 |
||||||||||||||||||||||||||||||||||||
|
||||||||||||||||||||||||||||||||||||
| 前のページ 1 2 3 4 | ||||||||||||||||||||||||||||||||||||
|
||||||||||||||||||||||||||||||||||||
| リスクの数値化 | ||||||||||||||||||||||||||||||||||||
|
今回は4つのアプローチの中で詳細リスク分析（Detail Risk Analysis）を説明する。この手法では次に示す算出式より、リスクを定量的に示し、対象情報資産に対しリスクを受容するか、リスク対応するかの評価を行う。
リスク値＝資産価値×脅威×脆弱性
当手法は、以下のプロセスで実施される。 |
||||||||||||||||||||||||||||||||||||
| 1. 「資産価値」「脅威」「脆弱性」の評価 | ||||||||||||||||||||||||||||||||||||
|
対象情報資産の「資産価値」「脅威」「脆弱性」に対しそれぞれ評価（レベル分け）をする。 「資産価値」の評価は、情報セキュリティの3要素である「機密性（Confidentiality）」「完全性（Integrity）」「可用性（Availability）」を加味して評価を行う。「法規適合性に関するISMSユーザガイド」では、3要素について以下のとおり基準例を示している。
表8：情報セキュリティの3要素
（括弧内は資産価値） 情報資産の重要度については、基準例の他に「個人情報」「営業情報」「機密情報」「通常情報」などの区分け方も一般的である。重要なのは区分けに際し、明確な基準を設けることである。 また仕様情報のように、開発時の仕様確定前情報と運用時の仕様確定情報で取扱い方つまりリスク対応方法が変わる情報資産もあるので、情報資産のステータスも考慮する必要がある。 「脅威」は、情報資産の機密性／完全性／可用性を脅かすおそれのある外部要因である。「法規適合性に関するISMSユーザガイド」では、以下のとおり基準例を示している。
表9：脅威の基準例
（括弧内は発生可能性） なお「機密性」「完全性」「可用性」に対する脅威は以下のものが考えられる。
表10：脅威の種類
「脆弱性」は、脅威に対する対抗力が不十分な情報資産が持つ性質（内部要因）である。 「法規適合性に関するISMSユーザガイド」では、以下のとおり基準例を示している。
表11：脆弱性の基準例
（括弧内は弱さの度合い） 情報資産の置かれている状況を、「脅威」（外部要因）と「脆弱性」（内部要因）の両側面から評価することが重要である。 |
||||||||||||||||||||||||||||||||||||
| 2. リスク値算出 | ||||||||||||||||||||||||||||||||||||
|
対象情報資産の「資産価値」「脅威」「脆弱性」各評価結果より以下の算出式でリスク値を求める。
リスク値＝資産価値×脅威×脆弱性
|
||||||||||||||||||||||||||||||||||||
| リスク値評価 | ||||||||||||||||||||||||||||||||||||
|
受容できるリスク基準値により算出したリスク値を評価する。リスク値が、受容できるリスク基準値を超えた場合は、リスク対応が必要となる。 図2のマトリクスの太線内は、「資産価値」「脅威」「脆弱性」の基準例より算出した「リスク値」である。例えば、受容できるリスク基準値を10と設定した場合、網掛け部分がリスク対応必要なリスク値となる。  図2：リスクのマトリクス 以下の好ましくない状況例でリスク値を計算してみる。
表12：リスクの例
表13：機密性の評価
表14：完全性の評価
表15：可用性の評価
結果は、当然のことながらすべてリスク対応必要なリスク値である。 当手法では、「資産価値」「脅威」「脆弱性」の基準値、受容できるリスク基準値の設定が重要なポイントとなる。組織のニーズ／業務上の経験／過去に収集した統計的なデータなどを考慮し、精度を上げることが重要である。 |
||||||||||||||||||||||||||||||||||||
|
前のページ 1 2 3 4 |
||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||
|
||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||
|
||||||||||||||||||||||||||||||||||||
|
|
||||||||||||||||||||||||||||||||||||
|
||||||||||||||||||||||||||||||||||||
-
-
連載
