なぜ
「インシデントのレベル分け」
が必要なのか
本コラムは、経済産業省・IPAが策定した
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
について、その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。
前回は「継続的監視」を取り上げ、
異常の兆候を見逃さないことの重要性を整理しました。
大分類：検知 ／ 中分類：有害事象の分析（5-2）
インシデントのレベル分けとは何か
（SCS評価制度の要求）
SCSが求めていること
SCS評価制度では、
- セキュリティインシデントのレベルを定義すること
- レベルごとの対象範囲を定義すること
- 検知した事象についてレベル判断を行うこと
- 判断結果に応じて対応を分けること
が求められています。
検知した異常について、
重大度と影響範囲を判断し、
適切な対応やエスカレーションにつなげること。
これは単なる分類作業ではなく、
異常を発見した後の意思決定を標準化するための仕組みです。
前回の継続的監視では、
異常に気付くこと
が重要であると整理しました。
しかし、
異常に気付いただけでは、
何をすべきかは決まりません。
なぜインシデントのレベル分けが必要か
（孫子における考え方）
孫子は次のように述べています。
識衆寡之用者勝
―『孫子略解・謀攻篇』
（状況に応じて戦力を使い分けられる者が勝つ）
戦いにおいて、
- すべての敵に同じ兵力を投入する
- すべてを同じ重大度で扱う
ような運用は成り立ちません。
優れた将は、
- 状況の規模
- 影響範囲
- 戦力差
を見極め、
適切な資源を投入します。
重要なのは、異常を見つけることではなく、
その意味を正しく判断することです。
孫子の文脈
「識衆寡之用者勝」は、
単純に兵力の多寡を語っているわけではありません。
重要なのは、
- どの状況なのか
- どれだけ重大なのか
- どの程度の対応が必要なのか
を見極めることです。
優れた将は、
小競り合いと決戦を同じようには扱いません。
状況を評価し、
必要な戦力を投入します。
だからこそ、
無駄なく効果的な行動が可能になります。
ビジネスの文脈
企業においても同じです。
例えば、
- ログイン失敗が数回発生した
- 不審な通信が一件確認された
- 大量のデータが外部へ送信されている
では、
取るべき対応は大きく異なります。
すべてを重大事故として扱えば、
組織は疲弊します。
逆に、
重大なインシデントを軽く扱えば、
被害が拡大します。
SCS評価制度がインシデントのレベル分けを求めるのは、
迷わず優先順位を決められる状態を作るためです。
レベル分けの意味
インシデントのレベル分けとは、
判断基準をあらかじめ定義すること
です。
これにより、
- 優先順位が決まる
- 対応内容が決まる
- 判断のばらつきがなくなる
ようになります。
迷わず意思決定できる状態を作ることが、
レベル分けの目的です。
なぜ人の判断に任せてはいけないのか
レベル定義が存在しない場合、
- 担当者ごとに判断が異なる
- 対応が遅れたり過剰になったりする
- 組織として統一した行動が取れない
という問題が発生します。
例えば、
- ある担当者は重大だと判断する
- 別の担当者は様子を見るべきだと判断する
ような状況では、
対応開始のタイミングが揃いません。
異常を発見した後の判断が属人化すると、
組織としての対応能力は大きく低下します。
孫子的に見れば、
これは各部隊がそれぞれ独自の判断で戦っている状態です。
対象範囲の意味
SCS評価制度では、
レベルだけでなく、
対象範囲の定義も求めています。
これは、
- どこまで影響しているのか
- どこまで広がる可能性があるのか
- どの組織やシステムへ影響するのか
を判断するためです。
重大度だけでは、
本当に必要な対応規模は決まりません。
例えば、
同じレベルの異常であっても、
- 個人端末のみへの影響
- 部門システムへの影響
- 基幹システムへの影響
では、
取るべき行動は大きく変わります。
レベルと範囲の関係
実際のインシデント対応は、
重大度と影響範囲の組み合わせで決まります。
これによって、
- 対応の優先順位
- 対応範囲
- 経営層への報告要否
- エスカレーションの必要性
を判断できます。
SCS評価制度が対象範囲の定義を求めるのは、
単に分類するためではありません。
組織が迷わず意思決定できる状態を作るためです。
SCS評価制度が求める本当の到達点
SCS評価制度は、
- インシデントレベルを定義すること
- 対象範囲を定義すること
- 検知した事象を分析すること
- レベル判定を行うこと
を求めています。
しかしその本質は、
「迷わず判断できる状態を作ること」
です。
異常を発見した後、
- 何を優先すべきか
- 誰へ報告すべきか
- どこまで対応すべきか
を迅速に決められなければ、
被害は拡大します。
そのため、
レベル定義とは分類のためではなく、
意思決定のための仕組みなのです。
まとめ
インシデント分析とは、
- 技術的な調査ではなく
- 意思決定のための設計です
正しく判断できる状態を作ることが、
その本質です。
異常に気付くことは重要です。
しかし、
気付いただけでは組織は動きません。
重要なのは、
その異常の意味を理解し、
適切な優先順位を付け、
必要な対応を決めることです。
識衆寡之用者勝
（状況に応じて戦力を使い分けられる者が勝つ）
異常を見つけるだけでは不十分である。
その意味を正しく判断できて初めて、防御は機能する。
チェック：判断基準は整備されているか
以下はチェックシートです。
すべてに☑が付く状態が望ましい状態です。
- ☑ インシデントのレベルが定義されているか
- ☑ レベルごとの対象範囲が定義されているか
- ☑ 異常発生時に担当者ごとの判断のばらつきが起きないか
- ☑ 対応の優先順位が明確になっているか
- ☑ エスカレーション基準が定義されているか
- ☑ 重大度と影響範囲の両方を評価できる仕組みがあるか
もしこれらに一つでも☑を付けられない場合、
検知した異常を適切に判断できていない可能性があります。
異常を検知できたとしても、
- どの程度重大なのか
- 誰へ報告すべきなのか
- どこまで対応を広げるべきなのか
が判断できなければ、
組織は動けません。
まずは、
異常発生時にどのような基準で判断するのかを整理することが必要です。
今からできるアクション
☑が付かなかった項目がある場合は、以下から始めましょう。
- 現在のインシデント分類基準を確認する
- 重大度判定ルールを文書化する
- 影響範囲の判定基準を整理する
- エスカレーション手順を確認する
- 過去のインシデントをレベル分類して振り返る
- 判断基準が担当者によって変わらないか確認する
インシデント分析の目的は、
異常を分類することではありません。
重要なのは、
- 優先順位を決めること
- 対応を決めること
- 組織として同じ判断を行うこと
です。
まずは、
「この異常はどのレベルなのか」
を誰でも同じように判断できる状態を目指しましょう。
次回は「インシデント対応」を取り上げ、
判断した結果をどのように行動へ結び付けるのかを整理します。
