英国のサイバーセキュリティ・レジリエンス法案(CSRB)に、同国の重要インフラに対するサプライチェーン上の脅威を狙い撃ちにした遅れての修正が加えられました。
英国のCSRB(米国のサイバー安全審査委員会、Cyber Safety Review Board(CSRB)とは別物です)は、2025年11月に議会へ提出されました。庶民院での必要な審議過程をすべて終え、貴族院(HL Bill 32として)に送られており、現在は国王の裁可(Royal Assent)を得る段階に近づいています。国王の裁可とは、法案が議会制定法として英国の法律の一部となる時点を指し、これにより本法案はサイバーセキュリティ・レジリエンス(ネットワークおよび情報システム)法として成立することになります。
法案および制定法は、どの時点でも修正が可能です。実際、最近その一例がありました。2026年8月22日、The Telegraph紙は、イランと関係する攻撃者が英国の小規模なエネルギー施設を標的とし、4日間にわたってオフラインに追い込んだと報じました。この攻撃自体に深刻な影響はなかったものの、より広範なサプライチェーン攻撃が重要産業に及ぼしうる影響について疑問を投げかける結果となりました。
英国政府はこれに迅速に反応し、2026年8月24日、重要セクターの組織が高リスクと判断された技術サプライヤーを利用することを大臣の権限で阻止(ブロック)できるようにする必要性を強調し、CSRBへの修正案を提出しました。
Keeper SecurityのCEO兼共同創業者であるダレン・グッチョーネ氏は、次のように述べています。「英国の発電事業者がサイバー攻撃を受けて4日間オフラインになったことが確認されたのに加え、政府がサイバーセキュリティ・レジリエンス法案のサプライチェーン規定の対象を広げようとしていることで、長年続いてきた政策論議が一気に焦点を結ぶことになりました。今回の発電事業者を巡る事案と、国家が関与した疑いがあるという事実によって、セクターや規模を問わず重要サプライヤーを指定できるという本法案の権限に対する期待が、明らかに高まっています」
ManageEngineの英国事業責任者であるシャンカール・ハリダス氏も、次のように付け加えています。「この法案が示している重要な点は、病院をオフラインに追い込んだり水道供給網を侵害したりできるハッカーは、単なるITの問題ではなく、公共の安全に対する脅威だということです」
CyberSmartのCEO兼共同創業者であるジェイミー・アクタール氏は、次のように説明しています。「今回提案されている措置は、サプライチェーンセキュリティが個々の企業だけの懸念事項にとどまらず、国家的なレジリエンスの課題になりつつあることを示す、明確なシグナルの一つです。重要インフラの組織は自社で高度なセキュリティ対策を講じているかもしれませんが、サプライチェーンの下流にいる、防御が手薄な小規模サプライヤーを攻撃者に突かれてしまえば、その防御はあっという間に骨抜きにされかねません」
CSRBにはすでに、非常に厳格なインシデント報告期限や、違反に対する重い罰則といった厳しい要件が盛り込まれています。個々の企業を排除(ブロック)できるようにするのは、それとは次元の異なる措置です。「攻撃者が、防御の堅固な組織の正面玄関から侵入してくることはほとんどありません。多くの場合、セキュリティ対策が緩いベンダーや、常時アクセス権を持つマネージドサービスプロバイダー、あるいは何年も監査されていないサプライヤーを経由して侵入してきます」とグッチョーネ氏は述べています。Keeper自身の調査によると、英国の組織の34%がサードパーティのベンダーやサプライヤーが関与するインシデントを報告しているといいます。
これは興味深いアプローチです。重要インフラの安全性を高めるにあたり、自社内のセキュリティ対策を強化させるのではなく、セキュリティが不十分だとみなされるサードパーティサプライヤーとの接続を断つという手法を採っているのです。
アクタール氏はさらにこう続けます。「多くの中小企業は、自社が英国の重要インフラの一部を担っているとは必ずしも認識していません。しかし、重要セクターで事業を行う組織に技術やサービス、アクセス手段を提供しているのであれば、自社のサイバーレジリエンスは非常に大きな意味を持ちます。攻撃者はこの構図を理解しており、当然ながら最終標的への最も容易な侵入経路を探そうとします」
さらに次のように述べています。「サイバーセキュリティ・レジリエンス法案は、サードパーティリスクに対する説明責任をより重視する、より広範な潮流を反映したものです。結局のところ、英国の重要インフラのレジリエンスは、それに接続している組織のレジリエンスによって決まります。つまり、サプライチェーン全体を通じてサイバーセキュリティの底上げを図る必要があるということです」とアクタール氏は結論付けています。
サプライチェーンを狙った脅威は目新しいものではありませんが、今なお拡大を続けています。英国のサイバーセキュリティ・レジリエンス法は、サプライチェーン攻撃の起点となりがちな脆弱な組織に対し、自らのセキュリティ強化への取り組みをより一層促す、強制力を伴う仕組みとなるでしょう。標的とされているのはサプライチェーンですが、真の照準は中小企業という起点に合わせられています。したがって、英国の重要インフラに携わる中小企業へのメッセージはシンプルです。CSRBがCSRA(法律)へと姿を変えたとき、自社のサイバーセキュリティを高めておかなければ、英国政府によって将来の収益に影響が及びかねません。
