【SCS評価制度×孫子】⑥資産管理

なぜ「資産管理」が必要なのか

本コラムは、経済産業省・IPAが策定した
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
について、その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。

前回は「取引先管理」を取り上げ、
自社の外側に広がるリスクをどのように捉えるべきかを整理しました。

第5回：なぜSCS評価制度は「取引先管理」を求めるのか

大分類：リスクの特定 ／ 中分類：資産管理（3-1）

資産管理とは何か（SCS評価制度の要求）

SCSが求めていること

SCS評価制度では、次のような対応が求められます。

守るための対策ではなく、
守る対象を把握することが求められます。

セキュリティ対策は、
資産を把握して初めて実施できます。

何が存在するのか分からない状態では、

• どこにリスクがあるのか
• 何を優先して守るべきか
• どこへ投資すべきか

を判断することができません。

なぜ資産管理が必要か（孫子における考え方）

この考え方は、孫子においても示されています。

勝可知而不可為

―『孫子兵法・形篇』

（勝機は知ることができるが、無理に作り出すことはできない）

孫子は、
勝利を偶然や希望によって得られるものとは考えていません。

まず現状を正しく把握し、

自軍の状況を理解し、

勝機が存在するかを見極めることを重視しています。

把握できていないものは、
判断することもできません。

これは資産管理にもそのまま当てはまります。

孫子の文脈

孫子は、

勝利を作り出す前に、

まず状況を理解することを求めています。

戦場に何が存在するのか。

どのような条件があるのか。

どの場所が重要なのか。

これらが分からなければ、
戦い方を決めることもできません。

勝可知而不可為とは、

勝利は正しい状況認識によって発見されるものであることを意味しています。

ビジネスの文脈

企業経営においても同じです。

経営者は、

• どのシステムが存在するのか
• どの情報が重要なのか
• どの資産が事業を支えているのか

を把握していなければなりません。

資産が見えていなければ、

リスクも見えません。

優先順位も決まりません。

投資判断もできません。

SCS評価制度が資産管理を重視するのは、

リスク管理の出発点が資産把握にあるからです。

見えていないものは守れない

資産管理の本質は、
「可視化」にあります。

自社にどのような資産が存在するのかを把握していなければ、
適切な防御はできません。

• 管理されていない端末
• 把握されていないサーバ
• 無断で利用されるクラウドサービス

これらはすべて、
管理の視界から外れた資産です。

見えていないものは、
守ることも管理することもできません。

資産台帳の整備や棚卸しは、
形式的な作業ではありません。

自社の現状を正しく把握するための活動です。

資産は「一覧」ではなく「経営資源」である

資産管理という言葉を聞くと、

• 資産台帳を作る
• 機器を登録する
• 棚卸しを行う

といった事務作業を想像しがちです。

しかしSCS評価制度が求めているのは、
単なる一覧管理ではありません。

企業活動を支える情報資産を把握し、
その重要度や依存関係を理解することです。

• 業務を停止させると事業へ大きな影響を与えるシステム
• 顧客情報や技術情報などの重要データ
• 事業継続に不可欠なクラウドサービス

これらはすべて経営資源です。

資産管理とは、経営資源を可視化する活動でもあります。

機密区分と優先順位

すべての情報資産を、
同じ強さで管理することは現実的ではありません。

顧客情報や技術情報と、
公開済み資料とでは重要度が異なります。

そのため、

• どの情報が重要なのか
• どの資産を優先的に守るべきなのか
• どこに人的・技術的対策を集中すべきなのか

を明確にする必要があります。

SCS評価制度が機密区分に応じた管理を求めるのは、
限られた経営資源を重要な対象へ集中させるためです。

資産を分類し、重要度に応じて管理を変えることが、
実効性のある資産管理につながります。

外部サービスは「管理すべき自社資産」である

現在、多くの企業がクラウドサービスやSaaSを利用しています。

メール、

ファイル共有、

グループウェア、

顧客管理システムなど、

事業活動の中核となる情報が、
社外サービス上に保存されることも珍しくありません。

しかし、

それらが自社設備の外にあるからといって、
管理対象ではなくなるわけではありません。

SCS評価制度が外部サービスの管理を求めるのは、

そのサービス上で自社の情報が扱われている以上、

重要な情報資産の一部だからです。

• どのサービスを利用しているのか
• 誰が契約しているのか
• 誰が管理責任者なのか
• どの情報を保存しているのか

これらが把握されていなければ、
実質的には管理されていない状態と変わりません。

自社設備であるかどうかではなく、
自社の業務や情報を支えているかどうかが管理対象を決める基準です。

特に部門単位で導入されたサービスや、
管理部門が把握していない契約は、
シャドーITとして管理の空白を生みます。

リモートワーク環境の定義

リモートワークは、
企業の管理範囲を大きく広げる働き方です。

業務は社内だけでなく、

• 自宅
• 外出先
• 出張先
• 公衆無線LAN環境

などでも行われます。

そのため、

どこまでを業務環境として認めるのかを
明確に定義する必要があります。

利用できる機器、

利用可能なネットワーク、

保存可能なデータ、

持ち出し条件などが曖昧なままでは、
管理外領域が拡大します。

資産を把握することは、
機器やシステムだけではなく、
業務が行われる環境を把握することでもあります。

SCS評価制度がリモートワーク環境の定義を求めるのは、
管理対象と管理範囲を明確にするためです。

SCS評価制度が求める本当の到達点

SCS評価制度は、

• 情報機器の把握
• ソフトウェアの把握
• ネットワークの把握
• 外部サービスの管理
• 機密情報の区分管理
• リモートワーク環境の定義

を求めています。

しかしその本質は、

「守る対象を正しく把握すること」
です。

資産が見えていなければ、

リスクは見えません。

優先順位も決まりません。

投資判断もできません。

資産管理とは、
セキュリティ対策の前提となる状況認識なのです。

まとめ

資産管理とは、

• 台帳を作ることでもなく
• 形式的な管理でもなく

守る対象を可視化することです。

セキュリティ対策はここから始まります。

勝可知而不可為

（勝機は、正しく状況を把握することで見えてくる）

把握できていないものは、防御できない。

資産管理とは、
企業が何を保有し、
何によって事業が支えられているのかを理解することです。

それは、
リスク管理の出発点であり、
すべてのセキュリティ対策の土台なのです。

チェック：資産管理は機能しているか

以下はチェックシートです。
すべてに☑が付く状態が望ましい状態です。

もしこれらに一つでも☑を付けられない場合、

把握できていない資産がリスクになっている可能性があります。

セキュリティ上の問題は、
管理している資産から発生するとは限りません。

むしろ、

• 存在を把握していないサーバ
• 管理されていないソフトウェア
• 担当者不明のクラウドサービス

など、

管理の視界から外れた資産ほど大きなリスクになります。

まずは、
自社が何を保有しているのかを整理することが必要です。

今からできるアクション

☑が付かなかった項目がある場合は、以下から始めましょう。

資産管理とは、
台帳整備そのものが目的ではありません。

重要なのは、

自社の現状を正しく把握し、

何を守るべきなのかを明確にすることです。

まずは、
「自社が何を持っているか」を見える化することから始めましょう。

次回は「リスクアセスメント」を取り上げ、
把握した資産に対してどのようなリスクが存在するのかを評価する重要性を整理します。

第7回：リスクアセスメント

参考

• 銀雀山漢墓竹簡 – 中國哲學書電子化計劃
  （『孫子兵法・形篇』「勝可知而不可為」）
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | IPA
  
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | 経済産業省