なぜ「セキュリティ対策推進計画」が必要なのか
本コラムは、経済産業省・IPAが策定した
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
について、その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。
前回は「セキュリティ方針」を取り上げ、
組織としての判断基準を事前に定める重要性を整理しました。
大分類：ガバナンスの整備 ／ 中分類：監督（1-4）
監督とは何か
（SCS評価制度の要求）
SCSが求めていること
SCS評価制度では、次のように定められています。
セキュリティ対策推進計画を策定し、定期的に経営層へ対策実施状況に関する報告を行うとともに、
報告結果を対策の推進に反映すること。
この要求は、
計画・実行・報告・改善という一連の流れを指しています。
単なる管理ではなく、
意思決定を循環させる仕組みを持つことが求められます。
なぜ監督が必要か
（孫子における考え方）
この考え方は、
孫子においても示されています。
兵形象水
―『孫子兵法・形篇』
（兵の形は水に似る）
水は形を固定せず、
状況に応じて流れを変えます。
戦略もまた、環境に応じて変化させ続ける必要があります。
孫子の文脈
孫子は、
優れた戦略を固定的なものとして捉えていません。
水が地形に応じて流れを変えるように、
戦略も環境や相手の状況に応じて変化しなければなりません。
昨日まで有効だった方法が、
今日も有効であるとは限らないのです。
孫子が説く「兵形象水」とは、
変化に適応し続ける組織こそが生き残るという考え方です。
ビジネスの文脈
企業経営においても同様です。
方針やルールを策定しただけでは、
組織は機能し続けません。
事業環境、
取引先要求、
法令、
脅威動向は常に変化しています。
そのため経営には、
- 現状を把握する
- 結果を確認する
- 改善する
という循環が必要です。
SCS評価制度が監督を求めるのは、
管理のためではなく、
組織の適応力を維持するためです。
この要求事項は、孫子でいう「兵形象水」に相当します。
ここまでの整理を振り返ると、
- 前提条件を定める（第1回）
- 意思決定主体を定める（第2回）
- 判断基準を定める（第3回）
これにより、
「戦える状態」は整っています。
しかし、
環境は変化し続けるため、
これだけでは不十分です。
決めた戦略を維持するのではなく、
更新し続ける必要があります。
監督の構造
SCSが求める監督は、
次の循環です。
- 計画を立てる
- 実行する
- 状況を報告する
- 結果を反映する
戦略を「生きた状態」に保つための循環です。
経営層への報告の意味
経営層への報告は、
単なる進捗共有ではありません。
- セキュリティが経営リスクであるため
- 最終的な意思決定が経営にあるため
判断に必要な情報を適切に伝えることで、
組織としての意思決定が成立します。
報告されないリスクは、
存在しないものとして扱われてしまいます。
そのため監督とは、
現場の状況を経営判断へ接続する仕組みでもあるのです。
反映が持つ意味
監督で最も重要なのは、
報告そのものではありません。
- 報告するが変わらない
- 過去の前提のまま動き続ける
ような状態では、
監督は機能しているとは言えません。
環境が変化する中で修正が行われなければ、
戦略は機能しません。
改善のための行動へと繋がって初めて、
報告は価値を持ちます。
SCS評価制度が求める本当の到達点
SCS評価制度は、
- 計画を策定すること
- 実施状況を点検すること
- 経営層へ報告すること
- 改善を反映すること
を求めています。
しかしその本質は、
「組織を継続的に改善する仕組みを持つこと」
です。
計画だけでは実行されません。
報告だけでは改善されません。
改善だけでは方向性が保てません。
計画・実行・報告・改善が循環して初めて、
組織のガバナンスは機能します。
まとめ
セキュリティにおける監督とは、
- 計画を作ることでもなく
- 報告を行うことでもなく
意思決定の循環を止めないことです。
戦略は一度定めて終わるものではありません。
兵形象水
（優れた組織は、変化に応じて姿を変える）
変化に応じて更新し続けることで、
初めて機能する。
前提条件を定め、
意思決定主体を定め、
方針を定めても、
改善がなければ組織はやがて環境変化に取り残されます。
監督とは、
組織を継続的に適応させるための仕組みです。
それは、
ガバナンスを生きた状態に保つための
最終工程なのです。
チェック：意思決定の循環は機能しているか
以下はチェックシートです。
すべてに☑が付く状態が望ましい状態です。
- ☑ 計画・実行・報告・改善の流れが定義されているか
- ☑ 実行状況が定期的に可視化されているか
- ☑ 報告が意思決定に繋がる形で行われているか
- ☑ 経営層が状況を把握できる状態になっているか
- ☑ 報告結果が実際の改善に反映されているか
- ☑ 環境変化に応じて戦略や対策が見直されているか
もしこれらに一つでも☑を付けられない場合、
意思決定の循環が機能していない可能性があります。
計画だけが存在していても、
改善が行われなければ組織は進化しません。
報告だけが行われていても、
経営判断に反映されなければ意味がありません。
まずは、
自社の意思決定サイクルがどのように回っているのかを確認することが必要です。
今からできるアクション
☑が付かなかった項目がある場合は、以下から始めましょう。
- 現在のセキュリティ対策推進計画の有無を確認する
- 経営層への報告機会や報告ルートを整理する
- 実施状況を確認するための指標（KPI）を決める
- 改善事項の記録方法と管理方法を整備する
- 前回の改善結果が実際の対策へ反映されているか確認する
監督とは、
誰かを監視することではありません。
組織が変化に適応できる状態を維持することです。
まずは、
自社の意思決定サイクルが実際に回っているかを確認してみましょう。
次回は「取引先管理」を取り上げ、
サプライチェーン全体でセキュリティを考える重要性を整理します。
