オープンデータを用いたサプライヤーのセキュリティ評価手法

• Item type: Symposium(1)
• 公開日: 2019-10-14
• タイトル: オープンデータを用いたサプライヤーのセキュリティ評価手法
• タイトル / 言語: en
• タイトル: Security Rating Method Using Open Data for Suppliers in Supply Chain
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: サプライチェーンセキュリティ，オープンデータ，セキュリティ評価手法
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 三菱電機株式会社 情報技術総合研究所
• 著者所属: 三菱電機株式会社 情報技術総合研究所
• 著者所属: 三菱電機株式会社 情報技術総合研究所
• 著者所属(英): en
• 著者所属(英): Mitsubishi Electric Corporation, Information Technology R & D Center
• 著者所属(英): en
• 著者所属(英): Mitsubishi Electric Corporation, Information Technology R & D Center
• 著者所属(英): en
• 著者所属(英): Mitsubishi Electric Corporation, Information Technology R & D Center
• 著者名: 森, 拓海; 藤田, 真浩; 山中, 忠和
• 著者名(英): Takumi, Mori; Masahiro, Fujita; Tadakazu, Yamanaka
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: サプライチェーン攻撃の増加によって，サプライチェーンを形成する複数のサプライヤーのすべてが適切なセキュリティ水準を達成することが求められている．従来，サプライヤーのセキュリティ水準の評価は，過去の取引実績や知名度などの主観に頼ることが多く，セキュリティ水準の低いサプライヤーが選択され，サイバー攻撃の対象となっていた．本稿では，複数の情報源から収集したオープンデータを活用し，セキュリティ水準を数値化するサプライヤーのセキュリティ評価手法を提案する．本方式では，情報源を評価項目に応じて分類，重み付けを行った上でリポジトリ化し，発注元(バイヤー)の要求に応じてセキュリティ水準を数値化することで，サプライヤーのセキュリティリスクの可視化と共通認識を促進する．また，NIST SP800-53,SP800-161といったセキュリティ管理基準と照らし合わせ，サプライヤーが公開すべき情報と，その公開方法について評価し，本方式の有効性を確認した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: With the increase of supply chain attacks, all the suppliers in the supply chain must achieve the appropriate security level to protect the attacks. The suppliers' security levels have been evaluated subjectively by checking transaction histories and/or a company's name. It leads that a low security level supplier is selected, and then it may be targeted for cyber attacks. In this paper, we propose a supplier security rating method that quantifies the security level by using open data collected from multiple information sources. The collected data are classified, weighted based on security rating items, and stored to a repository. The security levels are evaluated objectively by referring to the repository and based on a request of buyers. The security risks of the suppliers can be visualized and make common view of security between the buyers and suppliers. In addition, we evaluated the information that suppliers should disclose and the method of disclosure using security management standards such as NIST SP 800-53 and SP 800-161, and verified the effectiveness of our method.
• 書誌レコードID / 識別子タイプ: NCID
• 書誌レコードID / 関連識別子: ISSN 1882-0840
• 書誌情報: コンピュータセキュリティシンポジウム2019論文集; 巻 2019, p. 92-97, 発行日 2019-10-14
• 出版者 / 言語: ja
• 出版者: 情報処理学会