【SCS評価制度×孫子】⑬継続的監視

なぜ「継続的監視」が必要なのか

本コラムは、経済産業省・IPAが策定した
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
について、その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。

前回は「ネットワーク境界防護」を取り上げ、
被害を局所化し、全体崩壊を防ぐ構造の重要性を整理しました。

第12回：なぜ「ネットワーク境界防護」が必要なのか

大分類：攻撃等の検知 ／ 中分類：継続的監視（5-1）

継続的監視とは何か
（SCS評価制度の要求）

SCSが求めていること

SCS評価制度では、

• ネットワーク接続やデータ転送の監視
• ネットワーク機器のログおよびアラートの分析
• 異常時の通知体制の整備
• 情報機器やソフトウェアの挙動監視
• 不審な挙動の早期発見

が求められています。

これらは単なるログ取得ではなく、
異常を発見するための仕組みです。

ここまでのシリーズでは、

• リスクを知る
• 侵入されにくくする
• 被害を広げにくくする

という防御の仕組みを整えてきました。

しかし、

どれほど優れた防御も、
異常に気付けなければ意味を持ちません。

なぜ継続的監視が必要か
（孫子における考え方）

孫子は次のように述べています。

微乎微乎，至於無形
神乎神乎，至於無聲

―『孫子兵法・形篇』

（極めて微細で姿が見えず、極めて静かで音も聞こえない）

優れた軍の動きは、

• 派手ではない
• 目立たない
• 気付かれにくい

とされています。

そして本当に危険な存在ほど、
目に見えにくいものです。

大きな異常だけを見ていても、
本質的な脅威は発見できません。

孫子の文脈

孫子が語る「無形」「無聲」は、
存在していないことを意味しているわけではありません。

むしろ、

• 気付きにくい
• 見えにくい
• 変化が小さい

状態を表しています。

優れた将は、
大きな出来事だけではなく、

わずかな兆候から状況の変化を読み取ります。

だからこそ、
敵が本格的に動く前に対処できるのです。

ビジネスの文脈

サイバー攻撃も同様です。

被害は突然発生するように見えますが、

実際には、

• 不審な通信
• 異常なログイン
• 予期しない設定変更
• 通常と異なるソフトウェア挙動

といった小さな兆候として現れます。

継続的監視とは、

見逃されがちな変化を捉え続ける活動です。

異常に早く気付く組織ほど、
被害を小さく抑えることができます。

監視は「状況を見続けること」

監視とは、
状態を常に把握し続ける行為です。

• 通信の変化
• データの異常な流れ
• システムの挙動変化
• 利用状況の変化

これらはすべて、
異常の兆候として現れます。

継続的監視とは、
異常を探す活動ではなく、
変化に気付く活動です。

ネットワーク監視が意味するもの

ネットワーク監視は、
通信の流れの変化を捉える活動です。

SCS評価制度では、

• インターネットから社内への通信の監視
• 社内から不正なサーバへの通信の監視
• ネットワーク機器のログ分析
• 異常時の通知体制整備

が求められています。

通常の状態では見えない異常も、

• 通信先の変化
• 通信量の増加
• 不審な接続

として現れます。

ネットワーク監視とは、
攻撃そのものではなく、
攻撃の兆候を捉えるための活動です。

内部監視の意味

SCS評価制度では、
端末やソフトウェアの状態や挙動の監視も求めています。

攻撃は侵入した瞬間に終わるわけではありません。

多くの場合、

• 侵入
• 潜伏
• 権限取得
• 横展開

という過程を経て進行します。

その過程では、

• 異常なプロセスの起動
• 不審な実行ファイルの配置
• 通常とは異なる利用状況
• 設定変更

などの痕跡が残ります。

監視の目的は、
異常そのものではなく、
異常の兆候を発見することです。

なぜ継続的である必要があるのか

SCS評価制度が求めているのは、
一時的な確認ではありません。

継続的な監視です。

攻撃は、

• 短時間で終わるもの
• 長期間潜伏するもの
• 段階的に進行するもの

があります。

そのため、

「今は異常がない」

だけでは十分ではありません。

常に状況を把握し続けることによって、
初めて小さな変化に気付くことができます。

監視を止めた瞬間から、
組織は状況認識を失います。

SCS評価制度が求める本当の到達点

SCS評価制度は、

• 監視を実施すること
• ログを取得すること
• アラートを確認すること
• 異常を分析すること

を求めています。

しかしその本質は、

「異常を見逃さない状態を維持すること」
です。

侵入を防ぐだけでは不十分です。

仮に侵入されたとしても、

• いつ気付くのか
• どこで気付くのか
• 何を根拠に気付くのか

が重要になります。

だからこそ、

監視は防御の後に置かれた検知の仕組みなのです。

まとめ

継続的監視とは、

• ツールを導入することではなく
• 状態把握を継続する仕組みです

異常に気付けるかどうかが、
防御の結果を左右します。

微乎微乎，至於無形
神乎神乎，至於無聲

（極めて微細で姿が見えず、極めて静かで音も聞こえない）

セキュリティの勝敗は侵入で決まらない。
異常に気付いた瞬間に決まる。

チェック：継続的監視は機能しているか

以下はチェックシートです。
すべてに☑が付く状態が望ましい状態です。

もしこれらに一つでも☑を付けられない場合、

異常を見逃している可能性があります。

攻撃そのものよりも危険なのは、

• 侵入されたことに気付かない
• 異常を見ても判断できない
• 状況を把握できない

ことです。

まずは、
何を監視し、
どのような変化を異常として扱うのかを整理することが必要です。

今からできるアクション

☑が付かなかった項目がある場合は、以下から始めましょう。

継続的監視の目的は、
ログを集めることではありません。

重要なのは、

• 異常に気付くこと
• 状況を理解すること
• 被害が拡大する前に対応すること

です。

まずは、

「どのような異常を見つけたいのか」

を明確にすることから始めましょう。

次回は「インシデントのレベル分け」を取り上げ、
検知した異常をどのように評価し、優先順位を付けるのかを整理します。

第14回：なぜ「インシデントのレベル分け」が必要なのか

参考

• 銀雀山漢墓竹簡 – 中國哲學書電子化計劃
  （『孫子兵法・形篇』「微乎微乎，至於無形；神乎神乎，至於無聲」）
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | IPA
  
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | 経済産業省