機密情報の保護とトレーサビリティの両立を目指す、製造業向けサプライチェーン追跡のメタフレームワーク「NIST IR 8536」を公表 NIST
米国国立標準技術研究所（NIST）は、複雑化するグローバルサプライチェーンにおいて偽造部品の混入やデータの改ざんを防ぎ、製品履歴のトレーサビリティを確保するための新たなメタフレームワークとして、「NIST IR 8536：サプライチェーン・トレーサビリティ原則：製造業におけるメタフレームワーク」を公表しました。各国のデータスペースや既存規格をつなぐ共通基盤となることを目指しています。米国の非営利組織MITREとの共同研究によって策定されました。
偽造部品の混入やファームウェアの改ざんなど、サプライチェーン上のセキュリティリスクが深刻化しています。しかし、従来の直近の取引先のみの個別管理では、何階層も遡る上流サプライヤーの追跡が困難でした。
一方で、1つの巨大なデータベースに全企業のデータを集約する方式では、製造ノウハウや取引関係などの企業秘密が漏洩するリスクがあるため、多くのサプライヤーがデータ共有に難色を示すという「情報の非対称性」が大きな壁となっていました。
今般公開された「NIST IR 8536」は、企業秘密の保護とトレーサビリティの両立を目指して開発されたものです。巨大な中央データベースを作ることなく、企業の知的財産や機密情報を保護しながら、分散環境で製品の来歴（プロビナンス）や構成情報を暗号技術で検証可能にする枠組みを提示しています。
具体的には、9つの原則とそれを具現化するためのデータ構造（メタフレームワーク）を提示しています。製造業や重要インフラなど、異なる業界・エコシステム間でも、暗号学的リンクを用いて製品履歴を追跡・検証できる仕組みが示されています。
具体的な仕組みとしては、まず企業内部の詳細な製造ログは社内に留めつつ、外部共有用には「製造（Make）」「組立（Assemble）」「出荷（Ship）」「受領（Receive）」などの共通イベントデータのみを切り出す「選択的開示」を採用しています。これは、「A工場でB時に製造した（Make）」「C時に出荷した（Ship）」といったデータだけを切り出して共有するもので、製造ノウハウやコスト構造などの機密情報を開示するリスクを最小限に抑えられます。
さらに、各データの「外枠（共通の封筒）」と「中身（業界ごとのデータ形式）」を分離します。これにより、既存の業界規格やデータスペースのデータ形式を活用しながら、異なるエコシステム間の相互運用を可能にする設計となっています。
また、各イベント記録には先行するイベント記録を参照するトレーサビリティリンクが設定され暗号学的に検証可能な形で履歴を連結します。これにより、単一の中央データベースを設けなくても、製品の買い手は各組織のリポジトリに保存された記録を暗号学的リンクで辿り、途中でデータが改ざんされていないかを検証できます。
