SCS評価制度のガバナンス整備、最初の一歩は「情報セキュリティ基本方針」

以下記事はサマライズ版です。全編をご覧いただきたい方上記よりアクセスください。

SCS評価制度(サプライチェーン強化に向けたセキュリティ対策評価制度)対策記事の第一弾！
本日は、大分類1「ガバナンスの整備」において、最初に着手すべき、情報セキュリティ基本方針の策定について解説いたします。
★3に限っても要求事項が26項目、評価基準は80以上にのぼりますが、その出発点はこの1つの方針となります。

なぜ情報セキュリティ基本方針が重要なのか

理由はシンプルです。守るものが決まっていなければ、守ることはできないからです。セキュリティ100%はありませんので、重要な対策に予算をかけることが重要です。

実際に、SCS評価制度の評価項目には「適切なXXX」「重要なXXX」といった曖昧な表現が随所に出てきます。これは制度の不備ではなく、自社にとって何が「重要」で何が「適切」かを、各企業が自ら定義することを前提としているからです。

製造業なら工場システムかもしれませんし、以前ある大学が「最も守るべきは入試問題だ」と話していたのが印象的でした。何が止まると事業が立ち行かなくなるのか、事業視点で優先順位をつけることが最初の一歩になります。

★2の「基本方針」と★3の「対応方針」の違い

実は「情報セキュリティ基本方針」策定は★2の要求事項です。実はSCS評価制度の★3★4は、IPAのSecurity Actionがベースとなっています。

SCS評価制度★3には「自社のセキュリティ対応方針を定めること」という別の項目があります。基本方針で優先順位を定めていなければ、★3の対応方針で緊急度を判断する基準もつくれません。基本方針は、その先すべての土台になっています。

基本方針は誰が作るのか

守るべきシステムの優先順位づけは、外部のベンダーには決められません。それが本当に会社にとって重要かどうかは、経営層と現場が一体となって初めて把握できるものだからです。

まとめ

• SCS評価制度のガバナンス整備は、情報セキュリティ基本方針の策定から始まる

• 基本方針の役割は「守るべきものの優先順位」を決めること

• 基本方針(★2)があって初めて、対応方針(★3)の緊急度判断ができる

• 優先順位づけは外部任せにできず、経営層と現場が合意形成すべきプロセス

▼FXTの提供するSCS評価制度支援サービス