脅威・脆弱性・リスク

解説（テキスト版）

はじめに

情シスには、こんな相談が届きます。このシステムの、リスクを洗い出してください、と言われる。リスクとは、何を書けばいいのか。

あるいは、ソフトの脆弱性が見つかったので、対応してください、と委託先から連絡が来る。脆弱性と、脅威は、何が違うのか。

似た言葉が並ぶので、混ざってしまいがちです。私も最初は、区別できていませんでした。

今日は、脅威、脆弱性、リスクの違いと、リスクの考え方をお話しします。

一言で言うと

先に、一言でまとめます。脅威は、情報を損なうおそれのある、きっかけです。脆弱性は、守りの弱い部分です。

そして、リスクは、脅威が脆弱性を突いたときに、どれくらい困ったことが、どれくらい起きやすいか、です。リスクは、その組み合わせで考えます。

基礎編のどこか

第1回で、守るものを、機密性、完全性、可用性の3つで見ました。

今日は、その3つを損なうものは何か、そして、どれから手を付けるのか、という考え方です。

セキュリティ編の製品は、このリスクを下げるための道具、と見ることができます。

脅威とは

まず、脅威です。情報を損なうおそれのある、外からのきっかけや、出来事を指します。

たとえば、不正アクセス、ランサムウェア、標的型のメール、そして、災害や停電も脅威です。

もう一つ大事なのが、内部の人です。うっかりした誤操作や、誤送信、そして、悪意のある内部不正も、脅威に入ります。

脅威は、自分たちでは、なくせません。攻撃する人がいなくなることも、地震がなくなることもありません。だから、次の、脆弱性と、リスクで考えます。

脆弱性とは

次に、脆弱性です。守りの弱い部分のことで、ぜいじゃくせい、と読みます。

ソフトウェアの、まだ直していない弱点が、代表です。更新を入れていないパソコンや、古いVPN機器が、これにあたります。

設定の誤りも、脆弱性です。誰でも見られる公開の設定になっているフォルダや、初期パスワードのままの機器などです。

さらに、人の面もあります。ルールが知られていない、確認の手順がない、といった、運用の弱さです。

脆弱性は、脅威と違って、自分たちで減らせます。更新を入れる、設定を直す、手順を整える。情シスの仕事の多くは、ここにあります。

リスクとは

そして、リスクです。脅威が、脆弱性を突いて、実際に困ったことが起きる、可能性と大きさのことです。

リスクは、二つの掛け算で考えます。一つは、起きやすさ。もう一つは、起きたときの影響の大きさです。

たとえば、同じ弱点でも、住民の個人情報が入ったシステムにあれば、影響が大きい。誰も使っていない端末にあれば、影響は小さい。

ですから、脆弱性が見つかったら、すべてを同じ重さで扱うのではなく、どの情報が、どれくらい影響を受けるのかを見て、順番を決めます。

情報資産の洗い出し

リスクを考えるには、まず、守るものを知る必要があります。これを、情報資産の洗い出しと言います。

情報資産には、住民の情報などのデータだけでなく、それを動かすシステム、機器、そして、紙の書類も含まれます。

洗い出したら、それぞれの重要度を、第1回の3つの要素で分けます。総務省のガイドラインも、情報資産を分類して管理することを求めています。

何があるのか分からないものは、守れません。洗い出しが、リスクを考える最初の一歩です。

リスクへの4つの対応

リスクが見えたら、どう対応するのか。大きく、4つの考え方があります。

一つ目は、低減です。対策を入れて、リスクを下げます。更新を入れる、権限を絞る、バックアップを取る、などです。いちばん多い対応です。

二つ目は、回避です。リスクのもとになる行為そのものを、やめます。たとえば、使わないサービスを止める、不要なデータを持たない、などです。

三つ目は、移転です。リスクの一部を、ほかに移します。保険に入る、委託先との契約で責任の範囲を決める、などです。ただし、情報を守る責任そのものは、団体に残ります。

四つ目は、受容です。影響が小さく、対策の費用が見合わないものは、承知した上で、受け入れます。何もしない、のではなく、判断して、記録に残すことが大事です。

優先順位をつける

現場では、対応したいことが、いつも、人手と予算より多くあります。そこで、リスクの大きさで、優先順位をつけます。

起きやすくて、影響が大きいものから先に。起きにくくて、影響が小さいものは、後に回す。この考え方が、基本です。

たとえば、インターネットから見えるサーバーの、重大な弱点は、起きやすさも影響も大きいので、急ぎます。庁内だけで使う、小さな機器の弱点は、計画的に直します。

なぜその順番なのかを、説明できることが大切です。上司や、委託先に話すときの、根拠になります。

現場でよくある誤解

現場でよくある誤解を、3つ挙げます。

一つ目。脆弱性が見つかったら、すべて今すぐ直さなければいけない、という誤解です。影響と、起きやすさを見て、順番をつけます。ただし、急ぐべきものは、遅らせません。

二つ目。リスクをなくせば、安全になる、という誤解です。リスクは、ゼロにはできません。下げて、残ったものを、承知して管理するのが、現実です。

三つ目。委託したから、リスクも委託先に移った、という誤解です。作業は任せられても、情報を守る責任は、団体に残ります。

異動してきたら最初に確かめること

では、異動してきたら、まず何を確かめればいいでしょうか。

一つ目。情報資産の一覧が、あるかどうかです。システム、機器、データの種類ごとに、重要度が付いているかを見ます。

二つ目。リスクを洗い出した記録です。いつ、誰が、どんな方法で行ったのか。最後に見直したのが、いつかも確かめます。

三つ目。対応しないと決めたリスクが、記録に残っているかです。誰が、なぜ、受け入れると判断したのか。分からなければ、確かめ直す機会です。