リスクマネジメント(リスクアセスメント)
→ リスクについて組織を指揮統制するための調整された活動
※ リスクとは目的に対する不確かさの影響
リスクマネジメントの手順
- 組織の状況の確認(情報資産の調査・分類)
- リスクアセスメントの実施
- リスク特定 → 情報資産に対する脅威や脆弱性などからリスクを特定
- リスク分析 → リスクの発生頻度や発生時の影響(被害・損失)の大きさ(リスクレベル)を分析 → 優先順位付け
- リスク評価 → リスク分析の結果とリスク受容基準からそれぞれのリスクに対してリスク受容が可能かを評価
- リスクへの対応
リスクマネジメント(リスク対策)
- リスクの種類(財産損失・責任損失・純収益損失・人的損失)
- リスク対策
- リスクコントロール → リスクの発生を予防し、損失を軽減する
- リスク回避 → 資産の使用、活動を止めるか、代替えする
- リスク予防 → 脆弱性を改善し、脅威の発生頻度を低減する
- リスク分離 → 資産を分離して、リスクの影響を低減する
- リスク集中 → リスクの発生源を集めて集中管理する
- リスク移転 → レンタル会社などとの契約によって、リスクを移転する
- リスク最適化 → リスク分離などにより、リスクを受容可能な状態にする
- リスクファイナンス → リスクが発生した場合にかぶる損害の資金手当てを行う
- リスク保有 → リスクを保有したまま、経常費や準備金で損失に備える
- リスク転移 → 保険をかけて、リスク発生時の損失を他社と分担する
リスクマネジメント(予防措置の例)
| 予防措置 | 効果 |
|---|---|
| クリアデスク | 離席や退社時にデスクの上に個人情報が記載された書類や、USBなどの記憶媒体を放置しない 施錠できるキャビネットなどで保管などの対策が必要 |
| クリアスクリーン | 従業員が離席する際に、PCの画面を第三者がのぞき見できる状態や操作できる状態にしておかない 離席時に画面ロックをするなどの対策が必要 |
| 機器廃止時の情報漏洩対策 | PCの廃棄・譲渡の場合に、搭載されたいるハードディスクを破壊、ソフトによる完全消去を行う ランダムなビット列で上書きなどの対策が必要 |
| ハニーポット | あえてシステムへの不正侵入を許して攻撃手法や何をターゲットとしているかを分析する 意図的に脆弱性を持たせたシステムなどを準備する必要がある |
| ファジング | 以上データをソフトウェアへ大量に送り込み、挙動を監視する方法でテストする 問題を引き起こしそうな多様なデータなどの入力が必要になる |
| ペネトレーションテスト | 攻撃者視点でシナリオを作成し組織のネットワークシステムへの侵入をテストする 脆弱性発見のために実際に攻撃して侵入を試みる |
| マルウェア解析 | 表層解析：マルウェアを実効ぜずにファイルの情報を見る 動的解析：マルウェアを実行して実際の挙動をみる、プログラムのコードを見る |
| デジタルフォレンジック | データの改ざん、不正アクセス、遠隔操作など巧妙化するサイバー犯罪に対して、犯罪の痕跡調査やデータの復旧対処だけでなく、それらの原因や証拠を究明する法的な証拠を確保 |