サプライチェーンリスク対策として必要とされている「最低限」とは？

SCSの★3の説明に「全てのサプライチェーン企業が最低限実装すべきセキュリティ対策」という言葉があります。

最低限実装すべき。わかる。わかるんですけど、正直これ、かなりハードルが高いです。

★1は5項目、★2は25項目。そして★3になると一気に81項目。

ガバナンスや組織体制まわりは、専門知識や大きな投資がなくても対応できるものも多いです。でも、防御や検知の領域になってくると、ある程度の知識がないと理解するだけでも厳しい。だからこそ有識者の評価が必要、という設計なんだなとは思います。

ただ、「要求する側の最低限」と「実行する側の最低限」はまったく別物で。

要求する側は「これをやってほしい」と言えるけど、実行する側は人も時間もリソースも必要です。あまり大きくない会社では、セキュリティ専任を確保するのが難しいのが現実です。

ちょっと理想論だとわかって言うんですが、セキュリティ人材ってシェアできる領域なんじゃないかなと思っています。サイバー攻撃を受けたときが一番忙しいわけで、そのピーク時に合わせて人員を確保しておくのは難しい。必要なときに必要なリソースを共有できる仕組みが、国単位でできたりしないですかね。

自分の専門性は大したことはないかもしれないけど、それでも役に立つことがあればと思ってSCS対策のブログを始めてみました。

★1・★2については▪️ブログの第5回でまとめているので、よかったら読んでみてください。