リスク (コンピュータセキュリティ)

ITリスク： ある脅威が、ある資産または資産グループの脆弱性を利用し、それによって組織に損害を与える可能性。これは、事象の発生確率とその結果の組み合わせによって測定される。^[5]

多くのNIST（米国国立標準技術研究所）の出版物が、ITの文脈におけるリスクを様々に定義している。FISMA（連邦情報セキュリティマネジメント法）専門のFISMApedia の用語集^[6] にはリストがある。その中には以下のものが含まれる：

• NIST SP 800-30による定義：^[7]

  リスクは、ある脅威源が特定の潜在的脆弱性を利用する可能性と、その不利な事象が組織に及ぼす結果的な影響の関数である。

• NIST FIPS 200^[8] より：

  リスク – 脅威の潜在的な影響と、その脅威が発生する可能性を考慮した上で、情報システムの運用から生じる、組織の運営（ミッション、機能、イメージ、評判を含む）、組織の資産、または個人への影響のレベル。

• NIST SP 800-30^[7] は、以下のように定義している：

以下の点を考慮した正味のミッションへの影響：

1. 特定の脅威源が、特定の情報システムの脆弱性を（偶発的に引き起こす、または意図的に悪用する）確率、および
2. これが起こった場合の結果として生じる影響。IT関連リスクは、以下に起因する法的責任またはミッションの損失から発生する：
   1. （悪意または偶発による）情報の不正な開示、変更、または破壊
   2. 意図しないエラーや脱漏
   3. 自然災害または人為的災害によるITの停止
   4. ITシステムの実装および運用における相当な注意と努力の欠如。

ISACAは、ITの利用に関連するすべてのリスクに関するエンドツーエンドの包括的な見解を提供するために、Risk ITフレームワークを発行した。そこでは、^[9] ITリスクは次のように定義されている：

企業内におけるITの使用、所有、運用、関与、影響、および導入に関連するビジネスリスク

Risk ITによれば 、ITリスクはより広い意味を持つ^[9]。それは、組織の価値の破壊または減少をもたらし得る運用およびサービス提供の否定的な影響だけでなく、技術を利用してビジネスを可能にしたり強化したりする機会を逃すことに関連する便益・価値実現リスク、あるいは過剰支出や納期の遅れといったビジネスに悪影響を与える側面に関するITプロジェクト管理リスクも包含する。

Summarize Fact Check

測定できないものを効果的かつ一貫して管理することはできず、定義していないものを測定することはできない。^[10][11]

ITリスク（またはサイバーリスク）の測定は、多くのレベルで行われ得る。ビジネスレベルでは、リスクはカテゴリー別に管理される。最前線のIT部門やNOCは、より個別具体的なリスクを測定する傾向がある。これら（訳注：異なるレベルのリスク）の間の関連性を管理することは、現代のCISOにとって重要な役割である。

リスクマネジメントには4つの基本的な力が関わっており、これはサイバーセキュリティにも当てはまる。それらは、資産、影響、脅威、可能性である。価値を持つ有形および無形のものである資産については、内部的な知識があり、かなりの程度コントロールできる。資産の喪失または損害を指す影響についても、ある程度コントロールできる。しかし、敵対者とその攻撃方法を表す脅威は、コントロールの及ばない外部要因である。可能性は、この中ではワイルドカード（予測不能な要因）である。可能性は、脅威がいつ具体化し、成功し、損害を与えるかを決定する^[12]。可能性を完全にコントロールすることはできないが、リスクを管理するために、可能性を形成し、影響を与えることはできる。

数学的には、リスクを次のような式で表すことができる： ${\textstyle Risk=p(Asset,Threat)\times d(Asset,Threat)}$https://wikimedia.org/api/rest_v1/media/math/render/svg/aaccb73bd32410e06af19cce9ac55def89fee2f4

ここで、p() は脅威が資産に対して具体化・成功する可能性であり、d() は発生し得る様々なレベルの損害の可能性である。^[13]

リスク R は、セキュリティインシデントが発生する可能性 L と、そのインシデントによって組織が被る影響 I の積である^[14]。

R = L × I

セキュリティインシデント発生の可能性は、脅威が出現する可能性と、その脅威が関連するシステムの脆弱性をうまく利用できる可能性の関数である。セキュリティインシデント発生の結果は、組織の資産が受ける損害の結果として、そのインシデントが組織に与えるであろう影響の関数である。損害は、組織にとっての資産の価値に関連する。同じ資産でも、組織によって価値が異なる場合がある。

したがって、Rは4つの要因の関数となり得る

• A = 資産の価値
• T = 脅威の可能性
• V = 脆弱性の性質、すなわち悪用される可能性（攻撃者にとっての潜在的利益に比例し、悪用のコストに反比例する）
• I = 推定される影響、すなわち損害の程度

もし数値（影響については金額、他の要因については確率）を用いれば、リスクは金額で表すことができ、対策のコストや、セキュリティ管理策を適用した後の残存リスクと比較することが可能である。これらの値を表現することが常に実用的であるとは限らないため、リスク評価の第一段階では、リスクは3段階または5段階の無次元の尺度で格付けされる。

ITリスクマネジメントの分野では、業界固有の多くの用語や技法が生まれている。一部の業界用語は、まだ調整がとれていない。例えば、脆弱性という用語は、発生の可能性と同じ意味で使われることが多く、問題となる可能性がある。よく見られるITリスクマネジメントの用語と技法には、以下のものがある。

情報セキュリティポリシーの違反、または保護策の不備の可能性を示す、特定されたシステム、サービス、またはネットワークの状態の発生。あるいは、以前は知られていなかったが、セキュリティに関連する可能性のある状況^[5][15]。

• 事象は、確実な場合も不確実な場合もある。
• 事象は、単一の発生、または一連の発生であり得る。（ISO/IEC Guide 73）

事業運営を危うくし、情報セキュリティを脅かす重大な可能性を持つ、単一または一連の望ましくない情報セキュリティ事象によって示される^[5]

システムのセキュリティまたはパフォーマンスに、実際または潜在的に悪影響を及ぼすと評価された事象 [G.11]^[16]。

望ましくないインシデント [G.17] の結果^[17]。(ISO/IEC PDTR 13335-1)

事象 [G.11] の結果である。

• 1つの事象から複数の結果が生じることがある^[18]。
• 結果は、肯定的なものから否定的なものまであり得る。
• 結果は、定性的または定量的に表現できる（ISO/IEC Guide 73）

OWASPは、以下に基づく実用的なリスク測定ガイドラインを提案している。それぞれ0～9のスケールで評価する^[14]。

• 脅威エージェント要因
  • スキルレベル： この脅威エージェントのグループは、技術的にどの程度熟練しているか？ 技術スキルなし (1)、いくらかの技術スキル (3)、上級コンピュータユーザー (4)、ネットワークとプログラミングのスキル (6)、セキュリティ侵入スキル (9)
  • 動機： この脅威エージェントのグループは、この脆弱性を見つけて悪用することにどれほど動機付けられているか？ 報酬が低いまたはない (1)、報酬の可能性 (4)、高い報酬 (9)
  • 機会： この脅威エージェントのグループがこの脆弱性を見つけて悪用するには、どのようなリソースと機会が必要か？ 完全なアクセスまたは高価なリソースが必要 (0)、特別なアクセスまたはリソースが必要 (4)、何らかのアクセスまたはリソースが必要 (7)、アクセスやリソースは不要 (9)
  • 規模： この脅威エージェントのグループの規模はどれくらいか？ 開発者 (2)、システム管理者 (2)、イントラネットユーザー (4)、パートナー (5)、認証済みユーザー (6)、匿名のインターネットユーザー (9)
• 脆弱性要因
  • 発見の容易さ： この脅威エージェントのグループがこの脆弱性を発見するのはどれほど容易か？ 事実上不可能 (1)、困難 (3)、容易 (7)、自動化ツールが利用可能 (9)
  • 悪用の容易さ： この脅威エージェントのグループが実際にこの脆弱性を悪用するのはどれほど容易か？ 理論上 (1)、困難 (3)、容易 (5)、自動化ツールが利用可能 (9)
  • 認知度： この脆弱性は、この脅威エージェントのグループにどれほどよく知られているか？ 不明 (1)、隠されている (4)、明白 (6)、周知の事実 (9)
  • 侵入検知： 悪用が検知される可能性はどれくらいか？ アプリケーションでのアクティブな検知 (1)、ログに記録されレビューされる (3)、レビューなしでログに記録される (8)、ログに記録されない (9)

• 技術的影響要因
  • 機密性の喪失： どれだけのデータが開示される可能性があり、その機密性はどれほどか？ 機密性のない最小限のデータが開示 (2)、機密性の高い最小限のデータが開示 (6)、機密性のない広範なデータが開示 (6)、機密性の高い広範なデータが開示 (7)、すべてのデータが開示 (9)
  • 完全性の喪失： どれだけのデータが破損する可能性があり、その損傷の程度はどれほどか？ わずかに破損した最小限のデータ (1)、深刻に破損した最小限のデータ (3)、わずかに破損した広範なデータ (5)、深刻に破損した広範なデータ (7)、すべてのデータが完全に破損 (9)
  • 可用性の喪失： どれだけのサービスが失われる可能性があり、その重要度はどれほどか？ 二次的な最小限のサービスが中断 (1)、主要な最小限のサービスが中断 (5)、二次的な広範なサービスが中断 (5)、主要な広範なサービスが中断 (7)、すべてのサービスが完全に失われる (9)
  • 説明責任の喪失： 脅威エージェントの行動は個人まで追跡可能か？ 完全に追跡可能 (1)、追跡可能な可能性あり (7)、完全に匿名 (9)
• ビジネスへの影響要因
  • 経済的損害： 悪用によってどれほどの経済的損害が生じるか？ 脆弱性を修正するコスト未満 (1)、年間利益への軽微な影響 (3)、年間利益への重大な影響 (7)、倒産 (9)
  • 評判への損害： 悪用によって、ビジネスに損害を与えるような評判の低下が生じるか？ 最小限の損害 (1)、主要な取引先の喪失 (4)、信用の失墜 (5)、ブランドイメージの毀損 (9)
  • コンプライアンス違反： コンプライアンス違反によって、どれほどのリスクにさらされるか？ 軽微な違反 (2)、明確な違反 (5)、世間の注目を集める違反 (7)
  • プライバシー侵害： どれほどの個人識別情報が開示される可能性があるか？ 1人 (3)、数百人 (5)、数千人 (7)、数百万人 (9)

• ビジネスへの影響が正確に計算されている場合はそれを以下で使用し、そうでない場合は技術的影響を使用する。
• 可能性と影響を、3未満を「低（LOW）」、3から6未満を「中（MEDIUM）」、6から9を「高（HIGH）」と仮定して、低・中・高のスケールで評価し、以下の表を使用してリスクを計算する。

全体的なリスクの深刻度
影響	高	中	高	緊急
	中	低	中	高
	低	なし	低	中
		低	中	高
	可能性

NISTサイバーセキュリティフレームワークは、組織が「特定」（ID）機能の一部としてITリスクを管理することを奨励している：^[19][20]

リスクアセスメント（ID.RA）： 組織は、組織の運営（ミッション、機能、イメージ、評判を含む）、組織の資産、および個人に対するサイバーセキュリティリスクを理解する。

• ID.RA-1： 資産の脆弱性が特定され、文書化される
• ID.RA-2： サイバー脅威インテリジェンスおよび脆弱性に関する情報が、情報共有フォーラムや情報源から受信される
• ID.RA-3： 内部および外部の脅威が特定され、文書化される
• ID.RA-4： 潜在的なビジネスへの影響と可能性が特定される
• ID.RA-5： 脅威、脆弱性、可能性、影響が、リスクを決定するために使用される
• ID.RA-6： リスク対応が特定され、優先順位付けされる

リスクマネジメント戦略（ID.RM）： 組織の優先順位、制約、リスク許容度、および仮定が確立され、オペレーショナル・リスクに関する意思決定をサポートするために使用される。

• ID.RM-1： リスクマネジメントプロセスが確立され、管理され、組織の利害関係者によって合意される
• ID.RM-2： 組織のリスク許容度が決定され、明確に表現される
• ID.RM-3： 組織のリスク許容度の決定は、重要インフラにおけるその役割およびセクター固有のリスク分析によって情報を得る

リスク評価を行った後、優先的・重点的に対策が必要な情報資産に対して、ITリスクの対応方法を検討するのが一般的である。リスク対応方法には以下の４つがある^[21]。

• 低減 - 脅威の発生可能性を下げるために、脆弱性への対策を講じること
• 保有（受容） - リスク評価の結果、リスク対応のコストが損害額を上回るなどリスクが低いとみなした場合、対策を講じず、現状を維持すること
• 回避 - 脅威発生の根本的な原因を解決し、リスクが発生する可能性を0にすること
• 移転 - 保険の加入など、補償能力がある他社のサービスなどを利用し、自社の負担を下げること