情報セキュリティリスクを特定し、優先順位を付ける

情報セキュリティリスクとは、特定の脅威が1つ以上の資産の脆弱性を悪用し、その結果として組織に金銭的損失をもたらす可能性のことです。たとえば、システムが停止した場合、ダウンタイムによって会社はいくら損失することになるでしょうか。あるリスクがどれほど深刻かは、組織の具体的な事情によって変わります。リスクアセスメントのより詳しい入門については、次のリスク assessment best practices を参照してください。この記事では、リスクの優先順位付けに関する2つのアプローチ（定性的手法と定量的手法）を取り上げます。

情報セキュリティのリスクとは、財務上の損失が発生する可能性のことです。どのアプローチを選ぶにせよ、最初のステップは、組織がどのように収益を得ているのか、従業員や資産が事業の収益性にどのように影響するのか、そして会社に大きな金銭的損失をもたらし得るリスクは何かを考えることです。その後、最大の財務的損失につながり得るリスクを減らすために、IT インフラをどのように強化できるかを検討してください。

情報セキュリティにおける主要なリスクの一部を紹介します。

• 攻撃者は電子データを改ざんしたり、窃取して悪用したりすることができます。または、コンピューターやシステムを不正に使用する権限を得ることもあります。たとえば、誰かが詐欺的なデータを使ってオンラインストアから製品を購入することに成功した場合、あなたの会社は損失を被ります。したがって、詐欺を防止する、または少なくとも詐欺のリスクを軽減するようなプロセスやソリューションを導入する必要があります。
• 法的問題。 多くの種類のインシデントは、高額な法的問題につながる可能性があります。たとえば、誰かがあなたのシステムに侵入してデータベースからデータを盗んだ場合、盗まれた情報そのものが費用を生じないとしても、組織が適切な データベースセキュリティ を提供できなかったとして、法的な責任を負うことがあり得ます。これは、HIPAA、PCI-DSS など、またはその他のコンプライアンス規制の対象となっている場合に特に当てはまります。
• データの窃取または損傷。 もし営業秘密が盗まれた場合、競合他社に事業を奪われてしまう可能性があります。
• システムが本来の機能を果たせない場合、従業員が働けなくなったり、顧客がWebサイトから商品を購入できなくなったりする可能性があります。

IT セキュリティを改善するためにリソースを賢く配分できるよう、まず情報セキュリティ上のリスクを特定し、その後優先順位を付ける必要があります。定性的アプローチまたは定量的アプローチのいずれかを選べます。

• 定性的 手法は、数値ではないカテゴリやレベル（例：低・中・高）に基づいてリスクを評価します。定性的なアプローチは、特にこれが初めて IT リスク評価 である場合には、定量的な技法よりも一般的にシンプルで実施しやすいです。これは中小企業にとって最適な方法であることが多いです。
• 定量的 手法では、マトリクスに基づいてリスクの発生可能性と金銭的損失に数値を割り当てます。定量的アプローチは、定性的な方法よりも一般的に実装に時間と費用がかかりますが、その結果は詳細な費用対効果分析により役立ちます。したがって、このアプローチは大規模な組織にとってより適していることが多いです。

定性的なリスクの優先順位付け

リスクの定性的な優先順位付けは、各リスクについて次の2点をまず特定することから始まります。

• そのリスク事象が発生した場合に、会社が失う金額はいくらか
• このリスク事象が起こる確率

下の表のように、これらの各要因に対して深刻度の値を割り当てます。

次に、これら2つの要因の値を使ってリスクに優先順位を付けます。たとえば、システム停止によって財務的損失が「非常に大きい（Very High）」ことになり、かつ停止の可能性が「高い（High）」場合、そのリスクの優先度は「重度（Severe）」です。 しかし、停止によって失われる金額が「低い（Low）」場合でも停止の可能性が「高い（High）」なら、そのリスクの優先度は「中程度（Moderate）」です。以下に、非常に単純なリスク優先順位付けの表の例を示します。

定量的なリスク優先順位付け

定量的評価は、数値に基づいてリスクを評価し、数値の意味と比例関係は組織によって維持されます。この種の評価は、費用対効果分析を最も効果的に支援します。ただし場合によっては、定量的評価のメリットが、専門家の時間と労力にかかるコスト、ならびに当該評価を行うために必要となる可能性のあるツールの導入と使用に伴うコストによって上回られることがあります。

ここでも、まずそのリスク事象が発生する可能性と、発生した場合に会社がどれくらいの金額を失うかを評価します。次に、このような表を使って、それぞれの要素に数値を割り当てます。

RL と ML の値を掛け合わせ、次のような表を使って各リスクの優先度を計算します。

リスク優先順位付けの結果を活用する

リスクを特定し優先順位を決めたら、リスク管理計画を策定する必要があります。そして、計画を実行するための予算を確保できるように、会社のトップマネジメントから承認を得てください。詳細なリスク管理計画は、資金提供のためのビジネスケースを提示します。「私たちのシステムがハッキングされるかもしれない」というだけでは不十分です。そのリスクがビジネスに与える影響を示す必要があります。つまり、誰かがあなたのシステムに侵入して営業秘密や顧客データを盗めるようになったとき、どのようなビジネス上の問題が起こるのかを説明するのです。さらに、適切なアンチウイルスソフトを導入してシステムを最新の状態に保つこと、あるいは侵入防御システム（IDS）や侵入防止システム（IPS）を導入することなど、リスク緩和策に対する投資対効果（ROI）を示していることになります。

定性的なアプローチと定量的なアプローチのどちらを IT security risk assessment と優先順位付けに用いるかに関わらず、組織における IT セキュリティの土台を築いていることになります。

この録画された IT risk assessment webinar を視聴して、継続的なリスク評価および緩和プロセスを確立するためのベストプラクティスを学びましょう。