ITリスクアセスメントについて知っておくべき5つのこと

機密データへの脅威は、日々その数と巧妙さの両方を増しています。そのため、組織はセキュリティを場当たり的に（散発的に）進める方針では持ちこたえられません。代わりに、限られた IT の予算とリソースを、自社の独自のセキュリティ態勢における特定の脆弱性へ集中させる必要があります。これを行うには、事象の発生可能性と、それがビジネスに与える影響の大きさの両方を踏まえて、データまたは情報システムの機密性、完全性、または可用性に対するリスクを特定・分析し、優先順位付けする必要があります。

このプロセスは IT リスクアセスメント（IT risk assessment）と呼ばれます。この記事では、IT セキュリティのリスクアセスメントと、それを IT 環境に導入するために知っておくべき最も重要な 5 つのポイントをお伝えします。

1. IT リスクアセスメントは、あなたの IT セキュリティ戦略の土台にすべきです

まず、リスクアセスメント（risk assessment）とリスクマネジメント（risk management）を区別する必要があります。どちらも強固な IT セキュリティのエコシステムに欠かせない要素ですが、同じものではありません。むしろリスクマネジメントはリスクアセスメントの一部であり、ビジネス、運用、情報セキュリティ、その他のリスクに対するコントロールを提供します。IT リスクアセスメントは、組織全体にわたるホリスティックなセキュリティアプローチのために、内部および外部のリスク環境を理解するという、より広範な作業を含みます。

つまり、IT セキュリティのリスクアセスメントは、どのような出来事が組織に悪影響を及ぼし得るのか、そしてどのようなセキュリティのギャップが重要な情報を脅かすのかを理解するのに役立ちます。これにより、より良いセキュリティ判断を行い、より賢明な先回りの対策を講じることができます。たとえば、混然とした権限構造、シャドウユーザーアカウント（shadow user accounts）、あるいはもつれた管理者権限を明らかにすることで、リスクアセスメントは、手遅れになる前に権限濫用やデータ窃取のリスクを最小化するための適切なリスクマネジメント手順を取れるようにします。

2. IT リスクアセスメントは、多くのコンプライアンス規制で求められています

情報セキュリティにおけるリスク評価の活用は、全体像のほんの一部にすぎません。 情報セキュリティのリスク 評価は、また多くのコンプライアンス基準における最重要要件の1つでもあります。たとえば、組織が HIPAA に準拠する必要がある、または 2018 年 5 月から GDPR の監査を受ける可能性がある場合、重大な不非遵守のリスクや多額の罰金を最小限に抑えるために、情報セキュリティのリスク評価は組織にとって必須のものとなります。

規制では、組織が自社の IT システムをどのように管理し、どのように保護すべきかについての具体的な手順は示されていませんが、組織がそれらのシステムを確保し、必要なセキュリティ対策が講じられていることを監査人に対して証拠として提示すること、そして データセキュリティのリスク を低減することが求められます。

3. 適切なフレームワークを採用すると、IT リスク評価を始めやすくなります

IT セキュリティのリスク評価フレームワークは、次を定義する一連のルールです。:

• 何を評価する必要があるか
• リスク評価手順に誰が関与する必要があるか
• 組織が抱える脅威は何か
• これらの特定されたリスクをどのように分析し、優先順位を付けるか
• 可能性と影響に基づいてリスクをどのように算出するか
• 評価の結果として収集し、作成する必要がある文書は何か

当然ながら、これらのルールは組織ごとに異なります。組織のニーズと目標、規模、業務プロセスの複雑さと成熟度、関係するデータの種類、IT部門の規模、導入済みのセキュリティ対策、適用される業界の要件などに応じて変わるためです。

ただし、情報セキュリティのリスク評価フレームワークをゼロから作り直す必要はありません。代わりに、以下に挙げる一般的に使用されているリスクフレームワークのいずれかを採用し、必要に応じて適用・調整することができます：

• Operationally Critical Threat, Asset, and Vulnerability Evaluation（OCTAVE）カーネギーメロン大学によって設計
• NIST のリスク評価フレームワークは、特別刊行物 SP 800-30
• ISO/IEC 27001:2013

これらのすべての標準では、組織が情報セキュリティのリスク評価プロセスを文書化し、必要なすべてのデータセキュリティ手順が確実に遵守されていることを裏付ける証拠を提示できるようにすることが求められている点に注意してください。

4. IT のリスク評価は継続的なプロセスである必要があります

セキュリティシステムは高性能のレーシングカーのようなものです。常にメンテナンスし、アップデートし、チューニングしていく必要があります。リスク評価は、意思決定者が情報セキュリティ上のリスクに対する対応を判断するために、永続的で決定的な情報を提供する“一度きりのイベント”ではありません。代わりに、IT 環境とリスク環境の両方が絶えず変化しているため、システム開発ライフサイクル全体を通して継続的にリスク評価を行う必要があります。具体的には、システム計画から調達・利用、そしてシステムの退役に至るまでの各段階です。

さらに、権限の増殖（privilege sprawl）、非アクティブなアカウント、そして不適切なパスワード設定の管理アカウントなど、機密データやシステムを危険にさらし得る脆弱性のギャップは、短期間で発生する可能性があります。そうした潜在的なセキュリティ上の問題をいち早く見つけるために、リスク評価は十分な頻度で実施する必要があります。

5. IT リスク評価には 3 つの段階があります

リスク評価のプロセスは、大まかに 3 つの段階に分けられます:

• リスクの特定 — 情報システムおよび、より広い IT 環境における脆弱性を特定します。たとえば、過剰なアクセス許可や絡み合ったグループの入れ子など、適切に対処しないと被害につながり得る要素を見極めます。
• リスクの見積もり — 特定の脅威が特定の脆弱性を悪用できる可能性を分析することで、リスクのある事象が発生する確率を評価します。
• リスクの優先順位付け — リスクの見積もりに加えて、発生した場合に生じる影響の大きさを考慮し、リスクをランキングします。情報の不正な開示、改ざん、または破壊、あるいは情報システムの可用性喪失が、ビジネスにもたらす影響を考慮してください。確率と影響が最も高い脅威から順に対応します。

ITリスク評価はデータ保護とビジネス継続性にとって非常に重要であり、新たなリスクを検知し、セキュリティ戦略を改善するために定期的に実施する必要があります。リスク評価が最新でないなら、戦略も同様に最新ではありません。つまりそれだけです。

効率的なリスク評価の 最初のステップがここで確認できます。継続的なリスク評価と軽減プロセスを確立するためのベストプラクティスを学ぶには、この録画された IT risk assessment webinar をご覧ください。

IT環境においてITリスク評価を実施していますか？どのようなツールを使っていますか？