ITリスクアセスメントは、今日のあらゆる組織においてサイバーセキュリティと 情報セキュリティのリスクマネジメント に欠かせないものです。ITシステム、データ、その他の資産に対する脅威を特定し、それらがもたらし得るビジネス上の影響を理解することで、コストのかかるビジネスの中断を回避するために、緩和（対応）への取り組みを優先順位付けできます。データ侵害、コンプライアンス上のペナルティ、その他の損害も防げます。
この記事では、セキュリティリスクアセスメントとは何か、定期的に実施することのメリット、そしてリスクアセスメントプロセスに含まれる手順を解説します。
IT リスクアセスメントとセキュリティリスクアセスメントとは？
セキュリティリスク評価とは、IT エコシステム内の脆弱性を特定し、それらが組織にもたらす財務上の脅威を理解するプロセスです。停⽌（ダウンタイム）やそれに伴う利益損失から、法的費用やコンプライアンス上のペナルティ、さらには顧客の離反や失われたビジネスに至るまで、幅広く含まれます。慎重かつ徹底的な リスク評価 を行うことで、より広範な サイバーセキュリティプログラム の一環として、セキュリティ施策に正しく優先順位を付けることができます。
セキュリティリスク評価は、より広範なプロセスである — IT リスクアセスメント — の一部です。IT リスクアセスメントでは、サイバーセキュリティへの脅威だけでなく、さまざまな サイバーリスク も考慮します。 Institute of Risk Management はサイバーリスクを「何らかの情報技術システムの障害により、組織の財務的損失、混乱または評判への損害につながり得るあらゆるリスク」と定義しています。同様に Gartner はサイバーリスクを次のように定義しています。「IT の故障または誤用に関わる、計画されていない負のビジネス結果が生じる可能性。」
サイバーリスクの例には次のようなものがあります。
- 機密性の高い、または重要なデータの外部への持ち出し（情報の流出）
- 侵害された認証情報
- フィッシング攻撃
- サービス拒否（DoS）攻撃
- サプライチェーン攻撃
- 誤設定
- ハードウェア障害
- 自然災害
- 人的ミス
両方のタイプのリスク評価はいずれも一度きりのイベントではない点に留意することが重要です。IT 環境と攻撃手法はいずれも動的に変化するため、定期的なスケジュールで実施する必要があります。以下で説明する利点と手順は、IT リスク評価およびセキュリティ リスク評価の両方に適用されます。
セキュリティリスク評価のメリット
IT リスク評価およびサイバーセキュリティリスク評価は、組織に大きな価値をもたらします。主なメリットは次のとおりです：
- 最も価値の高い IT 資産がどこにあるかを把握する — 一部のデータストア、マシン、およびその他の IT 資産は、他よりも重要です。保有する IT 資産やその価値は時間とともに変わり得るため、リスク評価プロセスを定期的に繰り返すことが重要です。
- リスクの理解 — ビジネスに対する潜在的な脅威を特定し分析することで、まずは潜在的な影響が最も大きく、発生確率が最も高いリスクに優先的に注目できます。
- 脆弱性の特定と修復 — ギャップ（差分）に着目した IT リスク評価の方法論により、脅威アクターが悪用できる脆弱性を特定して解消できます。例として、未パッチのソフトウェア、許可が過度に広いアクセス ポリシー、暗号化されていないデータなどが挙げられます。
- コストの軽減 — セキュリティリスク評価を実施することは、データ侵害による高額な損失から事業を守るだけでなく、最大の価値をもたらすセキュリティ施策に向けて予算を賢く活用できるようにします。
- 規制順守 — 定期的なセキュリティリスク評価は、組織が の要件を、HIPAA, PCI DSS, SOX および GDPR などの規制の要求事項に従うことを助けます。その結果、高額な罰金やその他のペナルティを回避できます。
- 顧客の信頼向上 — セキュリティへの取り組みを示すことで顧客の信頼が高まり、その結果、クライアントの継続利用（リテンション）改善につながる可能性があります。
- 情報に基づく意思決定 — サイバーセキュリティのリスク評価によって得られる詳細な洞察は、セキュリティ、インフラ、人的投資に関するより良い意思決定を促進します。
セキュリティリスク評価の手順
それでは、適切なセキュリティリスクアセスメントの手順を順に見ていきましょう：
- 資産を特定し、優先順位を付けます。
- 脅威を特定します。
- 脆弱性を特定します。
- 既存の管理策を分析します。
- インシデントが起こる可能性を判断します。
- 脅威がもたらし得る影響を評価します。
- リスクに優先順位を付けます。
- 対策（コントロール）を推奨します。
- 評価結果を文書化します。
大規模な組織では、このプロセスを社内の IT チームに担当させる場合がありますが、専任の IT 部門がない組織では、外部の専門家に委任することでメリットを得られることがあります。
ステップ 1：IT 資産を特定し、優先順位を付ける
IT 資産には、サーバー、プリンター、ノートパソコン、その他のデバイスに加え、顧客の連絡先情報、電子メールのメッセージ、知的財産などのデータも含まれます。このステップでは、必ずすべての部門および事業部門から意見を集めてください。そうすることで、組織が使用しているシステムと、組織が作成・収集しているデータについて、包括的な理解を得られるようになります。
さらに、各サイバー資産の重要度を判断する必要があります。一般的に用いられる基準には、資産の金銭的価値、重要なプロセスにおける役割、法的およびコンプライアンス（遵守）上の状況などがあります。これらを踏まえ、資産を「クリティカル」「メジャー」「マイナー」などのカテゴリに分類できます。
ステップ 2：脅威を特定する
脅威とは、組織に危害を及ぼし得るすべてのものです。例として、外部の脅威アクター、マルウェア、業務ユーザーによる悪意のある行為、十分に訓練されていない管理者のミスなどが挙げられます。
ステップ 3. 脆弱性を特定する
脆弱性とは、脅威が悪用して組織に危害を及ぼす可能性がある弱点のことです。脆弱性は、分析、監査レポート、NIST vulnerability database、ベンダー情報、情報セキュリティの試験・評価（ST&E）手順、ペネトレーションテスト、および自動化された脆弱性スキャンツールを用いて特定できます。
ステップ 4. 既存のコントロールを分析する
脅威が脆弱性を悪用する可能性を下げるために、すでに導入されているコントロールを分析します。技術的なコントロールの例としては、暗号化、侵入検知システム、マルチファクター認証（MFA）などがあります。非技術的なコントロールには、セキュリティポリシー、管理手順、物理的または環境的な保護策が含まれます。
技術的な管理策と非技術的な管理策の両方は、予防（preventive）または検知（detective）のカテゴリに分けられます。暗号化や MFA のような予防策は、攻撃を阻止することを目的としています。監査ログや侵入検知システムのような検知策は、すでに発生した、または現在進行中の脅威を特定するために利用されます。
ステップ 5. インシデント（Incident）の発生可能性を判断する
脆弱性の性質、脅威の発信元（threat source）の能力と意図（capacity and intent）、および管理策（controls）の有無と有効性（presence and efficacy）などの要因を用いて、各脆弱性が悪用される確率を評価します。数値スコアの代わりに、多くの組織では脅威の確率を表すために「高（high）」「中（medium）」「低（low）」のようなラベルを使用します。
ステップ 6. 脅威が与えうる影響（Impact）を評価する
資産が失われる、または侵害される（compromised）インシデント（incident）の潜在的な結果（consequences）を評価します。考慮すべき重要な要素には、次のようなものがあります：
- 資産の役割と、それに依存するプロセス
- 組織にとっての資産の価値
- 資産の機密性（感度）
このステップでは、まずビジネスインパクト分析（BIA）またはミッションインパクト分析レポートから始めてください。これらの文書では、組織の情報資産に対する損害が引き起こす影響（波及結果）を評価するために、定量的または定性的な指標を用います。そこには、機密性、完全性、可用性への影響が含まれます。影響は定性的に、高・中・低に分類できます。
ステップ7：リスクに優先順位を付ける
各脅威/脆弱性の組ごとに、リスクのレベルを特定します。以下に基づいて IT システムへの影響を評価します:
- 脅威が脆弱性を悪用する可能性
- これらの発生それぞれにかかる概算コスト
- リスクを排除または低減するために、既存または計画中の情報システムのセキュリティ対策が十分であるかどうか
このようにリスクを見積もるための有用な手法として、リスク・レベル・マトリクスがあります。脅威が発生する可能性が高い場合は 1.0、可能性が中程度の場合は 0.5、発生の可能性が低い場合は 0.1 とします。同様に、影響度が高い場合は 100、影響度が中程度は 50、影響度が低い場合は 10 を割り当てます。リスクは、脅威の発生可能性の値に影響の値を掛け合わせて算出し、その結果に基づいてリスクを高・中・低に分類します。
ステップ 8. コントロールを推奨する
リスクレベルを基に、リスクを低減するために必要な対応を決定します。以下は、リスクレベルごとの一般的なガイドラインです。
- 高 — 是正措置の計画はできるだけ早期に策定する必要があります。
- 中 — 是正措置の計画は妥当な期間内に策定する必要があります。
- 低 — チームは、リスクを受容するか是正措置を実施するかを決定する必要があります。
ステップ9. 結果を文書化する
リスク評価プロセスの最終ステップは、作成することです。管理層が、予算、ポリシー、手順などに関して十分な情報に基づいた意思決定を行えるよう支援する包括的なレポートを作成します。レポートには、各脅威、その関連する脆弱性、リスクにさらされている資産、IT インフラに対する潜在的な影響、発生確率、推奨される管理策（コントロール）とコストを明確に記載する必要があります。多くの場合、リスク評価レポートでは、複数のリスクを軽減できる主要な是正（改善）ステップが特定されます。
概要
セキュリティのリスク評価と リスク管理プロセス は、ビジネスに財務的な損害をもたらし得る脅威や脆弱性、そしてそれらをどのように緩和すべきかについて、詳細な洞察を提供するため、あらゆるセキュリティ管理戦略の土台となります。IT セキュリティの脆弱性を明確に評価し、データ資産の価値についての洞察を得ることで、セキュリティポリシー と運用を見直し、サイバー攻撃への防御をより強化し、重要な資産を守ることができます。
Streamline Your Security Risk Assessments with Netwrix Auditor
よくある質問（FAQ）
IT リスク評価とは何ですか？
IT リスク評価とは、組織の重要な IT 資産を特定し、それらの資産に損害を与えたり侵害したりし得る潜在的な脅威、および IT インフラにおける脆弱性を把握したうえで、その情報を分析し、データ侵害や重要な業務運用の中断を防ぐためにセキュリティ対策を改善するためのプロセスです。
IT リスク評価はどのように実施しますか？
IT リスク評価の手順には、次の内容が含まれます。IT 資産とその価値を特定する。各資産に対する潜在的な脅威を洗い出す。それらの脅威によって悪用され得る脆弱性を発見する。そして、潜在的な脅威イベントが発生する可能性を見積もる。さらに、優先度に応じてリスクに対処するための計画を含めた IT リスク分析レポートを作成することが重要です。
セキュリティリスクアセスメントの構成要素は何ですか？
リスクアセスメントの主要な構成要素には、次のものが含まれます。
- IT 資産のカタログと、それらに依存するビジネスプロセスおよび運用
- それぞれの資産に対する潜在的な脅威の詳細リストと、それらが発生する可能性
- IT 資産の喪失または侵害につながり得る脆弱性の分析
- リスクを軽減するために現在実施されているセキュリティ対策（コントロール）の一覧
- 脅威イベントが発生した場合に組織が受けるであろう財務的影響の評価
共有する
もっと詳しく
著者について
Ilia Sotnikov
ユーザーエクスペリエンス担当バイスプレジデント
Ilia Sotnikov は、Netwrix の元セキュリティストラテジストであり、ユーザーエクスペリエンス担当バイスプレジデントです。彼は Netwrix、Quest Software、Dell での在籍期間中に、20年以上のサイバーセキュリティ経験に加え、ITマネジメントの経験も積んできました。現在の役割では、Ilia は製品ポートフォリオ全体にわたってテクニカルイネーブルメント、UXデザイン、そしてプロダクトビジョンを担っています。Ilia の主な専門分野はデータセキュリティとリスクマネジメントです。彼は Gartner、Forrester、KuppingerCole などの企業のアナリストと密に連携し、市場動向、技術の進展、そしてサイバーセキュリティ分野の変化をより深く理解するための情報を得ています。さらに Ilia は、Forbes Tech Council に定期的に寄稿しており、サイバー脅威やセキュリティのベストプラクティスに関する知識と洞察を、より広い IT およびビジネスコミュニティに向けて共有しています。