取引先から「セキュリティ対策、できてますか？」と聞かれる前に読む本を書きました

こんばんは、かーでぃです。
技術書典20が始まってから書き始めた、SCS評価制度に関する書籍が完成しましたので、本日BOOTHに公開しました👏

notebookLMにインフォグラフィックを描いてもらいました🙌

読んでほしい人

この本は、セキュリティ専門家向けの本ではありません。

取引先からセキュリティチェックシートが届いたとき、
「たぶん大丈夫です」「全て完璧です（適当）」ではなく、「うちはここまで出来ていますが、ここは今後検討します」と説明できるようになりたい人に向けて書きました。
それはセキュリティ担当として最も信頼される行為だからです。
また、ひとり情シス、総務兼任のIT担当者、DX推進担当、そして経営層の方にも読んでほしい内容です。

SCS評価制度をきっかけに、まずは自社の現在地を知る。
その最初の一歩として手に取ってもらえたらうれしいです。

そもそもSCS評価制度とは…

攻撃者はセキュリティリテラシーの低い企業に侵入し、そこを踏み台として大企業へ侵入します。

つまり、これからは「うちは小さいから狙われない」のではなく、「小さいからこそ狙われる時代」になってしまったのです。
そして、大企業もご多分に漏れず狙われ続けます( ；∀；)

こんなことありませんか？

取引先からの「セキュリティ確認シート」の提出依頼

ある日、取引先から突然、セキュリティチェックシートが届いたりしませんか？

「ウイルス対策はしていますか？」
「バックアップは取っていますか？」
「管理者権限は管理されていますか？」

ひとつひとつは大事だとわかるし、なんとなくやってると思う。
でも会社として答えようとすると、

「たぶん、やっている」
「担当者に聞かないとわからない」
「昔決めたルールはあるはず」

そんな状態になってしまうことがあります。

そんな確認が複数の取引先からきて、しかもそれぞれ項目が違ったりします。都度都度調べて回答して…の繰り返しは、実利を生まない無駄な作業です。

基準を明確にしてくれるのがSCS評価制度

経産省やIPAが主導してるとなると、なんか面倒な業務が増えそう、と考えてしまう方、多いような気がします。

でも、実は「チャンス」なんです。

さっきも書いたように、セキュリティチェックはこれまでもありました。各社ばらばらの様式で。

でも、これからはSCS評価制度が基準になるので、うちは「★３」です。
と言えば終わりです。
もちろん、★３を取るためにはクリアすべき条件がいくつもあります。でもそれは無謀な挑戦状ではありません。

一般論として必要な項目ばかりです。
だからこそ、これをチャンスととらえ、まずは自社の状態を知るところから、セキュリティを見直しませんか？

セキュリティはインフラである

セキュリティはインフラです。
インフラであるが故、弱いとその上で動く仕組みに負担が掛かります。

以下は水道の例です。
水道管が細く、水がちょろちょろしか出なければ、コップに水をためるのに無駄に時間が掛かりますし、待ってるだけでもイライラします。そして、無駄な時間はコストになります。
水道管が太ければ、あっというまに水が溜まるので待つ必要がありません。次の行動にスムーズに移ることができます。

セキュリティも同じです。脆弱なセキュリティの上では、その上で動くシステムに余計なオプションを付けたり、運用がひと手間かけたりで無駄なコストが発生し、それは結局企業に返ってきます。
インフラですので、しっかりとした自社にあったセキュリティ基盤を構築することが重要なのです。

SCS評価制度が道しるべになる

そして、そのセキュリティ基盤を構築する指標となるのがSCS評価制度です。かといってむやみにセキュリティ対策の仕組みを導入する必要はありません。

まずは自社の立ち位置を知ることが大切です。これまで取り組んできたセキュリティ対策の結果、今、自分たちのセキュリティ上の強みはなにか？そして弱点はどこなのか？

本書では、5日でできる最初の一歩を挙げています。また、それぞれのチェックシートも準備しました。
まずは5日間かけて、自社の状態を見える化しましょう。

セキュリティ対策はその次

それらを知った上で、優先度をつけて対策をすればよいのです。
そして、対策の先に得られる評価が★３や★４と言った評価になります。

それは、自社だけではなく、取引先も守ることに繋がります。
そしてその信頼が、未来の仕事に繋がっていくのです。

SCS評価制度、聞いたことあるけど、どう取り組んでいいのかわからな方、是非一度手に取ってみてください。