【SCS評価制度×孫子】⑥資産管理

なぜ「資産管理」が必要なのか

本コラムは、経済産業省・IPAが策定した「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。

前回は「取引先管理」を取り上げ、自社の外側に広がるリスクをどのように捉えるべきかを整理しました。

第5回：なぜSCS評価制度は「取引先管理」を求めるのか

大分類：リスクの特定 ／ 中分類：資産管理（3-1）

資産管理とは何か（SCS評価制度の要求）

SCS評価制度では、次のような対応が求められます。

守るための対策ではなく、守る対象を把握することが求められます。

なぜ資産管理が必要か（孫子における考え方）

この考え方は、孫子においても明確に示されています。

不可勝在己

（勝たれない態勢は己にある）

『形篇』

サイバー攻撃は、いつ、どこから発生するか分かりません。

しかし、自社が保有する機器や情報資産を把握し、適切に管理することは自らの意思で実施できます。

SCS評価制度が資産管理を重視する理由もそこにあります。

攻撃を受けた後に対処するのではなく、まず自社の状態を把握し、管理できる状態にしておくことが重要です。

資産管理とは、攻撃への対策そのものではなく、「負けない態勢」を作るための土台なのです。

見えていないものは守れない

資産管理の本質は「可視化」にあります。

孫子は次のように述べています。

知彼知己，百戰不殆

（彼を知り己を知れば百戦殆うからず）

『謀攻篇』

多くの場合、「彼」、すなわち攻撃者を知ることに注目が集まります。

しかしSCS評価制度が求める資産管理において重要なのは、「己を知る」ことです。

自社にどのような資産が存在するのかを把握していなければ、適切な防御はできません。

• 管理されていない端末
• 把握されていないサーバ
• 無断で利用されるクラウドサービス

これらはすべて管理の視界から外れた資産です。

見えていないものは、守ることも管理することもできません。

資産台帳の整備や棚卸しは形式的な作業ではなく、自社の現状を正しく把握するための活動です。

ネットワークは戦場の地形である

SCS評価制度では、ネットワーク構成の把握も求められています。

孫子は戦いにおける地形の重要性について次のように述べています。

地形者，兵之助也

（地形は戦いを助ける要素である）

『地形篇』

現代企業において、ネットワークは戦場の地形に相当します。

どの機器が接続されているのか。

どこが社外と接続されているのか。

重要なシステムや情報はどこに配置されているのか。

これらを把握していなければ、防御すべきポイントを判断できません。

ネットワーク構成図は、単なる設計資料ではなく、自社の地形図でもあります。

構造を理解している組織ほど、異常な通信や不適切な接続にも気付きやすくなります。

外部サービスは「管理すべき自社資産」である

近年、多くの企業がクラウドサービスやSaaSを業務に利用しています。

メール、ファイル共有、グループウェア、顧客管理システムなど、業務に欠かせない情報が社外のサービス上に保存されることも珍しくありません。

しかし、それらが自社の建物の中に存在しないからといって、管理対象ではなくなるわけではありません。

SCS評価制度が外部サービスの管理を求めるのは、そのサービス上で自社の情報が扱われている以上、自社の重要な資産の一部だからです。

• どのサービスを利用しているのか
• 誰が契約しているのか
• 誰が管理者なのか
• どのような情報を保存しているのか

これらが把握されていなければ、実質的には管理されていない状態と変わりません。

自社設備であるかどうかではなく、自社の業務や情報を支えているかどうかが管理対象を決める基準です。

特に部門単位で独自に利用を開始したサービスや、管理部門が把握していない契約は、いわゆるシャドーITとして管理の空白を生みます。

クラウドサービスを利用する時代だからこそ、自社の外に存在する資産についても把握し、管理責任を明確にすることが求められます。

機密区分と優先順位

すべての情報資産を同じ強さで管理することは現実的ではありません。

顧客情報や技術情報と、公開済みの資料とでは重要度が異なります。

孫子は次のように述べています。

兵無常勢，水無常形

（兵に常勢なく、水に常形なし）

『形篇』

水が地形によって流れ方を変えるように、管理の方法も対象に応じて変わらなければなりません。

機密情報、社内情報、公開情報を同じ基準で扱うと、必要な場所に管理資源を集中できなくなります。

• どの情報が重要なのか
• どの資産を優先的に守るべきなのか
• どこに人的・技術的対策を集中すべきなのか

これらを明確にすることが機密区分の目的です。

資産を分類し、重要度に応じて管理を変えることが、実効性のある資産管理につながります。

リモートワーク環境の定義

リモートワークは、従来のオフィス環境とは異なり、企業の管理範囲が広がる働き方です。

業務は社内だけでなく、

• 自宅
• 外出先
• 出張先
• 公衆無線LAN環境

などでも行われます。

そのため、どこまでを業務環境として認めるのかを明確に定義しなければなりません。

利用できる機器やネットワークの条件、データ保存のルール、持ち出しの可否などが曖昧なままでは、管理外の領域が拡大してしまいます。

資産を把握することは、機器やシステムだけではなく、業務が行われる環境を把握することでもあります。

SCS評価制度がリモートワーク環境の定義を求めるのは、管理対象と管理範囲を明確にするためです。

まとめ

資産管理とは、

• 台帳を作ることでもなく
• 形式的な管理でもなく

守る対象を可視化することです。

セキュリティ対策はここから始まります。

把握できていないものは、防御できない。

チェック：資産管理は機能しているか

以下はチェックシートです。

すべてに☑が付く状態が望ましい状態です。

もしこれらに一つでも☑を付けられない場合、

把握できていない資産がリスクになっている可能性があります。

まずは、自社が何を持っているのかを整理することが必要です。