なぜ「継続的監視」が必要なのか

本コラムは、経済産業省・IPAが策定した「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、
その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。

前回は「ネットワーク分離」を取り上げ、被害を局所化し、全体崩壊を防ぐ構造の重要性を整理しました。


第12回：なぜ「ネットワーク分離」が必要なのか

大分類：検知 ／ 中分類：継続的監視（5-1）

継続的監視とは何か（SCS評価制度の要求）

SCS評価制度では、以下のような監視が求められています。

  • ネットワーク接続やデータ転送の監視
  • 機器やソフトウェアの状態・挙動の監視


これらは単なるログ取得ではなく、異常を検知するための仕組みです。

なぜ継続的監視が必要か（孫子における考え方）

ここで防御は一つの転換点を迎えます。

これまでの対策はすべて、

  • 侵入を防ぐ
  • 被害を減らす
  • 広がりを抑える

という「防御」に関するものでした。


しかし、侵入そのものを完全に防ぐことはできません。

そこで重要になるのが、


異常にいつ気づけるかです。

孫子はこう述べています。

以虞待不虞者勝

―『孫子兵法・謀攻篇』


備えを持って異常を待ち受ける者が勝つ、という考え方です。

監視は「状況を見続けること」

監視とは、状態を常に把握し続ける行為です。

  • 通信の変化
  • データの異常な流れ
  • 動作の変化


すべては異常の兆候として現れます。

ネットワーク監視が意味するもの

ネットワーク監視は、通信の流れの変化を捉えるものです。

  • 通常と異なる接続
  • 不審な通信先
  • 異常なデータ転送


外部に向かう動きの異常を検知します。

これは兵法的には、


敵の動きの兆候を捉える行為です。

内部監視の意味

機器やソフトウェアの監視は、内部で起きる変化を捉えます。

  • 異常なプロセス
  • ログインの変化
  • 設定変更


既に侵入された可能性を示す兆候です。

なぜ継続的である必要があるのか

SCSは単なる監視ではなく、継続的な監視を求めています。


攻撃は一度で終わらず、時間をかけて進行するためです。

  • 侵入
  • 潜伏
  • 拡大

この過程の中で気づけなければ、


被害は拡大し続けます。

注意点・整理

監視がない状態

監視が機能していない場合、

  • 侵入に気づかない
  • 情報が継続的に流出する
  • 原因が特定できない


敵の存在に気づかない状態になります。

検知速度の重要性

異常に気づくまでの時間が、結果を大きく左右します。

  • 早期検知：被害は限定される
  • 遅延検知：被害は拡大する


勝敗は「検知の速さ」によって決まります。

SCS評価制度が求める本質


異常を見逃さない状態を維持することです。

  • 常に監視する
  • 変化を捉える
  • 状況を把握する

まとめ

継続的監視とは、

  • ツールの導入ではなく
  • 状態把握の継続です


異常に気づけるかどうかが、防御の結果を左右します。


セキュリティの勝敗は侵入で決まらない。
気づいた瞬間に決まる。

チェック：監視は機能しているか

  • ☑ ネットワークの異常を把握できているか
  • ☑ システムの挙動を監視しているか
  • ☑ 異常を継続的に検知できるか
  • ☑ 状況を可視化できているか
  • ☑ 変化に気づける状態になっているか

これらに一つでも☑を付けられない場合、
異常に気づけない状態の可能性があります。


第14回：なぜ「インシデントのレベル分け」が必要なのか（近日公開）

参考