【SCS評価制度×孫子】⑪プラットフォームセキュリティ

なぜ
「プラットフォームセキュリティ」
が必要なのか

本コラムは、経済産業省・IPAが策定した
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
について、その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。

前回は「データセキュリティ」を取り上げ、
侵入された後でも被害を成立させない構造の重要性を整理しました。

第10回：なぜ「データセキュリティ」が必要なのか

大分類：攻撃等の防御 ／ 中分類：プラットフォームセキュリティ（4-4）

プラットフォームセキュリティとは何か
（SCS評価制度の要求）

SCSが求めていること

SCS評価制度では、

• 安全な構成の確立と維持
• サポート期限切れのOSやソフトウェアへの対応
• ログの取得とレビュー
• セキュリティパッチの適用
• マルウェアからの保護

が求められています。

これらは個別の対策ではなく、
システム全体の土台を安定させるための要求です。

ここで守る対象は、

• サーバ
• パソコン
• OS
• ミドルウェア
• 業務ソフトウェア

といったプラットフォームそのものです。

どれほど優れたセキュリティ製品を導入していても、

その土台が脆弱であれば防御は成立しません。

なぜプラットフォームセキュリティが必要か
（孫子における考え方）

孫子は次のように述べています。

善戰者，立於不敗之地，而不失敵之敗也

―『孫子兵法・形篇』

（優れた将はまず負けない場所に立ち、敵が敗れる機会を逃さない）

孫子は、

勝つためには優れた攻撃を行うことよりも、

まず負けない状態を作ることが重要だと考えました。

攻撃への対応より先に、
負ける原因を取り除くことが求められます。

プラットフォームセキュリティも同じです。

マルウェア感染や不正アクセスが発生してから対処するのではなく、

脆弱な状態そのものを減らすことが重要になります。

孫子の文脈

「善戰者，立於不敗之地」は、

戦いが始まる前の準備の重要性を表しています。

優れた将は、

敵が現れてから考えるのではなく、

敗北につながる要因を事前に排除します。

武器が不足していないか。

補給は維持できるか。

地形は不利ではないか。

そのような確認を徹底した上で戦いに臨みます。

つまり、

勝利の前に、まず敗北を防ぐことが優先されるのです。

ビジネスの文脈

企業の情報システムも同じです。

攻撃されることそのものをゼロにはできません。

しかし、

• 不要なサービスを停止する
• 脆弱性を放置しない
• サポート切れ製品を利用しない
• ログを確認する

ことによって、

負ける原因を減らすことはできます。

SCS評価制度がプラットフォームセキュリティを求めるのは、

システムを強くするためではなく、
弱点を作らないためです。

安全な構成の意味

安全な構成とは、

不要なものを排除し、
最小限で運用する状態を指します。

• 不要なサービスを停止する
• 不要なソフトウェアを削除する
• 不必要な機能を無効化する

ことで、

攻撃対象そのものを減らすことができます。

攻撃される範囲を減らすことは、
防御の第一歩です。

古いシステムのリスク

SCS評価制度では、
サポート期限の切れたOSやソフトウェアへの対応も求めています。

サポートが終了したシステムは、

• 脆弱性修正が提供されない
• 新しい攻撃への対策が行われない
• 既知の弱点が放置される

状態になります。

それはすでに攻撃方法が公開されている状態と同じです。

どれほど優れた運用を行っていても、

脆弱な土台が残っていれば、
そこが攻撃経路になります。

負けない場所に立つためには、
負ける原因を残さないことが重要です。

ログの意味

SCS評価制度では、
ログの取得とレビューが求められています。

ログは単なる記録ではありません。

• 何が起きているのか
• 誰が利用したのか
• 異常な動作が発生していないか

を把握するための情報です。

状況が見えていなければ、
適切な意思決定はできません。

ログ取得の価値は、
保存することではなく、

分析し、

異常を発見し、

改善につなげることにあります。

パッチ適用の意味

パッチは、
既知の問題に対する修正です。

SCS評価制度では、
重大な脆弱性について期限を意識した対応が求められています。

重要なのは、

• 適用漏れを防ぐこと
• 対応遅延を防ぐこと
• 継続的に実施すること

です。

既に分かっている弱点を放置することは、
自ら不敗の地を離れることと同じです。

優れた防御とは、
特別な技術を導入することではなく、

分かっている問題を確実に解消することから始まります。

マルウェア対策の意味

マルウェア対策は、
侵入経路を減らすための仕組みです。

SCS評価制度では、

• マルウェア対策ソフトの導入
• スキャン実施
• 定義ファイル更新
• 危険なWebサイト対策
• メール経由の感染防止

が求められています。

攻撃は、

• メール
• Web
• 外部媒体
• ソフトウェアの脆弱性

など様々な経路から行われます。

侵入経路を減らし続けることが、
不敗の地に立ち続けることにつながります。

SCS評価制度が求める本当の到達点

SCS評価制度は、

• 安全な構成を維持すること
• 古いシステムを放置しないこと
• ログを取得し分析すること
• パッチを適用すること
• マルウェア対策を継続すること

を求めています。

しかしその本質は、

「負ける原因を作らないこと」
です。

高度な防御技術より先に、

• 不要な機能を減らす
• 既知の弱点をなくす
• 異常に気付ける状態を保つ

ことが重要です。

まとめ

プラットフォームセキュリティとは、

• 運用の問題ではなく
• 戦いの前提条件です

土台が安定していなければ、
どのような対策も機能しません。

善戰者，立於不敗之地，而不失敵之敗也

（優れた将はまず負けない場所に立ち、敵が敗れる機会を逃さない）

どれほど優れた戦略も、
脆い土台の上では成立しない。

チェック：プラットフォームは安全な状態か

以下はチェックシートです。
すべてに☑が付く状態が望ましい状態です。

もしこれらに一つでも☑を付けられない場合、

基盤そのものに弱点が存在している可能性があります。

高度なセキュリティ対策を導入していても、

• 古いOSが残っている
• 不要なサービスが動いている
• パッチが適用されていない
• ログを確認していない

状態では、防御は成立しません。

まずは、
自社のシステム基盤が健全な状態で維持されているかを確認することが必要です。

今からできるアクション

☑が付かなかった項目がある場合は、以下から始めましょう。

プラットフォームセキュリティの目的は、
新しい製品を導入することではありません。

重要なのは、

• 不要な弱点をなくすこと
• 既知の問題を放置しないこと
• 安全な状態を維持し続けること

です。

まずは、

「いま動いているものが本当に必要か」

を見直すことから始めましょう。

次回は「継続的監視」を取り上げ、
異常を早期に発見し続けることの重要性を整理します。

第12回：なぜ「継続的監視」が必要なのか

参考

• 銀雀山漢墓竹簡 – 中國哲學書電子化計劃
  （『孫子兵法・形篇』「善戰者，立於不敗之地，而不失敵之敗也」）
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | IPA
  
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | 経済産業省