コンサル抜きでも可能

簡単に導入できるリスク評価フレームワーク

自社の情報資産を保護するためには、何らかのリスク評価を実施するべきだ。中堅企業向けの簡易版リスク評価プロセスを紹介する。

公開 2008年10月07日 08時00分

更新 2012年09月04日 18時38分

著者

Joel Dubin

[TechTarget]

印刷する Googleで優先するソースとして追加

　リスク評価それ自体はもちろんのこと、リスク評価フレームワークのコンセプトでさえも中堅企業にとっては不要だと思っているかもしれない。しかしリスクを評価するというコンセプトは、あらゆる規模の企業にとってITセキュリティの核となるものだ。自社の情報資産を保護することに関心を抱いている中堅企業（言い換えればあらゆる中堅企業）は、何らかのリスク評価を実施する必要がある。たとえそれが、少人数のスタッフ向けに作成された簡易型フレームワークだとしてもだ。

　うれしいことに、リスク評価フレームワークは無料だ。Webから容易にダウンロードし、自由に印刷して検討できる。これらは難解な文書で、コンサルタントの助けを借りなければリスク評価フレームワークを導入できないと思うかもしれないが、実際には必ずしもそうではない。どれほど複雑なフレームワークであっても、中堅企業が導入できる形に簡素化するためのベストプラクティスが存在するからだ。

　リスク評価の目標は、ITインフラの各要素におけるITセキュリティリスクに優先順位を付けることだ。リスクの優先順位がなければ、企業は最大のリスクに対するコントロールに必要な予算を効果的に割り振ることができない。その結果、過大なコントロールや不必要なコントロールに費用を掛け過ぎたり、それとは逆に、悪質な攻撃にさらされているシステムを放置するといったことになってしまうのだ。予算に制約がある中堅企業にとって最大の問題はコストだ。経営幹部にとって高価に思えたり、難解に感じられたりするセキュリティシステムの場合は、なおさらそうだ。

　また、リスクの優先順位付けを行うことにより、不正利用や攻撃のリスクが低いシステムはどれかを特定して過度のセキュリティ対策を避ける一方で、高いリスクにさらされ、強力な防御を必要とするシステムを特定できる。リスク評価フレームワークは何種類か存在するが、業界ベンチマークはNIST（米国立標準技術研究所）から提供されている。

　NISTが発行している「Special Publication 800-100, Information Security Handbook: A Guide for Managers」には、リスク評価プロセスにおける4つのステップが示されている。SP800-100を基本とした中堅企業向けの簡易版リスク評価プロセスを以下に記す。

自分自身を知る

　最初のステップはすべてのIT資産のインベントリーを作成し、分類することだ。2番目のステップは脅威を特定すること、3番目のステップは脅威に対応する脆弱性を特定することだ。最後のステップは実際のリスク分析であり、

IT資産に対するセキュリティコントロールの評価
攻撃の可能性とその影響度の判定
リスクレベルの決定

という作業が含まれる。評価の完了後、推奨されるコントロールを示した報告書を作成する必要がある。リスク評価は、定期的な見直しと実施が必要とされる繰り返しプロセスだと考えるべきだ。

　IT資産のインベントリーは、リスク評価の範囲を規定するものとなる。企業がセキュリティコントロールを実施する前に、自社がどんな資産を保有しており、どのようなコントロールを既に実施しているのかを把握する必要がある。インベントリーには、すべてのハードウェア、ソフトウェア、データ、プロセス、外部システムとのインタフェースのリストが含まれていなければならない。

　次のステップは脅威を特定することだ。これには、自然災害や停電といった物理的脅威も含まれるが、もちろんシステムへの不正アクセスやマルウェアによる攻撃といったITセキュリティに対する脅威も含めなくてはならない。創造性を発揮する必要もある。自分の経験、そしてカーネギーメロン大学のUS Computer Emergency Response Team（US-CERT）などから発行されているセキュリティ情報に基づき、自社のシステムに対して最も可能性の高い脅威は何かを考えることが大切だ。

　脅威は単独で存在するわけではない。システムに脆弱性があるからこそ、脅威になる。この脆弱性を特定することが3つ目のステップだ。この場合も、NISTが貴重なリソースとなる。NISTのNational Vulnerability Database（NVD）には、現在の脅威のリストと以前の脅威のアーカイブが収められている。NVDのほかにも、ハードウェア／ソフトウェアベンダーのWebサイトにある脆弱性のリストもチェックすること。ハッキングの掲示板などのソースも、脆弱性を把握する上で大いに参考になる。

　システムのセキュリティテストやスキャニング（脆弱性テストや侵入テストなど）も、脆弱性を把握するのに役立つ。

　これらのデータを収集したら、最後のステップは実際のリスク分析だ。この作業には3つの段階がある。

既存のセキュリティコントロールの評価
これらのコントロールに基づいた、攻撃の可能性と影響度の判定
リスクレベルの決定

だ。攻撃の可能性と影響度は、それぞれ高、中、低の3段階に分類できる。各リスクレベルに点数（例えば0～10）を割り当てた上で、攻撃の影響度を横軸、可能性を縦軸とする3×3のマトリクスに記入する。

　この組み合わせによって得られるリスクスコアを最終報告書に記載する。この報告書では、リスクレベルを低くする、すなわち自社が許容できる程度にまで下げるには、どのようなセキュリティコントロールを実施すべきかについて説明する。セキュリティ対策のコストの理由を説明するのにも、この報告書が役立つ。例えば、「高いリスクレベルは、潜在的な攻撃が差し迫っており、セキュリティコントロールを直ちに実施する必要性を意味する」といった説明を付ければよい。

　本稿で示した簡易版リスク評価プロセスはNISTのガイドラインをベースとしたものだが、そのほかのフレームワークも、IT資産、脅威、脆弱性を特定した上で、収集したデータに基づいてリスクレベルを決定するという基本的なプロセスはほぼ同じだ。こういったフレームワークとしては、CERTのOCTAVE（Operationally Critical Threat, Asset, and Vulnerability Evaluation）やInformation Systems Audit and Control AssociationのCOBIT（Control Objectives for Information and related Technology）などがある。

　どのようなフレームワークを選んでも、リスク評価は中堅企業にとって巨大なプロジェクトのように感じられるかもしれない。リスク評価にスタッフや時間を注ぎ込む余裕がないという企業もあるだろう。しかし小規模な企業では、リスク評価の実施にスタッフがかかりきりになる必要はない。1人のITスタッフが定期的に（例えば年に一度）、あるいは大幅なシステム変更（企業買収やITシステムの刷新など）の際に実施するだけで対応できることもある。

　リスク評価の実施に必要な時間を短縮するもう1つの方法は、範囲を限定することだ。例えば、多くの中堅企業は社内でアプリケーションを開発しているわけではない。つまり、評価対象が1つ少なくて済むということだ。大抵の中堅企業にとっての関心事、すなわち、アクセス管理、ネットワークセキュリティ、物理的セキュリティ、Webサイトのセキュリティをリスク評価の基本項目とすればいいのだ。

　リスクの評価は、どのような情報セキュリティプログラムにも不可欠だ。本稿で紹介したステップが、中堅企業でのリスク評価プロセスの簡素化に役立つものと期待している。

本稿筆者のジョエル・デュビン氏はCISSP（公認情報システムセキュリティ専門家）資格を持つ独立系コンピュータセキュリティコンサルタント。 Microsoft MVPに選ばれ、Web／アプリケーションセキュリティを専門とする。著書に「The Little Black Book of Computer Security」（29th Street Press）があり、シカゴのラジオ局WIITでコンピュータセキュリティの番組を担当。「IT Security Guy」ブログも運営している。

印刷する

この記事の著者

Joel Dubin

簡単に導入できるリスク評価フレームワーク

自分自身を知る

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

簡単に導入できるリスク評価フレームワーク

自分自身を知る

この記事の著者

関連記事

エンタープライズリスク管理（ERM）のススメ

エンタープライズリスク管理をためらう企業に警鐘

金融機関に求められるリスク管理の見直し

IDSシェアー、企業パフォーマンスとリスクの把握を支援するBPMツールの最新版

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓