SCS評価制度対応で最初に買うべきものはセキュリティ製品ではない

セキュリティの専門家として活動している、Open（株）代表の開です。

SCS評価制度への関心が少しずつ高まっています。

正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」です。

今後、取引先から「SCS評価制度には対応していますか」「★3は取得していますか」と聞かれる会社も出てくるはずです。

そこで不安になるのが、

「何かセキュリティ製品を入れないといけないのか」
「EDRやUTMを買えば対応できるのか」
「ベンダーに相談したら高額な製品を提案されるのではないか」

という点ではないでしょうか。

結論から言うと、SCS評価制度対応で最初に買うべきものは、セキュリティ製品ではありません。

もちろん、セキュリティ製品は重要です。

ウイルス対策、EDR、ログ管理、脆弱性管理、バックアップ、ネットワーク監視など、技術的な対策が必要になる場面はあります。

しかし、SCS評価制度で問われるのは「製品を入れているか」だけではありません。

むしろ最初に必要なのは、自社の現状を把握し、責任体制を決め、社内ルールを整え、証跡を残せる状態にすることです。

SCS評価制度は製品導入競争ではない

SCS評価制度は、セキュリティ対策の状況を共通の基準で見える化する制度です。

取引先ごとにバラバラなチェックシートで確認するのではなく、共通のものさしで「どの程度の対策ができているか」を示すことが狙いです。

ここで大事なのは、SCS評価制度は「特定の製品を導入した会社を評価する制度」ではないということです。

例えば、EDRを入れている会社でも、

• 誰が管理しているのか分からない

• アラートを見ていない

• インシデント時の連絡先が決まっていない

• 復旧手順がない

となれば十分とは言えません。

逆に、高額な製品をたくさん入れていなくても、資産管理、アクセス管理、バックアップ、教育、インシデント対応、取引先との責任分界をきちんと整理していれば、制度対応の土台は作れます。

つまり、SCS評価制度対応は「何を買うか」から始めるものではありません。

「何を管理していて、誰が責任を持ち、どの証跡で説明できるか」から始めるものです。

ベンダー資料だけを見ると製品が必要に見える

今後、SCS評価制度に関する情報発信は増えていくと思います。

セキュリティベンダーも、制度の解説資料やセミナーを出し始めており、私も数社のセミナーへ一顧客として参加しました。

本制度にからめた自社製品の宣伝自体は悪いことではありません。

ベンダーは最新の攻撃動向や技術的対策に詳しく、製品が有効な場面も多くあります。

ただし、ベンダーの資料を見ると、どうしても最終的には自社製品の紹介に流れやすくなります。

「この製品で可視化できます」
「この機能で検知できます」
「このサービスで対応できます」

という説明は、技術的対策を理解するうえでは役立ちます。

しかし、中小企業が最初に考えるべきことは、「その製品を買うかどうか」ではありません。

まず確認すべきなのは、自社に何が足りないのかです。

• 製品が足りないのか

• ルールが足りないのか

• 運用が足りないのか

• 証跡が足りないのか

• 責任者が決まっていないのか

ここを分けずに製品導入から始めると、お金をかけたのに制度対応としては説明できない、という状態になりかねません。

最初にやるべきことは現状把握

SCS評価制度対応の第一歩は、現状把握です。

いきなり製品を選ぶのではなく、まずは次のようなことを確認する必要があります。

• 自社で使っているパソコン、サーバー、クラウドサービス、ネットワーク機器を把握しているか

• 重要な情報がどこに保存され、誰がアクセスできるかを把握しているか

• 管理者アカウントや退職者アカウントが放置されていないか

• セキュリティの責任者や担当者が決まっているか

• インシデントが起きた時に、誰が、誰へ、何を連絡するか決まっているか

• バックアップは取得しているだけでなく、復旧できることを確認しているか

• 取引先に共有している情報や、取引先から預かっている情報の扱いが整理されているか

これらは、製品を買う前に確認できることです。

そして、多くの会社では、この段階で不足が見つかります。

これまで私がコンサルティングや顧問として確認したお客様の例では、

• ウイルス対策ソフトは入っているが、資産台帳がない

• バックアップはあるが、復旧手順がない

• 取引先にファイルを送っているが、情報の扱いルールがない

• 情シス担当者はいるが、正式な責任と権限が決まっていない

このような状態では、新しい製品を入れても、制度対応としては不十分です。

ガバナンスと証跡がないと説明できない

SCS評価制度で重要になるのは、ガバナンスと証跡です。

ガバナンスという言葉は少し難しく聞こえますが、簡単に言えば「会社として管理できている状態」のことです。

• 誰が責任者なのか

• どのルールに基づいて運用しているのか

• 定期的に見直しているのか

• 問題が起きた時に対応できるのか

これを説明できる状態にする必要があります。

さらに、説明するためには証跡が必要です。

• 規程や手順書がある

• 資産台帳がある

• アクセス権の棚卸し記録がある

• 教育を実施した記録がある

• バックアップや復旧確認の記録がある

• インシデント対応訓練の記録がある

• 取引先との責任分界や情報の扱いに関する合意がある

こうした証跡がないと、「やっています」と言っても、第三者から見ると確認できません。

SCS評価制度対応では、「実際にやっていること」と「それを説明できること」の両方が必要になります。

製品が必要な領域もある

ここまで読むと、「製品はいらないのか」と思うかもしれません。

そうではありません。

製品が必要な領域は確実にあります。

例えば、端末の保護、脆弱性管理、ログの収集、ネットワーク監視、メール対策、バックアップ、クラウド設定の可視化などは、手作業だけで対応するのは難しい領域です。

特に★4を目指す場合や、重要なシステムを持っている会社では、技術的な対策の強化が必要になる可能性があります。

ただし、それでも順番が大事です。

最初に製品ありきで考えるのではなく、

• 現在の対策で足りているもの

• 運用改善で対応できるもの

• 規程や手順の整備が必要なもの

• 証跡を残せばよいもの

• 新しい製品が必要なもの

このように分けて考えるべきです。

この整理をしないまま製品を導入すると、コストだけが増えて、肝心の制度対応が進まないことがあります。

まずは★3を見据えて準備する

SCS評価制度では、★3と★4が特に注目されています。

しかし、すべての会社が最初から★4を目指す必要があるわけではありません。

自社の業種、取引先からの要求、扱う情報、システムの重要度によって、目指すべき水準は変わります。

多くの中小企業にとっては、まず★3を見据えた準備が現実的です。

★3を目指すうえでも、やるべきことは少なくありません。

• 責任体制を決める

• セキュリティ対応方針を作る

• 資産を把握する

• アクセス管理のルールを整える

• インシデント対応手順を作る

• バックアップと復旧の考え方を整理する

• 取引先との情報の扱いを明確にする

これらは一夜で整うものではありません。

取引先から聞かれてから慌てて作るのではなく、制度開始前の今から少しずつ準備しておくことが重要です。

中小企業が今やるべきこと

中小企業が今やるべきことは、いきなり製品を比較することではありません。

まずは、自社の現状を棚卸しすることです。

どの要求事項に対応できているのか。

どこが不足しているのか。

不足している理由は、製品なのか、運用なのか、ルールなのか、証跡なのか。

ここを整理するだけでも、対応の優先順位が見えてきます。

そのうえで、短期的に対応すべきものと、中長期で対応すべきものを分けます。

例えば、責任者の明確化、資産台帳の作成、基本的な規程の整備、インシデント時の連絡先整理などは、比較的早く着手できます。

一方で、ログ監視基盤の導入や高度な検知体制の整備は、予算や運用体制も含めて検討が必要です。

大事なのは、自社に合わない過剰な対策をいきなり入れないことです。

SCS評価制度対応は、背伸びをすることではありません。

自社のリスクと取引先の要求に合わせて、説明できる管理体制を作ることです。

まとめ

SCS評価制度対応で、最初に買うべきものはセキュリティ製品ではありません。

最初に必要なのは、現状把握です。

そして、責任体制、社内ルール、資産管理、アクセス管理、インシデント対応、復旧計画、取引先との責任分界、証跡を整理することです。

製品は重要です。

しかし、製品だけでは制度対応にはなりません。

EDRを入れているかどうかだけではなく、誰が責任を持ち、何を管理し、どの記録で説明できるかが問われます。

まずは★3を見据えて、自社の現状と不足を整理する。

そのうえで、本当に必要な製品やサービスを選ぶ。

この順番を間違えないことが、SCS評価制度対応ではとても重要です。

当社へのお問い合わせ

SCS評価制度への対応は、製品選定から始めるのではなく、まず自社の現状と不足を把握することから始めるべきです。

当社では、ベンダー中立の立場で、SCS評価制度に向けた現状整理、★3・★4のギャップ分析、ガバナンス整備、証跡確認、取引先対応の支援を行っています。

「何から始めればよいか分からない」
「既存対策で足りるのか確認したい」
「ベンダーに相談する前に、中立的な意見がほしい」

このようなお悩みがあれば、お気軽にご相談ください。

（お問い合わせフォーム）