
主要サプライヤーのセキュリティ体制をISMS認証やSOC 2レポートで定期評価すること、セキュリティ要件・インシデント通知義務・監査権を契約に明記すること、OSSライブラリを含むソフトウェア構成要素を可視化するSBOMの取得・管理です。
まとめ
SP 800-161はサプライチェーン攻撃に対処するためのC-SCRMフレームワークです。中小企業は「委託先の棚卸し→契約のセキュリティ条項→SBOMの把握」から着手しましょう。