第3回 なぜ★4でEDIが注目されやすくなるのか ―取引データと取引継続を守る“セキュリティ上の要”としてのEDI

前回は、SCS評価制度★3をEDI視点で読み解き、「最低限、何をそろえておくべきか」を整理しました。
★3は、現状把握と土台づくりのフェーズでした。
一方、今回扱う★4は、その一段上にあたります。★4は、「サプライチェーン企業が“標準的に目指すべき対策”を、第三者の評価によって確認する段階」として整理されています。
ここで重要なのは、★4では「対策がある」だけでなく、「必要な対策がそろい、運用として回っているか」が問われやすくなる点です。

そのため★4を見据えて全体の仕組みや運用を整理していく中で、「社外とつながる接点」や「影響が広がりやすい箇所」が、説明上の重要ポイントとして浮かび上がってきます。
その中でもEDIは取引データと取引継続を守るうえでセキュリティ上の“要になりやすい領域”であるため、★4の文脈で注目されやすくなります。

※本稿の制度内容の整理は、経済産業省が公表している「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）」および関連資料を参考に、EDI実務の観点から再構成しています。

SCS評価制度「★4」とは何か

★3が「基礎的な防御と体制整備」を中心に、専門家確認付きの自己評価として整理されているのに対し、
★4は

・組織ガバナンス
・取引先管理
・防御・検知
・インシデント対応・復旧

といった観点まで含めた、包括的な対策が求められます。
加えて、第三者評価が想定されている点が大きな違いです。
文書確認だけでなく、

・ヒアリング
・画面・設定の確認
・必要に応じた実地審査や技術検証

といった形で、「実態としてどう運用されているか」を確認されやすい段階になります。

★4の文脈で、EDIが注目されやすい3つの理由

EDIは、受発注・出荷・請求といった取引データが社外と行き来する入口です。
この入口で問題が起きれば、影響は自社内にとどまらず、取引先、さらにその先へと連鎖します。
そのため、サプライチェーン全体のリスクを考える文脈では、EDIが「つながりの要所」として意識されやすいと考えられます。


EDIは取引の中核業務に直結するため、停止や遅延が発生すると業務影響が大きくなりやすい領域です。
止まった瞬間に、

・受発注が滞る
・出荷が詰まる
・請求が遅れる

つまりEDIは、セキュリティの話であると同時に、事業継続の話です。
★4は、供給停止や大規模な影響につながる攻撃への対処を想定した水準として整理されています。
この「影響の大きさ」という観点で、EDIは評価対象として浮上しやすくなります。

現場のEDIは、取引先ごとの要望に合わせて方式・手順が増え、個別最適の集合体になりがちです。
この状態では、

・取引先管理
・資産管理
・ログ・証跡
・インシデント対応

といった項目が、取引先や方式によってバラつきやすくなります。
★4のように第三者が「実態」を確認する段階になるほど、このバラつきは弱点として表に出やすくなります。 こうした背景から、EDIは★4の段階で運用の実態が問われやすい領域だと言えます。

★4の観点で、EDIに何が求められるのか

★4の段階で重要なのは、「現場で、対策がそろっており、実際に回っているか」という点です。
★3が、現状を棚卸しし「最低限説明できる状態」を整える段階だとすれば、
★4は、その状態を“第三者が確認しても耐えられるレベル”まで引き上げる段階だと言えます。

★4（第三者評価）で確認されやすい6つのチェックポイント

★4では「対策があるかどうか」だけでなく、「運用として回っているか」「必要なときに根拠を提示できるか」が確認されやすくなります。
第2回で整理した6つのチェックポイント（①～⑥）で見ると、★4では次のような“見られ方”になりやすい、という整理ができます。

・更新の方針（頻度・対象範囲・例外の扱い）が説明できる
・直近の適用実績（記録）を提示できる
・適用できない場合に「いつまでに」「どう代替するか」の判断が残っている

・暗号化の方針と適用範囲が説明できる
・設定の根拠（設定値の一覧・画面など）を提示できる
・証明書など期限のある要素の更新手順が運用に落ちている

・権限の区分（管理・運用・参照）が整理されている
・付与／変更／削除の手順があり、実施記録が残っている
・権限棚卸し（定期／随時）の結果を示せる

・送受信・処理結果・操作・設定変更など、必要なログが揃っている
・保管期間・保管場所・参照権限が整理されている
・典型的な調査（未着・重複・遅延など）の一次切り分け手順がある

・バックアップ・復旧の方針が説明できる
・復旧手順があり、連絡・判断の流れが整理されている
・代替手段（手作業・連絡テンプレ等）の考え方が用意されている

・外部サービス利用がある場合、責任の分担（どこまで自社か）が説明できる
・提供者側の対策状況を何で確認するか（根拠資料）が提示できる
・問い合わせ・障害時の連絡経路（窓口）が明確になっている

この6点は、★3の段階では「整える」ことが中心でしたが、★4では「運用として回っていることを示す」ことがより重要になります。

★4で問われるのは、新しい対策ではなく「説明できるか」

★4と聞くと、「一気にハードルが上がる」「大変そう」という印象を持たれがちです。
しかし実際には、★3の段階で現状整理と統制の土台ができていれば、★4はその延長線上にあります。
★4で問われるのは、新しい対策そのものではなく、これまで整えてきた運用や構成を、第三者に説明できるかどうかです。
そのため、属人化した運用や説明できない状態が残っている場合には厳しく感じられ、逆に、整理が進んでいる企業では負担が相対的に小さくなることもあります。

関連するソリューション・製品

EDI-Master Cloud

通信・変換・ジョブフロー・運用管理機能と各種APIを備え、サーバ不要でEDI機能をクラウド上でご利用いただけるのに加えて、EDI業務運用サービスも提供します。

詳細へ

セキュリティ対策診断サービス　セキュリティ対策評価制度対応版

専任のエンジニアがお客さまのセキュリティ対策状況を詳細にヒアリングし、潜在的なリスクを可視化するソリューションです。セキュリティ対策評価制度の認定レベル（★3／★4）を基準に顧客のセキュリティ対策状況を診断し、現状を可視化したうえで、課題に応じた対策の強化や追加の対策を提案します。

詳細へ

※この記事はキヤノンITソリューションズ株式会社による記事の転載です。

[PR]提供：キヤノンITソリューションズ