そもそもSCS評価制度の本旨はどこにあるのでしょうか。それは、サプライチェーン全体を通じてセキュリティ対策を強化しようということのはずです。サイバー攻撃者の手の内を知り、発注者・受注者が協力して必要な対策を講じることで、不正侵入されるリスクを軽減し、情報漏洩や事業中断のリスクを低減する。考え方自体はシンプルです。
では、なぜこのような考え方に至ったのでしょうか。理由もシンプルです。IPA（独立行政法人情報処理推進機構）が毎年公表している「情報セキュリティ10大脅威」の「組織」向け脅威で、「サプライチェーンや委託先を狙った攻撃」は2019年に初めて選出されて以来、2026年版まで8年連続で選出され続けています。しかも、2026年版では第2位という高い順位です。
コロナ禍が始まるよりも前から、脅威として認識され続けてきたにもかかわらず、いまだにその対策が不十分な企業が少なくない背景には、定期的なリスクアセスメントが十分に行われていないことも、一つの要因として考えられます。
SCS評価制度の要求事項・評価基準は、NIST（米国国立標準技術研究所）のサイバーセキュリティフレームワーク（CSF）に基づいて設計されています。「識別→防御→検知→対応→復旧」という一連の機能を「統治」することによって、対策全体の実効性を高めるという制度設計です。SCS評価制度の要諦はサプライチェーンセキュリティにあるため、この「統治」に含まれる取引先との関係性の部分を、特に「取引先管理」としてクローズアップしているのが特徴です。
この順番こそが重要です。「識別」と「防御」は、サイバー攻撃の手の内を知り、自社が守るべき資産を明確にした上で、防御を固めるという「事前防御」の対策です。従来のセキュリティ対策といえば、この発想が中心でした。
しかし、事前防御は、攻撃者からの不正侵入による被害を食い止めることはできても、万が一、不正侵入された場合の対策にはなりません。そこで、「検知」以降の対策が、サイバーセキュリティにおいては重要な鍵を握ることになります。
そもそも「不正アクセス」があったこと（未遂を含む）を検知できなければ、その先の対策が発動する根拠がありません。この「検知」において重要なのが、各種の「ログ」です。
これからISMSを取得しようという企業に限らず、すでにISMSを取得している企業からも、「ログは取っています。でも、定期的に確認はしていません。何かあったら見ます」という、いわば定番の回答をいただくことがあります。
ここで改めて考えたいのが、ログを取得する目的です。ログを取得していても定期的に確認していなければ、その情報を十分に活用できているとは言いにくいのではないでしょうか。
昨今、「ランサムウェア感染」のインシデントが度々報道されています。被害に遭った企業の公表内容やその後の調査報告書等を見ると、ある朝（月曜日であることが多いようです）、出社してPCを立ち上げると起動せず、サーバや各PC等の記憶装置が暗号化されて身代金を要求される、というパターンが繰り返し確認できます。
どれほどスキルの高い攻撃者であっても、突然、何の前触れもなく暗号化が行われるわけではありません。通常は、不正アクセスしやすい標的を調査したうえで、ターゲットを定めて不正アクセスを試みます。あらかじめアカウント情報が漏洩していれば、その利用者の端末を経由したかのように見える形で、不正アクセスが行われます。
ネットワーク監視のシステム上は「正規アクセス」に見えてしまいますが、本来であれば攻撃者自身の端末からアクセスしているはずなので、その挙動の違いを「不正アクセス」として検知し、認証を拒否する、あるいはセッション確立後であれば強制的に切断する、という判断が必要です。そうした判断を行うためにログを取得しているはずなのに、それをチェックしていなければ、よほど高度な自動検知の仕組みでも備えていない限り、攻撃者の活動を早期に把握できず、被害の拡大につながる可能性があります。
そして、ここが最も見過ごされがちな点なのですが、★3の要求事項・評価基準には、ネットワークの接続状況を監視するという項目こそ含まれているものの、ログそのものの取得・保管に関する要求、端末の挙動そのものを監視する要求、そしてサイバー攻撃の予兆を組織的に監視・分析する体制の構築は、いずれも★4のみの要求事項とされています。
つまり★3は、ネットワークの接続状況という比較的粗い監視までを求めるにとどまり、実際にログを取得し、端末の挙動を見て、組織立てて分析するという、実効性を大きく左右する核心部分は、すべて★4に持ち越されているのです。
ここで重要なのは、★3の要求事項を満たすことだけをゴールとするのではなく、自社のリスクに応じて、要求事項を超えて必要な対策がないかを検討することです。「★3ではそこまで要求されていない」と判断するだけではなく、「要求事項には含まれていないが、当社として講じるべき対策はないか」というリスクアセスメントこそが必要なはずです。
「うちはログを取っているから大丈夫」と思われたなら、それこそが今回お伝えしたかったことです。取得しているログを、誰が、どのくらいの頻度で確認しているか。この機会に、一度点検してみてください。気になる点があれば、ぜひご連絡ください。
