リスクの特定とリスク登録簿

リスクとは、脅威が脆弱性を悪用することで生じる損失または危害の可能性です。情報セキュリティでは、リスクを発生可能性（その事象が起こる確率）と影響度（被害の深刻さ）の組み合わせとして表します。リスクを理解することで、組織は考えられるすべての脅威を排除しようとするのではなく、情報に基づいた費用対効果の高いセキュリティ上の意思決定を行えます。

リスクの特定は、3つの基本要素から始まります。資産とは、サーバー、データベース、知的財産、評判など、価値のあるあらゆるものです。脅威とは、ランサムウェア攻撃や不満を持つ従業員など、資産に損害を与える可能性のあるあらゆる事象です。脆弱性とは、未適用のシステムや脆弱なパスワードポリシーなど、脅威が悪用できる弱点です。脅威と保護されていない資産が交わるところに、リスクが存在します。

体系的なリスク特定は、構造化されたプロセスに従います。まず、資産インベントリで価値のあるものをすべて一覧化します。次に、脅威モデリングで誰がどのように攻撃する可能性があるかを特定します。その後、脆弱性評価でシステムやプロセスの弱点を見つけます。最後に、アナリストは脅威と脆弱性を対応付け、どの資産が実際にリスクにさらされているかを判断します。このプロセスは通常、毎年、または大きな変更があった後に繰り返します。

資産に価値を割り当てることで、優先順位付けが可能になります。有形資産（ハードウェア、ソフトウェアライセンス）には、明確な市場価値があります。無形資産（ブランドの評判、顧客データ）には判断が必要です。規制当局が個人を特定できる情報（PII）に対して、1件当たりの価値を設定する場合もあります。再調達原価方式では、資産を再構築するのにかかる費用を問い、ビジネスインパクトでは、資産が1時間、1日、または1週間利用できない場合にどれだけの収益損失が生じるかを評価します。

リスクレジスターは、特定されたすべてのリスクを構造化された検索可能な形式で記録する、継続的に更新される文書です。各項目には通常、リスクの説明、影響を受ける資産、脅威の発生源、悪用される脆弱性、発生可能性の評価、影響度の評価、リスクスコア、現在のコントロール、割り当てられたリスクオーナーが含まれます。リスクレジスターは、ガバナンス、監査、是正措置の追跡活動における中心的な参照資料になります。

発生可能性の列では、悪用される確率を評価します（1＝まれ、5＝ほぼ確実）。影響度の列では、金銭的損失、規制上の罰則、業務停止時間などの観点から結果を評価します（1＝無視できる、5＝壊滅的）。これらを掛け合わせて、優先順位付けに使用するリスクスコアを算出します。残余リスクの項目には、コントロール適用後に残るリスクを記録し、リスクがゼロになると想定しないようにします。

リスクレジスターに記載されるすべてのリスクには、指名されたリスクオーナーが必要です。通常、リスクオーナーはセキュリティチームではなく、業務マネージャーまたはシステム所有者です。リスクオーナーは、コントロールが実装され、残余リスクが許容可能な基準値内に収まるようにする責任を負います。セキュリティチームは助言と監視を行いますが、すべてのリスクを所有することはできません。それでは、企業全体に拡張できない単一の説明責任が生じるためです。

脅威の特定を構造化するのに役立つフレームワークがいくつかあります。STRIDE（なりすまし、改ざん、否認、情報漏えい、サービス拒否、権限昇格）は、各システムコンポーネントに対する脅威を分類します。PASTA（Process for Attack Simulation and Threat Analysis）は、攻撃者の目標を対応付ける、リスク中心の手法です。DREADは、損害、再現性、悪用可能性、影響を受けるユーザー、発見可能性によって脅威をスコアリングします。ただし、現代の実務ではDREADはあまり一般的ではありません。

まず脆弱性を見つけなければ、リスクを特定することはできません。主な情報源には、既知のCVEに照らしてシステムを検査する脆弱性スキャナー（Nessus、OpenVAS）、悪用可能性を検証するペネトレーションテスト報告書、設定をCISベンチマークと比較する設定監査、積極的に悪用されている脆弱性を示す脅威インテリジェンスフィードがあります。内部監査報告書や自己評価からも、技術的なスキャンでは見逃されるプロセスレベルの脆弱性が明らかになることがあります。

リスクレジスターでは、内部脅威（従業員、請負業者、設定ミスのあるシステム）と外部脅威（ハッカー、国家主体の攻撃者、サプライチェーンの侵害）の両方を考慮する必要があります。内部脅威は、内部者がすでにアクセス権を持っているため、影響がより大きくなることがあります。不満を持つ従業員は、境界のコントロールを作動させずにデータを流出させる可能性があります。行動の異常を監視する内部者脅威プログラムは、技術的なコントロールだけでは軽減できないリスクカテゴリに対処します。

リスク登録簿は一度作成したら終わりという成果物ではありません。新しいシステムの導入、組織再編、新たに公開されたCVE、インシデント後の調査結果など、重要な変更が発生するたびにレビューと更新を行う必要があります。多くの組織では、正式なリスク登録簿のレビューを、年次セキュリティレビュー、変更管理プロセス、コンプライアンス監査に結び付けています。古いリスク登録簿は誤った安心感を生み、インフラストラクチャが急速に変化する際に、必要な対策やリソースが割り当てられていないリスクを招く可能性があります。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、リスクは可能性と影響を組み合わせたものであり、セキュリティ上の意思決定の優先順位付けに利用すること、リスク登録簿には資産、脅威、脆弱性、スコア、担当者、残存リスクを記録すること、そして脅威モデリング手法であるSTRIDEによって、何が問題になり得るかを体系的に特定できることを学びました。次は、定性的リスク分析と定量的リスク分析の手法について学びます。