【SCS評価制度】★取得の第一歩は「基本方針」の策定から
- 7月10日
- 読了時間: 5分
更新日：5 日前
SCS評価制度の大分類1「ガバナンスの整備」
SCS評価制度★の第一歩は「基本方針」の策定から
SCS評価制度の大分類1「ガバナンスの整備」において最も重要なのは、セキュリティ対応方針の策定です。この項目さえ定められれば、大分類1のほかの項目もおのずと決定できます。
情報セキュリティ基本方針とは
情報セキュリティ基本方針とは、組織が情報セキュリティにどう向き合うかを示す「経営としての意思表示」です。SCS評価制度の★3では26要求事項・81基準、★4では43要求事項・153基準という広範な評価項目が設定されていますが、そのすべての出発点にあるのがこの基本方針と言えます。
具体的には、以下のような内容を組織として明文化することが求められます。
なぜ情報セキュリティに取り組むのか(事業上の位置づけ)
経営層がどのようにコミットするのか
組織全体としてどのような水準を目指すのか
誰が責任を持ち、どう継続的に見直すのか
最も重要な理由:「守るべきもの」の優先順位
情報セキュリティ基本方針がなぜこれほど重要なのか。その最大の理由は、社内資産の守るべき「優先順位」を決めることにあります。
セキュリティ対策の大原則として、守るものがわからなければ、守ることはできません。そして、すべてを均等に、最大限のレベルで守ろうとすることは、どれだけ予算があっても現実的ではありませんし、それだけの対策を講じたとしても100%防御できる保証があるわけでもありません。
実際にSCS評価制度の評価項目を見ると、「適切なXXX」「重要なXXX」といった表現が随所に登場します。これは制度の不備ではなく、意図的な曖昧さです。SCS評価制度、ひいてはセキュリティ対策そのものは、すべての項目を画一的・網羅的に満たすことを求めているのではなく、自社にとって何が「重要」で何が「適切」なのかを自ら定義した上で、そこに集中してセキュリティ対策を講じることを求めていると言えます。
例えば、製造業であれば工場のシステムかもしれません。以前、ある大学が「最も守らなければいけないものは入試問題だ」と話しているのを聞き、なるほどと感心したことがあります。このように、それが止まってしまえば、あるいはその情報が盗まれてしまえば組織が立ち行かなくなるものは何か、事業視点で優先順位をつけることが最初の一歩です。
「情報セキュリティ基本方針」と「セキュリティ対応方針」の関係性
ここまで読んで、勘のいい方は気づかれたかもしれません。実はSCS評価制度★3の要求事項には「1-3-1-1. 自社のセキュリティ対応方針を定めること」とあり、ここまで述べてきた「基本方針」とは別物です。
実はこの「情報セキュリティ基本方針」は★2の項目であり、それが策定されている前提で、★3の「セキュリティ対応方針」を定めることに繋がるのです。
つまり、基本方針で「何を守るべきか」の優先順位を定めていなければ、★3で「どう対応するか」という対応方針を作ろうとしても、何を基準に緊急度を判断すればよいのかが定まりません。基本方針は、SCS評価制度における「宣言」の第一歩であると同時に、評価項目全体の曖昧な表現を自社の文脈で解釈可能にする「翻訳装置」としての役割を担い、その先にある対応方針・個別の管理策すべての土台になっているのです。
今後どこかで触れたいと思いますが、SCS評価制度での「★3」「★4」がフィーチャーされがちですが、大前提として独立行政法人情報処理推進機構(通称IPA)が以前から提唱してきた★1・★2の自己宣言制度(SECURITY ACTION)の延長線上に、今回の指針があることをぜひご理解いただけるとよいかと思います。
「情報セキュリティ基本方針」作りで大切なこと
では、実際にどう作ればよいのでしょうか。最も重要な最初のステップは、守るべきシステムの優先順位を定めることです。
具体的には、次のような観点で自社の業務を棚卸しします。
このシステムが止まったら、会社の存続に関わるか
このシステムが止まったら、業務が回らなくなるか
このシステムが止まっても、一時的な代替手段で業務を継続できるか
重要なのは、この優先順位付けは外部のベンダーには決められないということです。どのシステムが自社にとって本当に守るべきものかは、経営層と、業務の実態を把握しているIT担当者・現場が一体となって初めて把握できるものです。外部の専門家は方法論や技術的な支援はできても、「何が重要か」という判断そのものを代わりに下すことはできません。
したがって基本方針の策定プロセスは、外部に丸投げする文書作成作業ではなく、経営層と現場が自社の事業を見つめ直し、守るべき優先順位について合意形成していくプロセスそのものだと言えます。
おわりに
SCS評価制度への対応は、しばしば「評価基準をどう満たすか」という視点で語られがちです。しかし大分類1のガバナンス整備、特に情報セキュリティ基本方針の策定は、本来「なぜセキュリティに取り組むのか」という経営としての意思決定そのものです。
弊社では企業ごとの事業実態に即した、実効性のあるガバナンス構築をご支援することを大切にしています。SCS評価制度への対応をきっかけに、形式的な文書整備ではなく、自社にとって本当に意味のある情報セキュリティ基盤を築いていただければと思います。
