なぜ「取引先管理」が必要なのか

本コラムは、経済産業省・IPAが策定した「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、
その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。

前回は「監督（マネジメントサイクル）」を取り上げ、意思決定を循環させ続ける重要性を整理しました。


第4回：なぜ「監督（マネジメントサイクル）」が必要なのか

大分類：サプライチェーン ／ 中分類：取引先管理（2-1）

取引先管理とは何か（SCS評価制度の要求）

SCS評価制度では、以下のような対応が求められます。

取引先との関係把握、機密情報の取扱いの明確化、取引先のセキュリティ状況の確認、
インシデント時の役割分担、契約終了時の情報回収・破棄を行うこと。

自社だけでなく、関係する組織全体を対象に管理することが求められます。

なぜ取引先管理が必要か（孫子における考え方）

この考え方は、孫子にも示されています。

知彼知己，百戰不殆

―『孫子兵法』

（彼を知り己を知れば百戦殆うからず）

この「彼」は敵に限定されるものではなく、
現代においては取引先や委託先など、関係するすべての主体を含みます。

関係先を把握できていなければ、どこがリスクになるかを判断することはできません。

関係の把握とは何か

取引先管理の第一歩は、関係の可視化です。

  • どの組織とつながっているか
  • どの情報をやり取りしているか
  • どこに依存しているか

これは、戦場の全体像を把握することに相当します。

機密情報の境界を定める

機密情報の取扱いを明確にすることは、管理範囲を定めることです。

  • 保存場所が統一される
  • アクセス権限が明確になる
  • 責任範囲が整理される

管理対象が曖昧なままでは、対策は機能しません。

弱点は外に存在する

取引先のセキュリティ状況の把握も重要な要素です。

以實擊虛

（弱いところを攻める）

攻撃者は最も侵入しやすい箇所を狙います。

  • 自社
  • 委託先
  • 関連会社

区別なく、最も弱い場所が攻撃の入口となります。

連携の設計

インシデント発生時には複数の関係者が関与します。

  • 誰が対応主体となるか
  • 誰が連絡するのか
  • どこまで対応するのか

事前に役割が決まっていなければ、初動が遅れます。

契約終了時の対応

契約終了後の情報回収・破棄も重要な管理対象です。

  • アクセス権が残る
  • データが削除されない
  • 情報が残存する

利用が終了しても、リスクは残り続ける可能性があります。

まとめ

取引先管理とは、

  • 取引の管理ではなく
  • 契約の管理でもなく

セキュリティの対象範囲を定義することです。

組織は単体で存在しているわけではありません。


つながるすべてが、管理対象となる。

管理対象は正しく把握されているか

すべてに☑が付く状態が望ましい状態です。

  • ☑ 取引先との関係が可視化されているか
  • ☑ 情報の流れが明確になっているか
  • ☑ 機密情報の取扱いが定義されているか
  • ☑ 取引先の状況を把握できているか
  • ☑ インシデント時の役割が決まっているか
  • ☑ 契約終了後の対応が定義されているか

一つでも☑が付かない場合、
自社の外側にリスクが残っている可能性があります。

まずは「どこまでが自社の管理範囲なのか」を整理することが重要です。

参考