リスクの特定・分析・評価

要点と定義

リスクアセスメントでは、情報資産を特定し、その価値、脅威、脆弱性を踏まえてリスクを分析・評価します。資産はシステムやデータだけでなく、文書、施設、人材なども含みます。機密性・完全性・可用性の観点から価値を明確にし、文書の確認や関係者への聞き取りで把握します。IPAシラバス Ver.4.1 PDFの第16頁

情報資産とその取扱状況を広く把握してからリスクを評価すると、個別の端末やファイルだけを調べる場合より、範囲の限られた調査では見落とす課題も見つけやすくなります。

可用性の評価では、利用できなくなった場合に誰へどのような影響が及ぶかを、用途に照らして考えます。顧客に直ちに影響する場合、自社の業務に直ちに影響する場合、どちらにも直ちに影響しない場合を、与えられた評価基準に従って区別します。社内業務のサービスと顧客向けサービスでは、同じ停止でも評価が異なることがあります。

問題で定められた計算方法では、資産の重要度を機密性・完全性・可用性の評価値の最大値とし、リスク値を「重要度×脅威評価値×脆弱性評価値」で算出します。例えば重要度2、脅威評価値2、脆弱性評価値2なら、リスク値は2×2×2＝8です。この条件では、リスク値がしきい値の5を超える資産が保有以外の対応対象となり、値が5以下なら該当しません。

リスク評価では、起こりやすさと、事象が起きた場合の結果を定量的または定性的に捉え、組織が定めたリスク受容基準に基づいて判断します。新しい脅威やシステム・組織の変更に伴うリスクも特定し、評価し直します。IPAシラバス Ver.4.1 PDFの第16頁

適用条件と例

評価は、問題や組織が示す前提・ルールに沿って行います。例えば、端末から情報を持ち出せるかを判断する場合は、承認の有無、許可された媒体、利用可能なシステムを確認します。会社貸与の媒体が許可され、顧客から借りた媒体は禁止されているなら、両者を同じ扱いにはできません。

損害の見積りが「支払った場合」「支払わなかった場合」などの条件付きで示されるときは、条件ごとに発生し得る費用や損失を分類します。例えば、支払わずに自力でデータ復元を試みる費用は、その設問で置かれた前提の下では「支払わなかった場合」の項目に当たります。この分類は問題中の仮定に沿ったもので、別の条件へそのまま一般化できません。

脅威の評価では、確認できる状況から被害の経路を考えます。例えば、なりすまし者が正規利用者のアカウントを使える状況で、その相手との連絡に認証情報を狙うリンクが含まれていれば、リンクへの誘導による情報窃取が想定されます。別のアカウント情報の漏えいや、第三者による盗聴などは、状況に根拠がなければリスクとして断定しません。