自分自身を知る

　最初のステップはすべてのIT資産のインベントリーを作成し、分類することだ。2番目のステップは脅威を特定すること、3番目のステップは脅威に対応する脆弱性を特定することだ。最後のステップは実際のリスク分析であり、

• IT資産に対するセキュリティコントロールの評価
• 攻撃の可能性とその影響度の判定
• リスクレベルの決定

という作業が含まれる。評価の完了後、推奨されるコントロールを示した報告書を作成する必要がある。リスク評価は、定期的な見直しと実施が必要とされる繰り返しプロセスだと考えるべきだ。

　IT資産のインベントリーは、リスク評価の範囲を規定するものとなる。企業がセキュリティコントロールを実施する前に、自社がどんな資産を保有しており、どのようなコントロールを既に実施しているのかを把握する必要がある。インベントリーには、すべてのハードウェア、ソフトウェア、データ、プロセス、外部システムとのインタフェースのリストが含まれていなければならない。

　次のステップは脅威を特定することだ。これには、自然災害や停電といった物理的脅威も含まれるが、もちろんシステムへの不正アクセスやマルウェアによる攻撃といったITセキュリティに対する脅威も含めなくてはならない。創造性を発揮する必要もある。自分の経験、そしてカーネギーメロン大学のUS Computer Emergency Response Team（US-CERT）などから発行されているセキュリティ情報に基づき、自社のシステムに対して最も可能性の高い脅威は何かを考えることが大切だ。

　脅威は単独で存在するわけではない。システムに脆弱性があるからこそ、脅威になる。この脆弱性を特定することが3つ目のステップだ。この場合も、NISTが貴重なリソースとなる。NISTのNational Vulnerability Database（NVD）には、現在の脅威のリストと以前の脅威のアーカイブが収められている。NVDのほかにも、ハードウェア／ソフトウェアベンダーのWebサイトにある脆弱性のリストもチェックすること。ハッキングの掲示板などのソースも、脆弱性を把握する上で大いに参考になる。

　システムのセキュリティテストやスキャニング（脆弱性テストや侵入テストなど）も、脆弱性を把握するのに役立つ。

　これらのデータを収集したら、最後のステップは実際のリスク分析だ。この作業には3つの段階がある。

• 既存のセキュリティコントロールの評価
• これらのコントロールに基づいた、攻撃の可能性と影響度の判定
• リスクレベルの決定

だ。攻撃の可能性と影響度は、それぞれ高、中、低の3段階に分類できる。各リスクレベルに点数（例えば0～10）を割り当てた上で、攻撃の影響度を横軸、可能性を縦軸とする3×3のマトリクスに記入する。

　この組み合わせによって得られるリスクスコアを最終報告書に記載する。この報告書では、リスクレベルを低くする、すなわち自社が許容できる程度にまで下げるには、どのようなセキュリティコントロールを実施すべきかについて説明する。セキュリティ対策のコストの理由を説明するのにも、この報告書が役立つ。例えば、「高いリスクレベルは、潜在的な攻撃が差し迫っており、セキュリティコントロールを直ちに実施する必要性を意味する」といった説明を付ければよい。

　本稿で示した簡易版リスク評価プロセスはNISTのガイドラインをベースとしたものだが、そのほかのフレームワークも、IT資産、脅威、脆弱性を特定した上で、収集したデータに基づいてリスクレベルを決定するという基本的なプロセスはほぼ同じだ。こういったフレームワークとしては、CERTのOCTAVE（Operationally Critical Threat, Asset, and Vulnerability Evaluation）やInformation Systems Audit and Control AssociationのCOBIT（Control Objectives for Information and related Technology）などがある。

　どのようなフレームワークを選んでも、リスク評価は中堅企業にとって巨大なプロジェクトのように感じられるかもしれない。リスク評価にスタッフや時間を注ぎ込む余裕がないという企業もあるだろう。しかし小規模な企業では、リスク評価の実施にスタッフがかかりきりになる必要はない。1人のITスタッフが定期的に（例えば年に一度）、あるいは大幅なシステム変更（企業買収やITシステムの刷新など）の際に実施するだけで対応できることもある。

　リスク評価の実施に必要な時間を短縮するもう1つの方法は、範囲を限定することだ。例えば、多くの中堅企業は社内でアプリケーションを開発しているわけではない。つまり、評価対象が1つ少なくて済むということだ。大抵の中堅企業にとっての関心事、すなわち、アクセス管理、ネットワークセキュリティ、物理的セキュリティ、Webサイトのセキュリティをリスク評価の基本項目とすればいいのだ。

　リスクの評価は、どのような情報セキュリティプログラムにも不可欠だ。本稿で紹介したステップが、中堅企業でのリスク評価プロセスの簡素化に役立つものと期待している。

本稿筆者のジョエル・デュビン氏はCISSP（公認情報システムセキュリティ専門家）資格を持つ独立系コンピュータセキュリティコンサルタント。 Microsoft MVPに選ばれ、Web／アプリケーションセキュリティを専門とする。著書に「The Little Black Book of Computer Security」（29th Street Press）があり、シカゴのラジオ局WIITでコンピュータセキュリティの番組を担当。「IT Security Guy」ブログも運営している。