組織の73%が、貿易の不確実性を事業上の最大の課題として挙げています。
貿易の不確実性はサイバーリスクを増幅させており、サプライチェーンにおけるサイバーインシデントの発生は増加しています。
企業は、こうした混乱や潜在的な攻撃に備えて、サイバーレジリエンスを強化する必要があります。
関税（関税引き上げの脅威であっても）は、需要と供給の変動を招き、サプライチェーンに悪影響を及ぼして貿易の混乱を引き起こす可能性があります。これにより組織は、取引関係を見直し、リショアリング、ニアショアリング、フレンドショアリング、または新たなサプライヤーの起用を検討せざるを得なくなります。
こうした選択は、コストや物流上の問題を超えて、意図せず新たな脆弱性をもたらす可能性があります。全米製造業者協会（National Association of Manufacturers）の2025年第1四半期の見通し調査では、組織の約4分の3（73%）が関税や交渉などの貿易の不確実性を、事業上の最大の課題として挙げています。
関税とサプライチェーン
関税は原材料コストに直接影響し、組織は調達戦略の見直しを迫られます。スピードとコストを最適化した供給ルートは、一夜にして成り立たなくなる可能性があります。関税の低い地域を経由するルートへの迂回は、輸送時間と物流費の増加を招き、諸経費を押し上げます。
特定の地域やサプライヤーへの過度な依存を避けるため、組織は十分なセキュリティ審査を経ずに、新規で検証されていないサプライヤーを急いで取り込むことがあります。多様でセキュリティ水準の低いサプライヤーに分散したサプライチェーンは、混乱や脅威に対してより脆弱です。さらに、新たなサプライヤーや物流事業者にサプライチェーンを広げることは、攻撃者の侵入口を増やし、侵害のおそれを高めます。
輸入コストを避けるため、国内サプライヤーに切り替える組織もあります。これは物流を簡素化する一方で、少数のベンダーへの依存を生みます。サプライヤーがセキュリティ上の問題に直面しているのか、あるいは需要に応えられなくなっているのかは不透明になり、単一障害点（single point of failure）となる結果を招きます。
グローバル貿易の先行きの不透明さから生じる別のリスクとして、企業が長期投資を見直す動きがあります。新たな事業機会に対応するため既存インフラを拡充するのではなく、組織は緊急の調達や調達先の調整に資金を振り向けます。重要なシステムやセキュリティのアップグレードは先送りされ、パッチが適用されていないセキュリティ上の欠陥が残されます。
貿易戦争におけるサイバーセキュリティの課題
貿易の混乱とサイバーセキュリティの脅威が重なる状況は、ますます顕著になっています。関税の変更によって生じる主要なサイバーセキュリティ上の課題には、次のようなものがあります：
サードパーティの脆弱性の悪用：関税の期限を満たすことを急ぐあまり、組織は新規ベンダーを従来のパートナーと同水準の審査にかけないことがあります。より多くの生産需要に応えるために主要な役割に押し上げられた二次ベンダー（Tier 2）は、適切なセキュリティ対策を欠き、サプライチェーンの弱点となる可能性があります。攻撃者は、より大規模で安全性の高い組織に侵入するため、規模が小さくセキュリティ水準の低いサプライヤーを戦略的に狙うことがあります。さらに、再編されたサプライヤーネットワーク内に専門のセキュリティチームやインシデント対応の仕組みがない場合、復旧に時間がかかり、生産の遅延や経済的損失につながる可能性があります。
デジタル詐欺の増加：少なくとも301件の関税関連の悪意あるドメイン登録が2025年第1四半期に確認されており、これは米国の新たな関税発表の時期と一致しています。これは、脅威アクターが関税発表に伴う混乱や曖昧さにつけ込み、一連の詐欺キャンペーンを仕掛けていることを裏付けるものです。悪質な行為者は、生成AIツールを用いて請求書詐欺を行い、中小企業を標的にしています。この手口では、被害者は（利用している仕入先からのものとされる）個別に作成された請求書を受け取ります。そこには、商品の輸送中に変更された新たな輸入コストが記載されています。
地政学的緊張：関税の影響を受けた地域は、報復のための代替戦略を模索しており、これが国家による サイバー諜報活動として表れる地政学的緊張を生んでいます。米国の通信事業者に対するサイバー攻撃として知られる「Salt Typhoon」（およびその関連するハッキング）は、貿易摩擦の激化、特に関税や経済制裁への対抗措置に起因する、米国に対するサイバースパイ活動の一例です。
コンプライアンスリスク：事業拠点を新たな法域へ移すことは、国内とは大きく異なる外国の規制環境に適応する必要があるため、コンプライアンス上のリスクを生みます。グローバルなデータプライバシー法制は、暗号化、保管、アクセス制御に関してさまざまな要件を課しており、組織はサイバーセキュリティ方針の調整に苦慮しています。
国際サプライチェーンにおけるサイバーレジリエンス
組織がサプライチェーンにおけるサイバーレジリエンスを構築する方法は、次のとおりです：
ゼロトラストポリシーを導入する：侵害されたベンダーからの不正アクセスを遮断するため、基幹システムにアクセスする前に、すべてのサードパーティベンダーを継続的に認証するゼロトラストモデルを導入します。これは、内部脅威や漏えいした認証情報への対策に特に有効です。
強固なアクセス制御を徹底する：最小権限の原則を適用し、ベンダーのアクセスを必要なシステムとデータのみに限定することで、サプライチェーンの攻撃対象領域を最小化します。ネットワークのマイクロセグメンテーションにより、サプライチェーンのネットワークを分離し、脅威が横方向に移動することを防ぎます。
リアルタイムの脅威インテリジェンスを導入する：組織は、重大な侵害に発展する前に、サプライヤーネットワーク内の侵害の兆候を特定するため、AIを活用した予測分析と脅威インテリジェンスフィードを活用する必要があります。AIによる脅威検知を導入し、異常をリアルタイムで検出するとともに、不審なサプライヤーの活動を先回りして調査します。
サプライチェーンのパートナーを教育する：ほとんどのサイバー攻撃は、サプライヤーネットワーク内の訓練を受けていない職員を標的にします。サイバーセキュリティの意識向上研修は、サプライチェーンにおける人的要因によるセキュリティ脅威を最小限に抑えることができます。模擬攻撃シナリオを用いたフィッシング対策の啓発プログラムにより、サプライヤーに偽のメールや悪意のあるリンクを見分ける訓練を行うことができます。
堅牢なインシデント対応計画を策定する：自動復旧システムにより、ワークロードをバックアップインフラへ自動的に振り向け、迅速な是正を図ることで、インシデント後のダウンタイムを最小限に抑えます。ベンダーの侵害やシステムの侵害といった状況に対するレジリエンスを確認・強化するため、シミュレーション訓練を実施します。
世界の貿易環境は、新たな関税政策の適用によって変容しました。特に、これらの政策はサイバーセキュリティと交差しており、パートナー組織におけるサイバーインシデントの影響を受ける世界の企業は増え続けています。サプライチェーンのサイバーインシデントの発生は増加しており、その影響の大きさも拡大しています。このような不安定な貿易環境において事業を継続するため、グローバルなサプライチェーンには、迅速な対応と復旧に重点を置いたサイバーレジリエンスが必要です。サイバー攻撃の最中であっても、サプライチェーンの継続性を確保することが求められます。
