なぜSCS評価制度は“ここまで求めるのか”

本コラムは、経済産業省・IPAが策定した
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
について、その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。

第1回から第16回まで、

  • ガバナンスを整え
  • リスクを把握し
  • 防御を固め
  • 異常を検知し
  • 対応し
  • 復旧する

という一連の流れを見てきました。

そして最後に、多くの読者が抱く疑問があります。


なぜSCS評価制度は、ここまで多くのことを求めるのでしょうか。

SCS評価制度はチェックリストではない

SCS評価制度を初めて見ると、

  • 社内ルール
  • 資産管理
  • 教育
  • 監視
  • インシデント対応

など、多くの要求事項が並んでいます。

そのため、


「やることが多いチェックリスト」

のように見えるかもしれません。

しかし、ここまで連載を追ってきた方なら分かるはずです。

SCS評価制度は単なる対策集ではありません。


組織を“負けない状態”にするための設計図です。

SCSが描く「負けない構造」

ここまでの16回を整理すると、
SCS評価制度が描いている一つの流れが見えてきます。

① 戦う前の準備


組織を戦える状態にする段階です。

② 敵と味方を知る


何を守るのか、
何を警戒するのかを把握する段階です。

③ 防御を固める


負けない状態を作る段階です。

④ 状況を把握する


異常を検知し、
その意味を判断する段階です。

⑤ 行動し、立て直す


被害を受けても立ち直れる状態を作る段階です。


つまりSCS評価制度は、
個別対策ではなく「負けない構造」の実装を求めているのです。

孫子が語る“負けない構造”

不可勝在己

―『孫子兵法・形篇』

（負けない状態を作ることは自分にできる）

ここまで見てきたSCS評価制度の要求事項は、
一見すると個別の対策に見えます。

  • ガバナンスを整備する
  • 資産を把握する
  • リスクを評価する
  • 防御を行う
  • 監視する
  • 対応する
  • 復旧する

しかし、
これらを個別に見ると本質を見失います。


SCS評価制度が求めているのは、
対策そのものではなく「負けない構造」だからです。

孫子の文脈

孫子は、
勝利そのものを保証する方法を説いているわけではありません。

勝敗には、

  • 相手の行動
  • 環境の変化
  • 偶然の要素

が関わるからです。

しかし、


敗北を避ける準備は自分で行うことができる。

とも考えています。

だからこそ、

  • 状況を把握する
  • 役割を定義する
  • 資産を管理する
  • 防御する
  • 監視する
  • 復旧する

という一連の準備が必要になるのです。

ビジネスの文脈

企業経営においても同じです。

サイバー攻撃をゼロにすることはできません。

すべての脆弱性をなくすこともできません。

しかし、

  • 攻撃されにくい状態を作る
  • 被害を小さくする
  • 早く異常に気付く
  • 迅速に対応する
  • 早く復旧する

ことはできます。


SCS評価制度は、
攻撃をなくす制度ではなく、
負けない組織を作る制度なのです。

SCS評価制度が求める本当の到達点

これまで扱った要求事項は、
すべて異なるものに見えるかもしれません。

しかしその本質は一つです。


組織を「負けない状態」にすること。

だからこそ、

  • ガバナンスが必要になる
  • 資産管理が必要になる
  • 防御が必要になる
  • 監視が必要になる
  • 対応が必要になる
  • 復旧が必要になる

のです。


第1回から第16回まで扱ってきたすべての要求事項は、
この「負けない状態を作る」という考え方へ収束します。

チェック：負けない構造は整備されているか

以下は総集編としてのチェックシートです。
すべてに☑が付く状態が望ましい状態です。

  • ☑ 組織の責任と権限が明確になっているか
  • ☑ 守るべき資産とリスクを把握しているか
  • ☑ 防御の仕組みを維持できているか
  • ☑ 異常に気付き、判断できるか
  • ☑ インシデントへ対応できるか
  • ☑ 事業を復旧できるか
  • ☑ 継続的に改善できる仕組みがあるか

もしこれらに一つでも☑を付けられない場合、


「負けない構造」がまだ完成していない可能性があります。

SCS評価制度は、
一つ一つの要求事項を満たすことが目的ではありません。

重要なのは、

  • 状況を把握できること
  • 判断できること
  • 防御できること
  • 立て直せること

を組織全体として実現することです。

今からできるアクション

☑が付かなかった項目がある場合は、以下から始めましょう。

  • 第1回から第16回までを振り返り、最も弱い分野を一つ特定する
  • 未整備の要求事項を洗い出す
  • 教育・訓練の実施状況を確認する
  • インシデント対応訓練・復旧訓練を実施する
  • 年に一度、SCS全体を棚卸しする仕組みを作る

セキュリティの成熟度は、
導入した製品やツールの数では決まりません。

重要なのは、

  • 組織として判断できること
  • 組織として行動できること
  • 組織として立ち直れること

です。

まずは、
自社がどこまで「負けない構造」を実装できているかを確認してみましょう。

まとめ

不可勝在己

―『孫子兵法・形篇』

（負けない状態を作ることは自分にできる）

SCS評価制度が求めているのは、
完璧な防御ではありません。

攻撃をゼロにすることでもありません。

組織として、
負けない状態を作り続けることです。

そして、その構造を維持し続けることこそが、
SCS評価制度の目指す姿です。


セキュリティとは対策の集合ではない。
負けないために設計された構造である。

参考