SCS評価制度、「対策しているつもり」だけでは取れない！？　IIJに聞く★3取得の実務

IIJ インテグレーション事業本部 プロフェッショナルサービス本部 コンサルティング部セキュリティコンサルティング課長 シニアコンサルタント 川畑弘臣氏

　前回の記事では、IIJの「IIJ SCS評価制度アセスメントソリューション」（以下、アセスメントソリューション）について、SCS評価制度の意義と、ソリューションでできることを聞いた。今回は後編として、中小企業がIIJの支援を受けながら★3・★4を目指すケースを想定し、実務で何が起きるのかを、引き続き、IIJの川畑弘臣氏に聞く。

経営層を本気にさせるには、取引への影響を「ビジネス目線」で伝える

　はじめに前提を定めておきたい。一口に中小企業と言っても、セキュリティレベルはさまざまだからだ。

　SCS評価制度は、★3から始まる。その前段階、★1と★2にあたるのは、IPAの「SECURITY ACTION セキュリティ自己対策宣言」だ。こちらは中小企業がセキュリティ強化の意気込みを自己宣言する制度で、★2は、IPAの「5分でできる!情報セキュリティ自社診断」で現状を点検し、経営者の責任として「情報セキュリティ基本方針」を策定・公開した企業が宣言できる。本稿では、この★2レベルは達成（宣言）できている中小企業を想定して話を進める。

　★3からは、要求事項に沿った対策と、それを裏付ける規程や証跡が求められる。前編の通り、ルールや体制の整備まで問われる制度となるため、経営層のコミットが欠かせない。しかし、経営層が「情シスがよしなにやってくれ」という企業は少なくないだろう。経営層に本気になってもらうには、どう伝えればよいのだろうか。

　川畑氏は、セキュリティ対策を「投資」と捉えてもらえるよう、ビジネス目線に立った説明が必要だと言う。SCS評価制度であれば、取引への影響から伝えると分かりやすい。伝え方の切り口は主に3つある。

　1つ目は、新規取引の際に、自社のセキュリティ水準を客観的に示せることだ。SCS評価制度への対応は強制ではない。ただ、近年のサイバー攻撃では、委託先を踏み台に被害を拡大するケースが目立つ。★を取得しているかどうかで比べられる場面は増えていくだろう。

　2つ目は、既存取引が円滑になることだ。毎年セキュリティチェックシートの提出を求めてくる取引先があれば、★を示すことでやり取りをスムーズにできるだろう。

　3つ目は、インシデントが起きたときに説明責任を果たせることだ。SCS評価制度の要求事項には、インシデント対応のプロセスが含まれている。★を取得していれば、万が一のときに迅速に対応できる企業だと示せる。

　ただし川畑氏は、「取得しないと競争力が落ちる」と煽るような伝え方は避けたいと繰り返す。発注側の企業も、どのタイミングで、どの取引先に★3を求めるべきか模索している段階だ。川畑氏は相談に来る企業に対し、「焦らずに、まずは要求事項に沿って準備を。整ったところで取得を目指しましょう」と伝えているという。

IPAが運営しているウェブサイト「SECURITY ACTION セキュリティ自己対策宣言」の「『二つ星』を宣言する」ページで、★2つの自己宣言ができる。そのための方法も解説されている

まずは★3取得を目指す　★4は「取引先へのビジネスインパクト」で判断

　★3と★4のどちらを目指すべきか。川畑氏の答えは「まず★3から」だ。★4は運用がかなり成熟している状態を想定しており、いきなり狙うのは厳しい企業がほとんどだという。★3の要求事項を固め、運用改善と体制づくり、証跡を残せる仕組みを整えてから★4に進むのが現実的だ。

　では、どんな企業が最終的に★4を目指すべきなのか。判断基準となるのは、有事の際の「取引先へのビジネスインパクト」だ。機密情報や重要なシステムを預かり、自社がランサムウェア攻撃などを受けて操業停止せざるを得なくなったときに、取引先の事業に多大な影響が出る場合は、★4を視野に入れる必要がある。

　このビジネスインパクトは、「重要な情報だから」といった肌感覚ではなく、経営目線で具体的に考えるべきだと川畑氏は言う。たとえばSIerが受発注システムを預かっていて、それが3日間止まったらどれくらいの損失になるか、機密情報が漏えいしたらどれだけの損害賠償が発生するか、といった考え方だ。

　これは、SCS評価制度だけでなく、サイバーレジリエンスの話でもある。近年は経営層の意識が高まり、「このサービスが止まったら、うちの被害はどれくらいか」といった問いが出るようになっている。対応するには、まず重要業務を定義し、それを支える重要システムと紐づけて、どこから守るべきかをランク付けする。その上で、ランクごとに復旧計画を立てておく必要がある。

　SCS評価制度の要求事項にも「重要業務」という言葉が繰り返し出てくるのだが、「重要業務とは何か」を定義できていない企業が非常に多いという。制度の要求事項には復旧に関する項目も含まれているため、重要業務の定義から復旧計画づくりまで進めておけば、★の取得にもつながる。

「ツールを入れている」では不十分　規程と証跡で示せるかが基準

　アセスメントソリューションでは、まず企業自身がセルフチェックを行う。ここで押さえておきたいのは、「対策しているつもり」で○を付けないこと。ツールを導入しているか否かではなく、規程や証跡まで示せるかどうかが○の基準になる。

　要求事項は「情報機器、OS及びソフトウェアに関する情報を把握すること」「自社の機密情報を扱う外部情報サービスを管理すること」といった形で書かれているため、つい○を付けたくなる。だが問われているのは、それが規程やルールに落とし込まれ、証跡として出せるかどうかだ。

　実際、IIJが先行して支援している企業の自己評価に○が並んでいた例があった。しかし、IIJが規程などをすべて読み込むと、根拠となる記述が見つからない。そういう場合は「いったん△にして、まずは規程に盛り込みましょう」と厳しめの評価を下す。「われわれが甘く評価して、結局★を取得できませんでした、セキュリティにも穴がありました、では意味がない」と川畑氏は言う。

　なお、J-SOXやISMSに対応した経験がある企業なら、規程を作り、証跡を残す進め方を経験しているはずだ。同じやり方で、SCS評価制度の要求事項に一つずつ当てはめていけばいい。

　規程をはじめ、ドキュメントが足りないと分かったとき、今なら生成AIで作ろうと考える情シスも多いだろう。生成AIでひな形を作ることはすでに一般的になっている。ただし、入力内容が学習に使われる可能性のある外部の生成AIサービスに、自社の情報をそのまま入力するのは避けるべきだ。また、最終的には人の目で確認する工程が欠かせない。規程を形だけのものにしないためにも、専門家の目を通しておきたい。

時間がかかるのは、ツールの導入よりドキュメント整備

　★2レベルの企業が★3を取得するまでの期間は、アセスメント後、半年前後が目安だ。しかし、それでも足りない場合があるという。時間を要するのは、前編の最後に触れた通り、規程や手順書といったドキュメントの整備だ。

　ツールについても導入しなければ要求事項を満たせないものはある。ただ、SIerなど外部を頼れる部分も多い。一方、規程や手順書は自分たちで書かなければならない。一から作るとなると、工数は一気に膨らむ。そこでIIJは、資産台帳を含めた必要なドキュメントのリストを用意している。企業と一緒に「これはある」「これはない」と確認し、足りないものを二人三脚で作っていくという。

　規程の整備にかかる時間は、企業規模によっても変わる。人数が少ない企業なら、規程を作って経営層の承認さえ取れれば、すぐに次の段階へ進めることが多い。作った規程を社内展開するのもスムーズだ。実際、IIJが支援している100人規模の企業でも、規程づくりは順調に進んでいるそうだ。

　一方、1000人を超える規模になると、規程を一つ改訂するにも複数の承認が必要になる。数十年にわたって継ぎ足されてきた規程が数十冊あり、どこに何が書いてあるかを読み解くところから始めなければならないケースもあるという。

つまずきやすいのは、脆弱性管理と委託先管理

　ドキュメントの整備に加えて多くの企業が苦労するのが、管理プロセスづくりだという。代表的なのが、脆弱性管理と委託先管理だ。

　脆弱性管理は、★3の要求事項だ。脆弱性管理とは、OSやソフトウェアに見つかったセキュリティ上の欠陥（脆弱性）を把握し、パッチの適用などで対処していくことを指す。ここで重要なのは、パッチを当てられない場合の扱いだという。システムの事情で当てられないこともあれば、使っていない機能で、パッチを当てる必要がないこともある。そこで、なぜ当てないのか、当てないことでどんなリスクが生じるのかを記載しておく。「当てたかどうか」ではなく、「当てない判断を説明できるか」が問われるという。

　そして、脆弱性管理の前提になるのが、社内のPCやサーバー、ソフトウェアを把握する、IT資産管理だ。「どんなサーバーがあるのか分からなければ、脆弱性があることにすら気づけない」と川畑氏。要求事項は一つひとつ独立しているように見えて、根底でつながっているのだ。

　委託先管理は、★4の要求事項になる。もちろん「委託先をリストにして管理しています」だけでは不十分だ。契約締結の手続き、契約期間中にセキュリティ上の問題が起きたときの連絡体制、契約を解除する際の機密情報の返却といった一連の流れを整備し、証跡として示せるようにしておく必要がある。

サプライチェーン全体のセキュリティ強化には、企業間の協力が不可欠

　委託先管理が要求事項に含まれているのは、もはや委託先のセキュリティが自社のセキュリティの一部となっているからだ。SCS評価制度が目指しているのも、個社ごとの対策ではなく、サプライチェーン全体のセキュリティを引き上げることにある。

　ただ、筆者はこれまでの取材で、発注側の大企業から「サプライチェーンを構成する小さな会社はお金もリソースもない。それが分かっているから強く言えない」という声を幾度となく聞いてきた。これは、SCS評価制度が始まったとしても残る課題だろう。

　川畑氏も「非常に難しい」と語る。その上で、発注側の大企業が取引先任せにせず、一緒に取り組む姿勢が欠かせないと言う。ある業界では、業界全体でドキュメントとツールをセットにしたセキュリティ標準を用意し、同じツールをまとめて調達して使う取り組みが行われているという。大企業と中小企業が共にセキュリティを強化する流れができてこそ、SCS評価制度は本来の役割を果たすことになるのではないだろうか。

IIJに丸投げは本末転倒　アセスメントソリューションを自走力を養う機会に

　IIJの支援を受ければ、情シスの負担は大きく減らせる。現状評価やギャップ分析、ロードマップの策定はIIJが担い、その後のドキュメント作成やツール導入、プロジェクト全体の進行管理（PMO）まで任せることができる。企業側は、IIJの提案を確認しながら承認と決定を重ねていけば、★の取得まで進められる。

　とはいえ、丸投げでいいわけではない。IIJが作成したドキュメントに目を通して修正点を伝え、社内の決裁を通し、打ち合わせにも参加する必要がある。「協力してもらえないと、いいものはできない」と川畑氏は言う。アセスメントソリューションがセルフチェックから始まるのも、企業に自分ごととして取り組んでもらうためだ。どれだけ伴走者がいても、★を取得し、その後の運用を担うのは自社だ。

　それに、SCS評価制度への対応は、古い規程を見直す好機でもある。例えば、20年ほど前に作られた規程には、今のクラウドもAIも出てこないはずだ。川畑氏によれば、改訂を重ねるのではなく、いったん白紙に戻して要求事項を満たす規程をゼロから作り、それに合わせて運用を組み直す企業も出てきているという。規程と、関連するドキュメントの体系を先に決めてから作っていく。川畑氏は「ある意味これも設計だと思う」と語る。

　川畑氏は、今こそ自社のセキュリティの軸をきちんと作り、新しい攻撃に直面しても自分たちで対応し続けられる力をつけるタイミングだと言う。SCS評価制度への対応は、自社のセキュリティを自ら育てていく出発点にもなるのだ。

酒井 真弓

情報システム部出身のノンフィクションライター。広報、イベント企画、コミュニティ運営、MCなどの活動をしながら、行政から民間まで取材。日本初のGoogle Cloud公式エンタープライズユーザー会「Jagu'e'r（ジャガー）」のアンバサダー。著書に『ルポ 日本のDX最前線』（集英社インターナショナル）など。