サイバーリスクの定量化

サイバーリスク定量化には、組織のサイバーセキュリティリスクにリスク定量化技術を適用することが含まれます。サイバーリスク定量化は、特定されたサイバーリスクを評価し、利用可能なサイバーデータを数学的モデリング技術を使用して検証、測定、分析し、組織のサイバーセキュリティ環境を正確に表すプロセスです。このデータは、情報に基づいたサイバーセキュリティインフラストラクチャへの投資とリスク移転の決定に使用できます。サイバーリスク定量化は、サイバーセキュリティリスク管理をサポートするアクティビティです。サイバーセキュリティリスク管理は、エンタープライズリスク管理のコンポーネントであり、ビジネス運営を情報技術(IT) ネットワークとシステムに大きく依存している組織や企業にとって特に重要です。

サイバーリスクを定量化する一つの方法は、 2015年1月の世界経済フォーラムの会議で議論されたバリュー・アット・リスク（VaR）法です。^[1] この会議では、VaRが研究され、サイバーリスクを定量化する実行可能な方法であると判断されました。

サイバーリスクの定量化は、次のようなさまざまな実用的なアプリケーションで使用されています。

1. サイバー保険^[2]
2. サイバーセキュリティの投資収益率^{[3] [4]}
3. ソフトウェア緩和コスト^[5]
4. サイバーセキュリティリスク評価^[6]

サイバーリスクの数学的定義は次のとおりです。

• サイバーリスク = 1 - サイバー信頼度

「サイバー コンフィデンス」とは、実際に実行され合格したテストです。この値は統計的な確率に変換でき、関連するサイバー リスクが計算されます。

• 例 1: 「一定数」のテストが実行され、合格しました。欠陥のない信頼度が 97.43% であると仮定します。答え:サイバーリスク = 2.57%。
• 例 2: 資産上の 65,536 個の TCP ポートと 65,536 個の UDP ポートがすべてデッドまたは非アクティブであることが確認されています。侵入に対する耐性はどの程度ですか?回答:サイバー信頼度 = 99.83%、サイバーリスク = 0.17%

通常、この形式のサイバー信頼度および/またはサイバーリスクの推定は、次の理由から「証言」と呼ばれます。

• サイバーセキュリティのあらゆるレベルに必要なテストの数を見積もるのに適用できます。
• 実際に実行され合格したテストの数に基づいてサイバー信頼度（およびサイバーリスク）を推定するために適用できます。

• インターネットセキュリティセンター
• 情報リスクの因子分析
• ゴードン・ローブモデル
• 国際標準化機構（ISO）27001
• 国際標準化機構（ISO）27002
• NIST サイバーセキュリティフレームワーク

• 世界経済フォーラム: サイバーレジリエンスのためのパートナーシップ - サイバー脅威の定量化に向けて