なぜ「教育・訓練」が必要なのか
本コラムは、経済産業省・IPAが策定した「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、
その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。
前回は「アイデンティティ管理・認証・アクセス制御」を取り上げ、侵入させないための仕組みを整理しました。
第8回：なぜ「アイデンティティ管理・認証・アクセス制御」が必要なのか
大分類：攻撃等の防御 ／ 中分類：意識向上とトレーニング（4-2）
教育・訓練とは何か（SCS評価制度の要求）
SCS評価制度では、経営層を含むすべての要員に対して教育・訓練を実施することが求められています。
この要求は、
- 組織全体が同じ認識で行動すること
- インシデント発生時に適切に対応できること
を前提としています。
つまり、システムの対策だけではなく、人の行動を揃えることが防御の一部として求められています。
なぜ教育・訓練が必要か（孫子における考え方）
この考え方は、孫子において明確に示されています。
道者，使民與上同意也
―『孫子兵法・始計篇』
これは、「組織全体の意図が揃っている状態」を意味します。
戦いにおいて最も重要なのは、個々の能力ではなく、全体として同じ行動が取れることです。
人が攻撃経路となる理由
これまでの対策は、技術的に侵入を防ぐものでした。
- ID管理
- 認証
- アクセス制御
しかし、実際の攻撃は人の行動を通じて行われます。
- メールを開く
- リンクをクリックする
- 情報を入力する
人の行動は、技術的な防御を迂回する経路になります。
教育が意味するもの
教育とは知識を増やすことではありません。
孫子的に見れば、それは「行動の基準を揃える」ためのものです。
- 不審なものに反応しない
- ルールに従う
- 異常を報告する
全員が同じ判断をできる状態を作ることで、防御は初めて成立します。
訓練が意味するもの
訓練は、実際にインシデントが発生した際に行動できるかを確認するものです。
インシデントは通常とは異なる状況であり、
- 判断が難しい
- プレッシャーがかかる
- 時間的余裕がない
といった特徴があります。
この状況でも同じ行動を取れるようにすることが、訓練の役割です。
孫子の思想では、戦いの勝敗は事前に決まるとされます。
戦場で考えるのではなく、事前に行動を定着させておくことが重要です。
注意点・整理
知識だけでは防御にならない
教育を実施するだけでは、防御は成立しません。
人は必ず判断ミスをするため、行動として定着している必要があります。
形骸化のリスク
教育や訓練は、実施すること自体が目的になりやすい項目です。
実際に行動が変わっているかを確認することが重要です。
SCS評価制度が求める本質
この要求事項の本質は明確です。
人を防御の一部として機能させることです。
まとめ
教育・訓練とは、
- 知識の習得ではなく
- 形式的な研修でもなく
組織の行動を統一するための仕組みです。
セキュリティの最後の防壁は、システムではなく人の行動である。
チェック：教育・訓練は機能しているか
- ☑ 組織全体で同じ判断ができる状態になっているか
- ☑ 不審な事象に対する行動が定義されているか
- ☑ 異常時の報告ルートが明確になっているか
- ☑ インシデント対応の訓練を実施しているか
- ☑ 実際に行動できる状態になっているか
もしこれらに一つでも☑を付けられない場合、
人の行動が防御として機能していない可能性があります。
まずは、組織全体でどのように行動するのかを明確にすることが必要です。
