なぜ「データセキュリティ」が必要なのか
本コラムは、経済産業省・IPAが策定した「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、
その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。
前回は「教育・訓練」を取り上げ、人の行動を揃えることが防御の前提となることを整理しました。
大分類：攻撃等の防御 ／ 中分類：データセキュリティ（4-3）
データセキュリティとは何か（SCS評価制度の要求）
SCS評価制度では、データに対して以下の管理が求められています。
- データの暗号化
- 適切な場所への保管
- 外部との共有に関するルール整備
- バックアップの取得
これらは単なる防御強化ではなく、侵入された後の被害を制御するための仕組みです。
なぜデータセキュリティが必要か（孫子における考え方）
ここで重要になるのは、防御の前提の変化です。
侵入は起こり得るものとして考える必要があります。
孫子においても、戦いは単に守ることではなく、
勝兵先勝而後求戰
―『孫子兵法・形篇』
すでに負けない状態を作ってから戦うことが重要とされています。
侵入されても被害が成立しない状態を作ることが、この段階の目的です。
暗号化の意味
データの暗号化は、単なる技術的対策ではありません。
その本質は、
- 奪われても内容が理解できないこと
- 情報として利用できないこと
情報の価値そのものを無効化する行為です。
兵法的に見れば、これは
敵に奪わせても意味のない状態を作ることに相当します。
データ保管の意味
データをどこに置くかは、単なる運用ではありません。
- 安全な場所に集約する
- 防御の枠内に置く
どこに置くかによって、防御の強さが決まります。
個人端末や外部環境に分散したデータは、
防御の外側に置かれた状態となります。
情報共有の意味
情報は利用するために移動します。
そのため、共有時が最もリスクの高い局面となります。
- 送信先の確認
- 送信履歴の管理
流通を制御することで、情報の漏えいを防ぐことができます。
これは兵法的には、
補給路を統制することに相当します。
バックアップの意味
バックアップは、防御ではなく復元のための仕組みです。
- データを戻せるか
- 業務を再開できるか
被害が発生した後に立て直す力を確保するものです。
孫子の思想においても、
戦いは継続できるかどうかで決まります。
注意点・整理
完全防御は存在しない
これまでの対策は侵入を防ぐものでしたが、
技術的にも運用的にも、完全に防ぐことはできません。
発想の転換が必要
ここで重要なのは、
侵入された後の状態を設計することです。
SCS評価制度が求める本質
この領域の本質は、
被害を成立させない構造を作ることです。
- 奪われても読めない
- 消されても戻せる
- 流出しても追跡できる
まとめ
データセキュリティとは、
- 単なる防御の延長ではなく
- 被害そのものを制御する仕組みです
侵入されても崩れない状態を作ることが、最終的な防御となります。
セキュリティの本質は守ることではない。
失っても崩れない構造を作ることである。
チェック：データセキュリティは機能しているか
- ☑ 重要データが暗号化されているか
- ☑ データの保管場所が管理されているか
- ☑ 情報共有のルールが定義されているか
- ☑ 送信履歴を追跡できるか
- ☑ バックアップから復元可能か
もしこれらに一つでも☑を付けられない場合、
侵入後の被害拡大を防げない可能性があります。
まずは、データがどのように扱われ、どこにあるのかを整理することが必要です。
第11回：なぜ「プラットフォームセキュリティ」が必要なのか（近日公開）
