近年、サプライチェーン全体を狙うサイバー攻撃が増えており、取引先を含めたセキュリティ対策の強化が重要な課題となっています。こうした背景のもと、経済産業省と内閣官房国家サイバー統括室では、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の検討が進められています。
本制度は、「取引先のセキュリティ対策状況は外部から判断しづらい」「複数の取引先から異なるセキュリティ要求を受ける」といった課題に対し、サプライチェーンにおける重要性を踏まえた対策水準を示し、その実施状況を把握しやすくする仕組みです。2社間の取引契約等においては、発注元企業が委託先企業に対して適切なセキュリティ対策水準を提示し、必要な対策の実施を促しながら、対応状況を確認することが想定されています。これにより、サプライチェーン全体のセキュリティ対策水準の向上を図ります。
本制度では、セキュリティ対策水準として★3、★4、★5の3段階が設けられています。
★3は専門家確認付き自己評価、★4と★5は第三者評価が想定されています。
こうした共通のものさしができることで、企業側は「何を、どの水準まで整えればよいか」を判断しやすくなり、対策の進め方が整理されるというメリットがあります。制度開始は先行して、★3・★4については令和8年度末頃が予定されています。
こうした制度対応を進めるうえで、あわせて見直したいのがリモートアクセス環境です。社外から社内システムへ接続する仕組みは、業務の柔軟性を高める一方で、設定や運用に不備があると攻撃者に狙われる入口になり得ます。
特に、制度として求められる要件の中には、認証の強度や実装方法に関する項目があります。たとえば、IDやパスワードの管理、認証情報の扱い、アクセス制御の考え方などは、リモートアクセスの安全性に直結します。
そのため、単に「接続できる」だけでなく、制度で求められるルールに準拠した形で運用できるかが重要です。
リモートアクセス環境を見直す際には、次のような点に注意が必要です。
こうした項目は、セキュリティ対策評価制度の取得項目にも関わる対策であり、リモートアクセスの安全性を確保することは、制度対応を進めるうえでも重要になります。
近年のランサムウェア被害では、VPN機器の脆弱性や設定不備を起点に侵入されるケースが問題となっています。いったん社内に入られると、データの暗号化だけでなく、業務停止や取引先への影響にもつながるおそれがあります。
そのため、制度対応では、管理体制や社内ルールだけでなく、実際の接続手段そのものの安全性を確認することが欠かせません。特に、上記のようなリモートアクセス環境の見直しは、★3・★4の取得に向けた具体的な対応項目の一つとして意識しておく必要があります。
ここで注目したいのが、VPNに依存しない接続方式です。
マジックコネクトは、VPN装置を必要としない画面転送型リモートアクセスサービスであり、社内ネットワークを広く開放することなく、必要な端末・利用者だけをセキュアにつなぐことができます。VPN機器を通す構成は、ネットワークを広く社内につなぐ設計になりやすく、脆弱性対応や設定管理の負担が大きくなることがあります。
本サービスは、セキュリティ対策評価制度における認証・アクセス制御関連の「攻撃等の防御」項目に対応しています。制度全体を網羅するものではありませんが、重要な入口対策の一部として位置付けやすい製品です。また、VPNのようにネットワークを複雑に構成せずに使いやすく、国産製品・国内サーバという点でも運用面の安心感があります。
さらに、制度で求められる要件に対して、マジックコネクトは対応しやすい特長を備えています。たとえば、認証の強度やID・パスワードの管理といった観点で、制度が求めるルールに準拠した運用をしやすく、評価基準を満たす選択肢として検討しやすい点が特長です。つまり、マジックコネクトを使うことで、制度の要件に沿った形でリモートアクセス環境を整えやすくなります。
先ほどのリモートアクセスで気を付けるポイントに照らして見ても、マジックコネクトは次のような点で有効です。
→ 専用機器なしの”セキュアなリモートアクセス環境”であるマジックコネクトは、VPN機器の脆弱性対策や管理負担の課題解決のひとつになります。
→ 接続時にはユーザ名・パスワードに加え、「ハードウェア固有情報」や「電子証明書」を組合せた多要素認証を用いるため、単なるID・パスワード認証よりも強固な接続管理につながります。
→ 利用端末を限定しやすく、誰が・どの端末から接続できるかを把握しやすいため、利用者・端末管理の運用を整理しやすくなります。
→ 接続できる端末や利用者を限定しやすく、運用上もアクセス範囲を把握・管理しやすい点が特長です。
→ 複雑なネットワーク構成変更を伴いにくいため、導入後の設定維持や運用負荷を抑えやすく、継続的な管理がしやすい仕組みです。
このように、マジックコネクトは制度で求められる要件に対して、ルールに準拠した形で導入しやすい点が特長です。制度の評価基準を満たすことを見据えた際にも、サプライチェーン企業にとってマジックコネクトは共通基盤となります。
また、制度で求められる要件の中でも、認証やアクセス制御に関わる部分に対応しやすく、企業ごとの標準レベルを底上げしやすい仕組みとして活用できます。つまり、マジックコネクトは、単に個別企業の課題を解決するだけでなく、多くの企業に共通するリモートアクセスの標準化・底上げにもつながる選択肢といえます。
制度対応は、単にチェック項目を埋めることが目的ではありません。自社の業務に合った方法で、求められる水準を満たしていくことに意味があります。その意味でも、マジックコネクトは「制度で求めている要件に対応しながら、日常業務でも使いやすい」選択肢として有効です。
守るべき情報を、守れる仕組みで扱うために。今こそ、VPNに依存しないリモートアクセス環境への見直しを進めてみてはいかがでしょうか。
＼ お気軽に
お問い合わせください ／
