このような巧妙なサプライチェーン攻撃に効果的に対応するには、単に防御的なアプローチだけでは限界があります。時には攻撃者の視点で考えてみることが必要です。攻撃者がどのようにシステムに侵入し、悪用するかを理解することです。これにより、攻撃者がサプライチェーンのどの地点を狙う可能性が高いか、どのように潜り込むことができるかを事前に予測し、対応することができます。

今後、企業や組織のセキュリティのためには、攻撃者の観点から考え、彼らがシステムにどのように侵入し、悪用できるかを理解することが不可欠になると考えられます。このため、実際の攻撃者のように行動してみるアプローチが必要です。例えば、ペネトレーションテスト（疑似侵入テスト）を通じて、企業システムの脆弱性を直接見つけ出すことです。ペネトレーションテストは、攻撃者が取り得る様々な経路を模擬実験してみることで、企業のセキュリティ状態を現実的に評価することができます。

また、シナリオベースのサプライチェーン攻撃訓練も重要です。この訓練は、実際のサプライチェーン攻撃シナリオに基づいて、企業内部のセキュリティチームがどのように対応できるかを実習することを目標としています。このように訓練されたチームは、実際の攻撃状況において、より迅速かつ正確に対応することができます。まるで練習試合で事前に戦略を固めるサッカーチームのように、実戦に先立って十分に準備するのです。

メールAPT（Advanced Persistent Threat）訓練も欠かせません。APT攻撃は、非常に精巧に設計されたフィッシングメールから始まるケースが少なくありません。これに備え、内部の従業員がAPTメールを識別して対応する訓練を定期的に実施すれば、攻撃者がいかに巧妙にメールを偽装したとしても、彼らの最初の試みを無力化することができます。

ソフトウェアサプライチェーン攻撃は、単に一企業の問題ではありません。該当するソフトウェアを使用するすべての組織に大きな影響を及ぼしかねない深刻な脅威です。サプライチェーンは複雑で多段階にわたるため、完全に保護することは容易ではありませんが、攻撃者観点での思考と対応がその解決策になり得ます。攻撃者を理解し、彼らが狙いそうな地点をあらかじめ予測することで、より堅牢で実質的なセキュリティ体制を構築できるでしょう。

「The proof of the pudding is in the eating（プディングの真価は食べてみなければわからない）」という言葉があります。東洋圏では「百聞は一見に如かず（百聞不如一見）」とも言いますが、セキュリティにおいても同様です。直接経験し、実験してみることこそ、その真価を知る方法です。結局のところ、私たちはこの戦いにおいて、常に先手を打たなければなりません。攻撃者が現れたとき、私たちはすでに彼らを待ち構えていなければならないのですから。