エンゲージメントを通じたサプライチェーンのサイバー・レジリエンス強化
－エンゲージメントを効果的に実践するための新たな手法－
野村アセットマネジメント 債券サステナブル・インベストメント・ヘッド ジェイソン・モーティマー
要約
- 企業は、自社およびサプライチェーン上の取引先企業のネットワークの脆弱性に起因するサイバーセキュリティ・リスクに直面している。自動車、金融、小売りの各業種において大きな注目を集めた有害事象は、サプライチェーンに対するサイバー攻撃がバリューチェーン全体にわたって業務を混乱させ、データを危険にさらし、その結果、重大な経済的損失や重要な国家機能への障害をもたらす可能性があることを示している。
- 上流・下流の取引先企業が抱えるサード・パーティへの脆弱性を特定し、緩和するために、「サイバー・サプライチェーン・リスク管理（C-SCRM）」は不可欠であり、企業の最高情報セキュリティ責任者（CISO）、規制当局、投資家にとっても重要な関心事項となっている。
- サイバーセキュリティに関する定量的なパフォーマンス・データを活用して、サプライチェーン全体のリスクを評価した上で、バリューチェーンの全階層において効果的なサイバーセキュリティの枠組みを確実に構築するよう企業に働きかけることが、投資家にとって選択肢となる。これは、スコープ3（サプライチェーン）における排出量と労働者の権利が一般的にモニタリングされているのと相似形である。
- 投資家はこのような先を見越したアプローチによって、重大なリスクを特定し、投資リターンの改善を期待できるようになる。同時に、全体的なサイバー・レジリエンスの強化や、サイバーセキュリティ・リスクに関連する社会経済的な影響への対応にもつながる。
（本内容は参考和訳であり、原文〔Original〕と内容に差異がある場合は、原文が優先されます。）
原文（Original）
Investor Engagement for Cyber Resilience in Supply Chains
－ A new method for integration and effective corporate engagement on cybersecurity supply chain risks －
Jason Mortimer, Head of Sustainable Investment - Fixed Income, Nomura Asset Management
- Companies face cybersecurity risks from vulnerabilities in their own networks and those of their supply chain partners. High profile incidents in the automotive, financial, and retail sectors demonstrate that supply chains cyberattacks can disrupt operations and compromise data across the value chain, causing material financial losses and impairment to critical national functions.
- Cybersecurity Supply Chain Risk Management (C-SCRM) is essential for identifying and mitigating third-party vulnerabilities in both upstream and downstream partners, and is now a key concern for business CISOs regulators, and investors.
- Investors can leverage quantitative cybersecurity performance data to assess risks across supply chains, engaging with companies to ensure that effective cybersecurity frameworks are in place across all tiers of their value chain － just as Scope 3 supply chain emissions and labor right standards are commonly tracked and managed.
- This proactive approach can identify material risks and potentially improve investment returns, while contributing to overall cyber resilience and addressing socio-economic impacts related to cybersecurity risks.
