ドナルド・トランプ大統領は、国家安全保障システムで使用されるソフトウェア、サービス、技術を含む重要な防衛サプライチェーンをマッピングし、保護するための新規則を国防総省が策定することを義務付ける大統領令に署名しました。
この大統領令は主に重要素材の国内調達に重点を置いていますが、サイバーセキュリティチーム、特にソフトウェアサプライチェーンセキュリティ、サードパーティリスク、防衛関連企業のコンプライアンスを担当するチームに関連する複数の条項も含まれています。
この大統領令では、米国は「物理的、サイバー、経済的な破壊工作」から防衛サプライチェーンを保護しなければならないとし、あらゆる階層のサプライヤーおよび下請け業者に対する可視性の向上を求めています。
180日以内に、国防長官は防衛関連企業に対し、国家安全保障調達を支える重要サプライチェーンをマッピングすることを義務付ける方針を策定しなければなりません。実施規則は、方針策定完了から90日以内に定められる予定です。
この要件は元請け業者だけでなく、防衛サプライチェーンのあらゆる階層の下請け業者にも適用される可能性があります。
サプライチェーンマッピングにソフトウェアも対象に
提案されている規則の下では、企業はコンポーネント、機器、ソフトウェア、素材をサプライチェーン全体にわたって追跡し、原材料の産地まで遡って記載した、完全な「詳細部品表(indentured Bill of Materials)」の提出を義務付けられます。
想定されている文書は、従来型のソフトウェア部品表(SBOM)よりもはるかに広範囲に及びます。ソフトウェアおよびファームウェアの依存関係を、物理的なコンポーネント、製造業者、サプライヤー、保守情報、原産国、原材料の調達元と紐付ける可能性があります。
この大統領令は、重要サプライチェーンを、契約履行、ミッション保証、セキュリティ、レジリエンスに不可欠な商品、素材、システム、ソフトウェア、サービスを提供する、あらゆる階層のサプライヤーおよび下請け業者と定義しています。
この定義により、ソフトウェア開発者、クラウドプロバイダー、マネージドサービスプロバイダーなどの技術系企業も、元請けの防衛関連企業から何層も離れた存在であっても、今後策定される規則の対象範囲に含まれる可能性があります。
企業にサプライヤー審査を義務付け
企業はまた、サプライヤーおよび下請け業者を事前に審査するための書面による手順を確立することも求められます。
この審査では最低限、財務の安定性、外国による所有・支配・影響力、製造・供給リスクを考慮しなければなりません。企業は、単一調達先への依存、生産能力の不足、サプライヤーの集中、単一調達先への過度な依存といった懸念事項を特定することが求められます。
外国による所有・支配・影響力は、外国の利害関係者が情報への不正アクセスを取得できるか、あるいは国家安全保障契約の履行に悪影響を及ぼし得るかという観点から、一部定義されています。
サイバーセキュリティチームにとっては、従来のサードパーティセキュリティ評価の範囲が、実質的所有者、外国投資、開発拠点、管理者アクセス、データホスティングの取り決め、企業支配の変化にまで拡大する可能性があります。
この大統領令はさらに、一部例外を除き、信頼できない外国サプライヤーから供給された対象素材の使用を企業に禁止するよう政府に指示しています。
サプライチェーンリスクの報告義務
企業は必要な審査を完了した後、特定されたリスクを軽減し、是正措置を完了まで追跡しなければなりません。
重大なサプライチェーンリスクは、審査活動完了後15日以内に国防総省へ報告する必要があります。その後企業は45日以内に、軽減策と作業完了までのスケジュールを詳述した秘密の是正措置計画を提出しなければなりません。
是正措置の実施後には、完了報告書の提出も求められます。
この大統領令は、何が「重大な」サプライチェーンリスクに該当するのか、あるいはこの条項が特定のソフトウェア脆弱性、侵害、その他のサイバーセキュリティ上の発見事項を対象とするのかどうかを定義していません。これらの詳細は、今後策定される規則で対応されるとみられます。
この15日間の規定は、一般的なサイバーセキュリティインシデント報告期限として解釈すべきではありません。あくまで、この大統領令が想定するサプライヤー審査プロセスを通じて特定されたリスクに適用されるものです。
大統領令、免除措置と国内調達要件を厳格化
マッピングおよび審査に関する条項に加え、この大統領令は、そもそも企業がどの素材を使用できるかを定める調達規則も厳格化します。2027年1月1日以降、国防長官および各軍種長官は原則として、禁止対象調達先から対象素材を取得することを認める、10 U.S.C. § 4872に基づく免除措置の発行を停止します。免除措置が認められるのは、元請けまたは下請け業者が、非準拠の調達先を特定し、準拠する代替先を探すために講じた取り組みを文書化し、サプライチェーンから当該素材を排除するためのスケジュールを定めた正式な軽減計画を提出した場合に限られます。不正行為を行った、あるいは承認済みの軽減計画を故意に実行しなかったことが判明した企業は、契約上の罰則や司法長官への通報の対象となる可能性があります。
別の条項では、サプライチェーンが信頼できない外国サプライヤーに依存している企業に対し、可能な限り速やかに代替調達先を確保し移行することを義務付けています。これを怠った場合、政府がタスクオーダーを停止・終了させたり、契約オプションの行使を拒否したり、契約そのものを終了させたりする根拠となり得ます。
これらの条項はサプライチェーンマッピング要件ほど直接的にサイバーセキュリティと結び付いているわけではありませんが、この大統領令の他の箇所で規定される審査・報告義務を担うのと同じサードパーティリスク・サプライヤー管理チームにとって、コンプライアンス上のリスクを高めるものとなっています。
機密性の高いサプライチェーンデータが標的になる可能性
この大統領令が求める包括的なサプライチェーンマップ自体が、重大なサイバーセキュリティリスクを生み出す可能性があります。
防衛システムをソフトウェアの依存関係、サプライヤー、原材料、製造拠点、運用上のボトルネックと結び付ける詳細なデータベースは、外国の諜報機関やその他の脅威アクターにとって、潜在的に価値の高い標的となり得ます。
サプライチェーンデータが侵害されれば、敵対勢力が単一障害点、代替が困難なサプライヤー、脆弱なソフトウェア依存関係、そしてスパイ活動・妨害工作・経済的威圧の機会を特定する手助けとなりかねません。
防衛関連企業は、この情報を保護するために、厳格なアクセス制御、暗号化、監査ログ、データ損失防止、区画化(コンパートメント化)を適用する必要が生じる可能性があります。この大統領令は、専有情報が不正アクセスや不正使用から保護されることを条件に、部品表情報の一部を必要に応じて政府の支援業務企業に開示することを認めています。
政府、サプライチェーン分析にAIを活用へ
この大統領令は国防総省に対し、人工知能を含む利用可能なツールと技術を用いて企業の調達情報を分析し、国家安全保障上の脆弱性、ボトルネック、単一障害点を特定するよう指示しています。
このAI活用に関する条項により、政府は極めて大規模かつ複雑なサプライヤー・コンポーネント・依存関係のネットワークを分析できるようになる可能性があります。しかし同時に、サプライヤーのリスク判定の精度、専有情報の保護、そして政府が一元管理するサプライチェーンデータベースのセキュリティといった点についても疑問が生じる可能性があります。
この大統領令は、暗号化基準、セキュアな開発手法、脆弱性開示規則といった従来型のサイバーセキュリティ要件を課すものではありませんが、防衛産業基盤におけるサイバーセキュリティおよびサードパーティリスクチームの責務を大幅に拡大させる可能性があります。
実際の影響は、どの調達が国家安全保障関連に指定されるか、そして政府が今後策定する規則をどの程度広範に適用するかによって左右されます。一方で防衛関連企業は、SBOM管理、ハードウェア保証、サプライヤーの来歴確認、外国所有権のスクリーニング、サイバーセキュリティリスク管理を、単一のサプライチェーンセキュリティプログラムへと統合していく必要が生じるかもしれません。
