定性的リスク分析と定量的リスク分析

リスクを特定したら、組織は自分たちがどの程度のリスクにさらされているかを判断する必要があります。大きく分けて2つのアプローチがあります。定性的分析では、専門家の判断に基づく説明的な尺度（High、Medium、Low）を使用します。一方、定量的分析では、数値計算を用いてリスクを金銭的な額で表します。成熟したセキュリティプログラムでは、どちらのアプローチにも役割があります。適切な選択は、利用できるデータと、行おうとしている意思決定によって決まります。

定性的分析では、通常、可能性と影響に対して3段階（Low/Medium/High）または5段階の説明的な評価を割り当てます。これらの評価をリスクマトリクスに組み合わせ、全体的なリスクレベルを導き出します。主な利点は、迅速で利用しやすいことです。詳細な財務データは必要なく、会計の知識がない関係者も参加できます。一方、主な欠点は主観性です。同じリスクでも、分析担当者によって評価が異なる可能性があります。

定量的分析では、数式を使ってリスクに金額を割り当てます。主な用語は次のとおりです。Asset Value (AV)は資産の金銭的価値です。Exposure Factor (EF)は、インシデントによって失われる資産価値の割合（例：40%）です。Single Loss Expectancy (SLE) = AV × EFです。Annual Rate of Occurrence (ARO)は、1年間にその事象が何回発生すると予想されるかを示します。Annual Loss Expectancy (ALE) = SLE × AROです。ALEは、セキュリティ対策に関する費用対効果の判断の基準になります。

SLEは、特定のリスク事象が発生するたびに予想される損失額を表します。SLE = Asset Value × Exposure Factorで計算します。300,000ドル相当のファイルサーバーがランサムウェア攻撃によって30%破壊される場合、SLEは90,000ドルです。SLEは計算の基礎となる値ですが、それだけでは事象の発生頻度を考慮していません。そのため、意味のある年間値を算出するにはAROも必要です。

AROは、12か月間にリスク事象が何回発生すると予想されるかを表します。AROが1なら、その事象は1年に1回発生すると予想されます。AROが0.1なら、10年に1回です。AROが4なら、1年に4回です。AROの値は通常、過去のインシデントデータ、業界統計、脅威インテリジェンス、または保険会社による保険数理上の推定から導き出されます。不正確なAROの推定は、ALEの計算結果を直接ゆがめます。

ALEは定量的リスク分析の中心となる値です。ALE = SLE × AROで計算し、特定のリスクによって1年間に予想される金銭的損失を表します。ALEを使うと、リスクとセキュリティへの支出を直接比較できます。ある対策の年間費用が50,000ドルで、ALEを120,000ドルから20,000ドルに削減できる場合、50,000ドルの純 savingsによって投資が正当化されます。対策の費用がALEの削減額を上回る場合、その対策は費用対効果に優れていません。

定量的分析では、客観的で再現可能な結果が得られるため、セキュリティへの支出と直接比較できます。ALEの値は、経営幹部にも理解しやすい費用対効果分析やROIの計算に自然に組み込めます。保険会社のアンダーライター、監査人、取締役会は、「ランサムウェアによるALEは年間500,000ドルです」という説明のほうが、「ランサムウェアのリスクはHighです」という説明よりも納得しやすいでしょう。定量的モデルは、複数の資産にまたがるリスクを集約する際にも役立ちます。

定量的分析には重大な限界があります。最大の課題はデータ品質です。AROの値は、統計のように見せかけた推測であることが少なくありません。過去のインシデントデータが乏しい場合、ALEの計算結果の信頼性は、定性的な判断と変わりません。また、評判の毀損、顧客の信頼、規制上の罰金などの影響を正確に数値化することは非常に困難です。定量的モデルは時間がかかる傾向があり、高額なコンサルタントや保険数理の専門知識が必要になる場合もあります。

定性的分析には、主観性と一貫性の欠如という問題があります。同じリスクを評価しても、分析担当者によって結果が異なる可能性があり、チーム間や組織間での比較が信頼できなくなります。また、定性的な評価を予算の判断に直接結び付けることも困難です。「High」というリスク評価だけでは、対策にいくら費やすべきか分かりません。最近発生したインシデントの影響で、客観的な基準ではなく評価を過大または過小に見積もってしまうアンカリングバイアスが生じることもあります。

成熟した組織の多くは、両方の手法を補完的に使用しています。初期トリアージでは定性的分析を使い、より詳細な調査を行うリスクの優先順位を決めます。その後、詳細な財務モデルを作成する価値がある高優先度のリスクに対して、定量的分析を適用します。このハイブリッドアプローチにより、定性的な評価の速さと、重要な場面での定量的モデルの精度を両立できます。

Security+の試験では、次の公式を理解していることが求められます。SLE = AV × EFおよびALE = SLE × AROです。試験問題では、資産価値、影響範囲係数、発生率を含むシナリオが提示され、SLEまたはALEの計算や、対策が費用対効果に優れているかどうかの判断を求められることがよくあります。また、定性的アプローチと定量的アプローチを区別し、シナリオの制約に応じて適切な手法を特定できる必要があります。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、定性的分析は説明的な尺度（High/Medium/Low）を使い、迅速である一方、主観的であること、定量的分析は公式（SLE = AV × EF、ALE = SLE × ARO）を使ってリスクを金額で表すこと、そしてALEがセキュリティ対策の費用対効果の判断を左右することを学びました。次は、リスク対応の4つの選択肢である受容、移転、軽減、回避について学びます。