SCS評価制度の支援と評価の責任を切り分け、実装に軸足を置く──日立ソリューションズに聞く

ガイドを待たず、認識済みの課題から潰す

　詳細な評価用ガイドが出るまで何をしておくべきか。斎藤氏がまず確認するのは、自社の現状と社内での制度の受け止め方だ。経営層から言葉として出ているのか、情報システム部門が必要性を感じているのか。そのうえで「待っていてはいけない」と伝える。

　「必ずしも現状分析から始めなければならないわけではありません。対応が必要な課題が明らかになっているのであれば、それをどのように施策化し、推進していくかをともに検討するケースが多いですね」（斎藤氏）

　厳密なギャップ分析ができていなくても、できていないこと自体は多くの企業が自覚している。今ランサムウェアにかかれば何日も業務が止まる、と語る担当者は珍しくない。それならサイバーBCPから課題を整理すればよく、その項目は評価基準にも含まれる。

　経営層向けに商材を入れずに説明してほしいと、情報システム部門や経営企画から頼まれることもある。関心が集まるのは、いくらかかるのか、止まったらどれだけの損失かだ。そこで斎藤氏は、サイバー攻撃以外の理由で基幹システムが3日間止まり「もう思い出したくもない3日間」と語られた事例を持ち出し、それがサイバー攻撃で起きたらどう思うかと問い返す。

　予算の使い方も変わった。来年度の予算に向けて今はフィット＆ギャップだけ見ておきたい、という相談も増えている。制度開始に間に合わせてすべてに丸を付けるのは、だんだん厳しくなってきた。「3月は現実的じゃないですね」「早くても9月から10月頃になる」と伝えることもあるという。

「これを入れれば大丈夫か」への答えはノー

　対策の全体像として斎藤氏が挙げるのは、プロセス、組織、ツールの3軸だ。インシデント対応の前段となるプロセスとガバナンスを整え、訓練通りに動ける組織を教育で作り、そのうえでエンドポイントなどのツールを使う。

　「組織の教育と人の意識があってツールを活用しなければ、インシデントのアラートが来ても、どのように対応すればよいか分からない」（斎藤氏）

　技術領域として挙がるのは認証、エンドポイント、ネットワークだ。従来から言われてきた領域だが依然として重要だという。ネットワークを丸ごと変える案件は重く、エンドポイントに配る対策の方が着手しやすい。ランサムウェアに特化した『Halcyon』を扱うのも重ね掛けの発想からだ。

　もっとも、ツールを入れれば終わるわけではない。

　「『ツールを入れれば大丈夫ですか』という問いをいただきますが、私はノーと答えています。どんなツールを入れても継続が絶対に必要です」（斎藤氏）

　今回の要求事項でも、教育やログの保存期間など継続的にサイクルを回す項目が目立つ。継続は社内の合意形成にも及ぶ。制度と自社の状況を1枚にまとめ、何回かに1回のペースで経営会議に差し込み続ける顧客企業もある。「そうしないと予算取りもポッと出になってしまう」からだ。

　AIセキュリティとの関係についても、斎藤氏の立ち位置ははっきりしている。

　「SCSのような従来型のセキュリティを固めないまま、その上にAIセキュリティ対策を載せても回りません。制度で土台を作ってから、AIの使用状況で変わるリスクを考えて乗せていかないと崩壊します」（斎藤氏）

　評価用ガイドの公表は2026年度下期、制度の開始は2026年度末。斎藤氏が最後に置いたのは「一緒に覚悟を決めてやっていきましょう」という言葉だった。残された時間で何を終わらせられるかは、ガイドを待つあいだに手元の課題をどれだけ潰すかで決まりそうだ。