なぜ「プラットフォームセキュリティ」が必要なのか
本コラムは、経済産業省・IPAが策定した「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、
その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。
前回は「データセキュリティ」を取り上げ、侵入された後でも被害を成立させない構造の重要性を整理しました。
大分類：攻撃等の防御 ／ 中分類：プラットフォームセキュリティ（4-4）
プラットフォームセキュリティとは何か（SCS評価制度の要求）
SCS評価制度では、プラットフォームに対して以下の管理が求められています。
- 安全な構成の確立と維持
- サポート期限切れのシステムの停止
- ログの取得とレビュー
- セキュリティパッチの適用
- マルウェアからの保護
これらは個別の対策ではなく、システム全体の土台を安定させるための要求です。
なぜプラットフォームセキュリティが必要か（孫子における考え方）
ここで扱うのは、戦い方ではなく「戦う場所」です。
孫子は次のように述べています。
善戰者，立於不敗之地，而不失敵之敗也
―『孫子兵法・形篇』
まず負けない基盤を作ることが、すべての対策の前提となります。
プラットフォームとは、
- OS
- ソフトウェア
- 端末・サーバ
すなわち、
戦いが行われる土台そのものです。
安全な構成の意味
安全な構成とは、不要なものを排除し、最小限で動作する状態を指します。
- 不要なサービスを停止する
- 設定を見直す
- 構成を整理する
攻撃される範囲そのものを減らすことにつながります。
兵法的には、
最初から弱点を作らない配置です。
古いシステムのリスク
サポート期限切れのシステムは、既知の弱点を持っています。
それはすでに攻撃方法が公開されている状態です。
継続利用は、
侵入経路を意図的に残していることに等しくなります。
ログの意味
ログは単なる記録ではなく、状況を把握するための情報です。
- 何が起きているか
- 異常があるか
戦場の状況を把握し続ける役割を持ちます。
ただし、
取得するだけでは意味がありません。
確認・分析して初めて、意思決定に活用できます。
パッチ適用の意味
パッチは既知の問題を修正するものです。
新しい攻撃ではなく、既に分かっている弱点を防ぎます。
重要なのは仕組みとして実行することです。
- 適用漏れを防ぐ
- 遅延を防ぐ
対応が属人化すると、必ず抜けが発生します。
マルウェア対策の意味
マルウェア対策は感染を前提とした防御です。
- メール
- Web
- 外部媒体
あらゆる経路からの侵入を防ぐための役割を持ちます。
注意点・整理
戦略よりも先に決まるもの
高度な対策や戦略よりも先に、
土台の状態が結果を左右します。
4-3との違い
- 4-3（データ）：被害を成立させない
- 4-4（基盤）：そもそも崩れない状態にする
SCS評価制度が求める本質
負ける原因を作らない土台を整備することです。
- 弱点を作らない
- 古い弱点を残さない
- 状況を把握する
- 問題を解消する
- 侵入経路を減らす
まとめ
プラットフォームセキュリティとは、
- 運用の問題ではなく
- 戦いの前提条件です
土台が安定していなければ、どのような対策も機能しません。
どれほど優れた戦略も、脆い土台の上では成立しない。
チェック：プラットフォームは安全な状態か
- ☑ 不要なサービスや設定が残っていないか
- ☑ 古いシステムが使われていないか
- ☑ ログが取得・確認されているか
- ☑ パッチが適切に適用されているか
- ☑ マルウェア対策が機能しているか
これらに一つでも☑を付けられない場合、
基盤自体に弱点が存在する可能性があります。
