リスク対応策の検討

要点と定義

リスク対応策は、特定・分析・評価したリスクに対して検討します。対応策は組織的・人的・物理的・技術的管理策に分けて考え、現在の実施状況も把握します。IPAシラバス Ver.4.1 PDFの第16頁

対策は、想定する原因や結果に結び付けて選びます。たとえばバックアップ対象の設定漏れには、バックアップ頻度を上げるだけでは対処できません。バックアップ後に対象ファイル一覧と照合すれば漏れを検知でき、設定を二人で確認すれば設定ミスを防ぎやすくなります。

対策の効果が出る時期も考慮します。担当者ごとのアクセス範囲が確定してから権限を絞る対策は、割当ての確認中にはまだ実施できません。その間は閲覧を控えるよう周知し、漏えい時の調査に備えてログを保管する、といった段階的な対応が考えられます。

リスク対応の選択肢には、活動を中止してリスクを避けること、保険などで金銭的負担を分け合うこと、対策で発生可能性を下げること、対策を加えず受け入れることがあります。共連れ対策としてのアンチパスバックは発生可能性の低減、保険加入はリスク共有、事業中止はリスク回避の例です。

対策の対象を取り違えないことも重要です。共有設定の誤りによる閲覧リスクには、サービス導入の承認手続、アカウント共有の禁止、承認済みサービスに接続を限る措置が対応します。バックアップは復旧に役立つ対策ですが、情報流出の防止策とは役割が異なります。

対策と脅威の組合せを確認する際は、各対策がどのリスクに働くかを個別に見ます。推測されにくい認証情報は不正ログインへの対策、振込通知の複数人共有は不正承認の発見に役立ちます。対策の内容から、それが防止・検知・事後調査のどれに当たるかを判断します。

適用条件と例

復旧用データの完全性を確かめたい場合は、保存先や世代数だけでなく、対象データが実際に含まれているかを確認します。たとえば月末の売上集計ファイルを保管するなら、処理後に元データの一覧と保存済みファイルの一覧を照合する方法が、対象漏れの検知につながります。頻度の変更は復旧時点を細かくできますが、対象指定の漏れ自体を直すとは限りません。

アクセス権の設定には、誰がどの情報を担当するか確定していることが必要です。担当範囲が決まった後、その範囲だけに権限を設定できます。割当てが未確定なら、権限を正確に絞る前提がありません。

ランサムウェア被害への対応では、身代金を払っても復号できる保証がないことを理由として判断できます。また、支払いが攻撃継続の動機になり得る点も一般的な考慮事項です。ただし、特定の事例で追加攻撃が起きると断定するものではありません。