【SCS評価制度】セキュリティ対策は『見えないもの』を守れない—資産可視化の重要性
- 5 日前
- 読了時間: 8分
SCS評価制度の大分類3「リスクの特定」
「リスクの特定」で本質的に求められるものとは
SCS評価制度の大分類3「リスクの特定」で本質的に求められているのは、単にIT資産の一覧を作成したり、資産管理ツールを導入したりすることではありません。
重要なのは、組織として何を守るべき資産と位置付けるのかを明確にし、その重要度に応じて適切な管理を行うことです。
はじめに
私たちがセキュリティのご支援する現場でも、最初のヒアリングで
「IT資産管理ツールを導入しているので、資産管理は問題ありません。」
というお話をいただくことは少なくありません。
しかし、実際に評価基準に沿って確認を進めると、
どの情報が事業継続上重要なのか整理されていない
部署ごとに利用しているクラウドサービスの重要度が定義されていない
管理対象とすべき資産の範囲が部門ごとに異なる
といった課題が見つかるケースが多くあります。
要求事項「3-1-1：ハードウェア、OS及びソフトウェアの把握」では端末の把握することを求めていますが、資産管理ツールを導入していても、それだけで十分とは言えません。ツールは登録された資産や検知できる資産を一覧化することはできますが、「組織にとって本当に重要な資産は何か」「どこまでを管理対象とすべきか」を判断してくれるわけではないからです。
例えば、業務部門が独自に契約したクラウドサービスや、重要な設計情報・顧客情報などは、運用次第では管理の対象から漏れてしまう可能性があります。また、すべての資産を同じレベルで管理しようとすると、重要な資産に十分な管理工数を割けなくなることもあります。
そのため、まずは組織として「何を守るべき資産なのか」を明確にし、その重要度に応じて管理方法や点検頻度を決めることが重要です。資産管理ツールは、その方針に基づいた運用を効率化するための手段の一つとして活用することで、初めて十分な効果を発揮します。
資産可視化は全対策の土台
防御も検知も、対応も復旧も、突き詰めれば「守るべき対象」があってはじめて成立する対策です。守るべきPCやサーバ、ネットワーク、クラウドサービスの全体像が見えていなければ、ファイアウォールの設定も、監視ルールの設計も、そもそもどこに対して行えばよいのか定まりません。
SCS評価制度が資産の可視化を大分類3という早い段階に据えているのは、この「対象が見えて初めて対策が意味を持つ」という順序を反映したものだと捉えることができます。裏を返せば、防御や検知にどれだけ予算をかけても、資産の全体像が曖昧なままでは、その投資の一部は「守れていない範囲」に対して無力なまま残ってしまう、ということでもあります。
資産可視化の3つのレイヤー
資産を可視化すると聞くと、多くの方はPCやサーバなどのIT機器を思い浮かべるかもしれません。しかし、組織が管理すべき資産はそれだけではありません。
事業を支える情報や業務を適切に保護するためには、それらを支えるIT資産だけでなく、ネットワークやクラウドサービスも含めて全体像を把握する必要があります。
まずは、組織として重要な情報資産・業務資産を整理し、その資産を支える端末・ネットワーク・クラウドサービスを可視化していく、という考え方が基本になります。
①3-1-1：ハードウェア、OS及びソフトウェアの把握
パソコンやサーバ、スマートフォン、ネットワーク機器、ソフトウェアなど、自社で利用している資産を把握し、それぞれの構成や利用状況を継続的に管理できる状態にすることが重要です。
また、一度台帳を作成するだけでは十分ではありません。新しい端末の導入や機器の廃棄、ソフトウェアの更新など、日々変化する環境に合わせて情報を維持・更新できる運用を整備することが求められます。
②3-1-2：ネットワークの一覧作成
資産を把握していても、それらがどのようにつながっているのか分からなければ、適切なセキュリティ対策を講じることはできません。
そのため、拠点間接続や社内ネットワーク、クラウドとの接続関係など、ネットワーク全体の構成を整理し、現在の構成を関係者が正しく把握できる状態にしておくことが重要です。
ネットワーク構成はシステム更新や拠点追加によって変化するため、実態と乖離しないよう継続的に見直すことも欠かせません。
②3-1-3：外部情報サービスの管理
近年では、業務システムの多くがクラウドサービス上で利用されています。
そのため、自社でどのようなクラウドサービスを利用しているのかを把握するとともに、どのような情報を保存・処理しているのか、誰が利用を管理しているのかを明確にしておくことが重要になります。
特に、各部署が独自に契約したSaaSは把握が難しく、管理対象から漏れやすい資産の一つです。こうしたサービスも含めて継続的に把握し、必要に応じて利用状況を見直せる仕組みを整備することが、組織全体のリスク低減につながります。
3つのレイヤーに共通する考え方
ここで重要なのは、「すべての資産を同じレベルで管理すること」ではありません。
まず組織として重要な情報や業務を明確にし、それらを支える資産を特定した上で、重要度に応じた管理方法を決めることが大切です。
例えば、基幹システムを支えるサーバと、一般的な情報閲覧用PCでは、求められる管理レベルは同じではありません。重要度に応じて点検頻度や管理方法を変えることで、限られた人的・金銭的リソースを効果的に配分できます。
資産可視化の目的は台帳を作成することではなく、組織として「何を守るべきか」を明確にし、その資産を継続的に管理できる状態を維持することにあります。
見落としがちな「機密情報×人の異動」の管理
資産可視化というと、多くの方はPCやサーバなど「モノ」の管理を思い浮かべます。しかし、実際に守るべき対象は、それらの機器そのものではなく、その中で取り扱われる情報です。
先ほど述べた「重要度に応じた管理」という考え方を情報に適用するのが、要求事項「3-1-4:機密区分に応じた情報の管理」です。3-1-1～3-1-3が端末やネットワーク、外部サービスといった"情報を支える基盤"を管理対象とするのに対し、3-1-4では、その基盤で扱われる情報を重要度に応じて分類し、それぞれに適切な取扱いルールを定めることが求められます。
例えば、公開情報と顧客情報、設計情報では、求められる保護レベルは異なります。すべての情報を同じように管理するのではなく、機密区分を定め、その重要度に応じてアクセス権限や保存方法、持ち出しルールなどを管理することで、限られたリソースでも実効性のある情報管理が可能になります。
一方で、どれだけ適切に機密区分を定めていても、それを運用する仕組みが伴わなければ意味がありません。例えば、「退職者のPCは回収されていても、その利用者がアクセスしていたクラウドサービスの権限が残ったままになっている」といったケースは決して珍しくありません。
このようなアクセス権限やID管理については、大分類4-1で詳しく扱いますが、重要なのは、「情報」「資産」「人」を切り離して管理するのではなく、連動させて運用することです。
台帳は作って終わりではない―点検サイクルの設計
ここまで見てきた要求事項に共通するのが、「年1回以上の頻度で点検すること」という表現です。SCS評価制度は、台帳や図面といった成果物そのものよりも、それが最新の状態に保たれ続ける“仕組み”があるかどうかを重視しています。
加えて、★4の要求事項「3-2-1」では脆弱性の管理体制についても言及されており、把握した資産に対して脆弱性情報を継続的に収集・評価する体制を持つことが求められます。この段階になると、”資産管理ツール”が強みを発揮します。ツールを利用することで、資産ごとのOSやソフトウェアのバージョン、パッチ適用状況、サポート期限などを継続的に把握し、どの資産にどのようなリスクが存在するのかを効率的に管理が可能となります。
一方で、管理対象となる資産そのものが整理されていなければ、どれだけ優れたツールを導入しても、本来管理すべき資産が漏れてしまう可能性があります。つまり、重要な資産を定義することと、その資産を継続的に管理することは、それぞれ役割の異なる取り組みであり、両方が揃って初めて実効性のあるセキュリティ対策につながります。
台帳作成をゴールに据えてしまうと、多くの場合、作成した瞬間から情報は陳腐化していきます。重要なのは、「棚卸し→分類→定期点検」というサイクルそのものを、業務プロセスとして組み込むことです。
おわりに
私たちがセキュリティ対策をご支援する中で最も多く伺うのは、「資産管理ツールを導入しているのに、なぜここまで細かく問われるのか分からなかった」というお客様の声です。しかしヒアリングを重ねていくと、ツールが把握しているのはあくまで「接続されている端末」までであり、契約ベースのクラウドサービスや、退職者に紐づくアクセス権限までは可視化の範囲外だった、というケースがほとんどです。
『ツールを入れること』と『資産を把握できていること』は、似て非なるものです。SCS評価制度が資産の可視化を大分類の早い段階に据えているのは、この違いに気づき、埋めていくことこそが、その後に続くすべてのセキュリティ対策の実効性を決めるからこそと考えています。
弊社では、SCS評価制度への対応を単なる評価取得ではなく、企業ごとの事業やリスクの実態に即した情報セキュリティ基盤を構築する機会と考えています。
形式的な文書整備やツール導入だけで終わるのではなく、自社にとって本当に重要な資産を見極め、重要度に応じた管理体制を整備することが、実効性のあるセキュリティ対策につながります。
SCS評価制度への対応をきっかけに、自社にとって本当に意味のある情報セキュリティ基盤の構築につなげていただければ幸いです。
