【SCS評価制度×孫子】⑨意識向上とトレーニング

なぜ「教育・訓練」が必要なのか

本コラムは、経済産業省・IPAが策定した
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
について、その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。

前回は「アイデンティティ管理・認証・アクセス制御」を取り上げ、
侵入されにくい状態を作ることの重要性を整理しました。

第8回：なぜ「アイデンティティ管理・認証・アクセス制御」が必要なのか

大分類：攻撃等の防御 ／ 中分類：意識向上とトレーニング（4-2）

教育・訓練とは何か（SCS評価制度の要求）

SCSが求めていること

SCS評価制度では、

• 経営層が情報セキュリティに関する役割と責任を理解すること
• 職場特有のリスクや重要なルールを周知すること
• 役員・従業員・派遣社員・受入出向者に対して教育・研修を実施すること
• インシデント対応に関する教育・訓練を実施すること
• 教育や訓練の実施状況を記録・保管すること
• 教育内容を定期的に点検し改善すること

が求められています。

システムだけではなく、
人を防御の一部として機能させることが求められています。

セキュリティ対策は、

• 仕組みだけ整備すれば良い
• システムだけ強化すれば良い

というものではありません。

最終的には、
それを利用する人の行動が結果を左右します。

なぜ教育・訓練が必要か（孫子における考え方）

この考え方は、孫子において明確に示されています。

上下同欲者勝

―『孫子兵法・謀攻篇』

（上と下が同じ目的を共有している組織が勝つ）

孫子は、
軍の強さを兵士個人の能力だけで評価していません。

重要なのは、

• 何を目指しているのか
• どのように行動するのか
• どのような判断を行うのか

を全員が共有していることです。

組織全体が同じ方向を向いていることが、
勝利の前提条件になります。

孫子の文脈

「上下同欲者勝」は、

単に仲が良い組織を意味しているわけではありません。

上層部と現場が同じ目的を理解し、

同じ判断基準で行動できる状態を意味しています。

優れた軍は、

個人が勝手に判断して動くのではなく、

共通の目的と原則に基づいて行動します。

だからこそ、
混乱した状況でも統一した対応が可能になります。

ビジネスの文脈

企業においても同じです。

教育の目的は、
知識量を増やすことではありません。

重要なのは、

• 不審なメールを開かない
• 異常を発見したら報告する
• ルールに従って行動する

といった判断基準を組織全体で共有することです。

SCS評価制度が教育・訓練を求めるのは、

全員が同じ基準で行動できる状態を作るためです。

人が攻撃経路となる理由

これまで扱ってきた対策の多くは、

• ID管理
• 認証
• アクセス制御

など、
技術的な防御を中心としたものでした。

しかし実際の攻撃は、

• メールを開く
• リンクをクリックする
• 認証情報を入力する
• 異常を見逃す

といった人の行動を利用して行われます。

人の行動は、
技術的な防御を迂回する攻撃経路になり得ます。

教育が意味するもの

教育とは、
単に知識を増やすことではありません。

SCS評価制度では、

• 新規受入時の教育
• 年1回以上の教育・研修
• 職場特有のリスクの周知
• 機密区分の理解
• マルウェア感染対策の理解

が求められています。

これは、

「何を知っているか」

ではなく、

「どのように行動するか」

を組織全体で揃えるためです。

• 不審なメールを開かない
• 異常を発見したら報告する
• 機密情報を適切に扱う
• ルールに従って行動する

といった行動が組織全体で共有されて初めて、
教育は意味を持ちます。

教育とは、知識を増やすことではなく、
行動の基準を揃えるための活動です。

訓練が意味するもの

SCS評価制度では、
インシデント発生時の対応に関する教育・訓練も求めています。

インシデント発生時は、

• 時間的余裕がない
• 状況が不明確である
• プレッシャーがかかる

という特徴があります。

こうした状況では、
知識があるだけでは対応できません。

重要なのは、

• 誰へ報告するのか
• 何を報告するのか
• どのように初動対応するのか

を実際に行動できることです。

訓練とは、
知識を行動へ変えるための仕組みです。

経営層への教育が求められる理由

SCS評価制度では、
従業員だけではなく、
経営層に対する教育も求めています。

これは、

• セキュリティリスクが経営課題であるため
• 最終的な意思決定を経営層が行うため
• 重大インシデント時に経営判断が必要になるため

です。

現場だけが理解していても、
経営層が理解していなければ、
組織として適切な判断はできません。

上下同欲者勝とは、
現場だけではなく経営層も同じ方向を向いている状態を意味します。

SCS評価制度が求める本当の到達点

SCS評価制度は、

• 教育を実施すること
• 訓練を実施すること
• 実施記録を保管すること
• 内容を定期的に見直すこと

を求めています。

しかしその本質は、

「人を防御機能の一部として機能させること」
です。

どれだけ優れた技術的対策を導入しても、

• 異常に気付かない
• 報告しない
• ルールを理解していない

状態であれば、
防御は機能しません。

組織全体が同じ基準で行動できる状態を作ること。

それが教育・訓練の目的です。

まとめ

教育・訓練とは、

• 知識の習得ではなく
• 形式的な研修でもなく

組織の行動を統一するための仕組みです。

セキュリティ対策は、
ルールやシステムだけでは成立しません。

それを利用する人が、
同じ基準で判断し、
同じ方向を向いて行動できる必要があります。

上下同欲者勝

（上と下が同じ目的を共有している組織が勝つ）

組織全体が同じ方向を向いて初めて、
防御は機能する。

チェック：教育・訓練は機能しているか

以下はチェックシートです。
すべてに☑が付く状態が望ましい状態です。

もしこれらに一つでも☑を付けられない場合、

人の行動が防御として十分に機能していない可能性があります。

どれだけ優れた技術的対策を導入していても、

• 異常に気付かない
• 気付いても報告しない
• ルールを理解していない
• 緊急時に行動できない

状態では、防御は成立しません。

まずは、
組織全体が同じ基準で行動できる状態になっているかを確認することが必要です。

今からできるアクション

☑が付かなかった項目がある場合は、以下から始めましょう。

教育・訓練の目的は、
研修を実施することではありません。

重要なのは、

• 正しい判断ができること
• 同じ行動が取れること
• 異常時に対応できること

を組織全体で実現することです。

まずは、

「何を学ばせるか」ではなく、

「どのような行動を取ってほしいのか」

を明確にすることから始めましょう。

次回は「データセキュリティ」を取り上げ、
情報そのものをどのように守るのかを整理します。

第10回：なぜ「データセキュリティ」が必要なのか

参考

• 銀雀山漢墓竹簡 – 中國哲學書電子化計劃
  （『孫子兵法・謀攻篇』「上下同欲者勝」）
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | IPA
  
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | 経済産業省