概要

今回のテーマは、取引先から「セキュリティは大丈夫ですか」と問われる時代を見据えた、SCS評価制度と中小企業が今から取り組むべき対策です。

セミナーでは、サプライチェーンでつながる企業のうち、管理体制が弱い会社が攻撃の入口となり得ることを確認しました。攻撃者が狙うのは必ずしも大企業ではなく、「入りやすい会社」です。代表者のメールがプロバイダ任せ、会社の共通メールを一つだけ使用、サーバーの設置場所や管理者が不明といった状態は、取引先から見えないリスクとして受け止められます。また、事故の最大要因は「人」であり、添付ファイルを安易に開く、パスワードを使い回す、退職者のIDを停止しない、個人端末で業務連絡を行うといった日常の行動が、情報漏えいや感染につながることも示されました。

今後予定されるSCS評価制度は、共通の物差しでサプライチェーン全体の対策状況を見える化する仕組みです。★3では一般的な脅威への対処、★4では拡大防止と取引先保護、★5では高度な攻撃への対応が想定され、まずは★3相当の土台づくりが目標となります。一方で、制度への対応を口実に「今すぐ契約しなければ取引停止になる」などと不安をあおる業者には注意が必要です。

中小企業が最初に行うべきことは、高額な機器の購入ではありません。メール・ドメインの契約者、サーバー会社と管理ID、社員ごとのメールアドレス、バックアップ、パスワード管理ルールを確認し、「誰も知らない」「誰も管理していない」状態をなくすことです。そのうえで、IPAのSECURITY ACTION、自社診断、基本方針の策定、取引先要求の確認へ進みます。情報セキュリティ教育は単なるコストではなく、事業を止めないための防災訓練です。経営者自身が関心を持ち、管理者とルールを定めることが、最初の一歩であると学ぶ機会となりました。

 

【参考リンク】

経済産業省｜サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）
制度構築の背景、目的、最新資料、中小企業向け支援策などを確認できます。
https://www.meti.go.jp/policy/netsecurity/scs.html

 

IPA｜SCS評価制度公式サイト
制度の概要、★3・★4の考え方、評価方法、FAQなどがまとめられています。
https://www.ipa.go.jp/security/scs/index.html

 

IPA｜SECURITY ACTION セキュリティ対策自己宣言
中小企業が自社の情報セキュリティ対策への取組を自己宣言する制度です。SCS評価制度に向けた基礎固めとして位置づけられます。
https://www.ipa.go.jp/security/security-action/sa/

 

IPA｜中小企業の情報セキュリティ対策ガイドライン
経営者が認識すべき責任、社内体制、自社診断、基本方針、事故対応、委託先管理などを体系的に整理した実務資料です。
https://www.ipa.go.jp/security/guide/sme/about.html

 

---

 

参加者感想

• 自社で早急に対応しなければならないことに気づかされた。
• 自社の情報セキュリティの取り組みが、取引先の情報セキュリティリスクになることを考えなければならない。
• セキュリティリスクの要は「人」。我々経営者がそのことを認識し、経営者自ら取り組む必要があると感じた。

 

---