情報リスクの因子分析

情報リスクの因子分析（FAIR）は、リスクに寄与する要因とそれらが互いにどのように影響するかを分類したものです。主に、データ損失イベントの頻度と規模の正確な確率を確立することに関係しています。企業（または個人）のリスク評価を実行するための方法論ではありません。^[1]

FAIR は、Jack A. Jones によって開発されたリスク管理フレームワークでもあり、Whitman & Mattord (2013) によれば、組織が情報リスクを理解、分析、測定するのに役立ちます。

情報セキュリティ管理システムやISO/IEC 27000 シリーズなどの標準に関連する、IT 環境におけるリスク管理やIT リスクを扱う方法論は数多くあります。

FAIRは、リスクに関する一貫性のある、防御可能な信念ステートメントを作成する方法を提供することで、他の方法論を補完します。^[2]

基本的な分類法と手法はクリエイティブ・コモンズ・ライセンスの下で非営利目的で利用できるようになっていますが、FAIR自体は独占的です。FAIRを使用して他人のリスクを分析し、商業的な利益を得るには（コンサルティングやソフトウェアアプリケーションの一部としてなど）、RMIからのライセンスが必要です。^[3]

FAIRの主な文書は「情報リスクの因子分析（FAIR）入門」、Risk Management Insight LLC、2006年11月^{[4]である。}

このホワイト ペーパーの内容と FAIR フレームワーク自体は、Creative Commons Attribution-Noncommercial-Share Alike 2.5 ライセンスの下で公開されています。このドキュメントでは、まずリスクとは何かを定義します。リスクとリスク分析のセクションでは、リスクの概念と、リスク分析と確率を取り巻く現実の一部について説明します。これにより、FAIR を理解して適用するための共通の基礎が提供されます。リスク ランドスケープ コンポーネントのセクションでは、あらゆるリスク シナリオを構成する 4 つの主要コンポーネントについて簡単に説明します。これらのコンポーネントには、互いに組み合わさってリスクを引き起こす特性 (要因) があります。リスク ファクタリングは、情報リスクをその基本的な部分に分解することから始めます。その結果得られる分類法では、要因がどのように組み合わさってリスクを引き起こすかを説明し、FAIR フレームワークの残りの部分の基礎を確立します。

「コントロール」セクションでは、コントロール ランドスケープの 3 つの側面について簡単に説明します。「リスクの測定」では、測定の概念と課題について簡単に説明し、リスク要因の測定について概要を説明します。

FAIRは、リスクは不確実なイベントであり、何が起こるかではなく、特定のイベントがどの程度起こり得るかに焦点を当てるべきであることを強調しています。この確率的アプローチは、分析されるすべての要素に適用されます。リスクとは、資産に関連する損失の確率です。FAIRでは、リスクは「将来の損失の起こり得る頻度と起こり得る規模」と定義されています。^[5] FAIRはさらに、定量化可能な数値で測定できる起こり得る頻度と起こり得る損失を構成するさまざまな要素を細分化することで、リスクを分解します。これらの要素には、脅威イベント頻度、接触頻度、行動の可能性、脆弱性、脅威能力、困難、損失イベント頻度、一次損失規模、二次損失イベント頻度、二次損失規模、二次リスクが含まれます。

資産の損失の可能性は、それが表す価値と組織にもたらす責任のどちらかまたは両方から生じます。^[4]たとえば、顧客情報は、商業組織の収益を生み出す役割を通じて価値を提供します。その同じ情報は、それを保護する法的義務がある場合、または顧客が自分に関する情報が適切に保護されることを期待している場合、組織に責任をもたらす可能性があります。

FAIRは6種類の損失を定義している: ^[4]

1. 生産性 – 価値を生み出すために商品やサービスを効率的に生産するための組織の縮小
2. 対応 – 有害事象発生後の対応に費やされるリソース
3. 交換 – 影響を受けた資産を交換/修理するための費用
4. 罰金および判決（F/J） - 有害事象に起因する全体的な法的手続きの費用
5. 競争優位性（CA） - セキュリティインシデントによる機会損失
6. 評判 – イベント後の企業イメージの低下により機会損失や売上損失

FAIRは価値/負債を次のように定義しています: ^[4]

1. 重要 – 組織の生産性への影響
2. コスト – 資産の原価、損傷した資産を交換するためのコスト
3. 機密性 – 情報の開示に関連するコスト。さらに次のように分類されます。
   1. 恥ずかしさ - 開示は会社の経営陣の不適切な行動を述べている
   2. 競争上の優位性 – 開示に関連する競争上の優位性の喪失
   3. 法律/規制 – 法律違反の可能性に関連するコスト
   4. 全般 – データの機密性に関連するその他の損失

脅威エージェントは、脅威コミュニティによってグループ化できます。脅威コミュニティは、主要な特性を共有する脅威エージェント全体のサブセットです。影響 (損失の規模) を効果的に評価するには、脅威コミュニティを正確に定義する必要があります。

脅威エージェントは資産に対して異なる行動をとる可能性がある：^[4]

• アクセス – 適切な権限なしにデータを読み取る
• 不正使用 – 資産を許可なく、または意図された使用方法とは異なる方法で使用する
• 開示 – エージェントは他の人にデータへのアクセスを許可します
• 変更 – 資産の変更（データまたは構成の変更）
• アクセス拒否 – 脅威エージェントは正当な対象ユーザーが資産にアクセスできないようにします。

これらのアクションは、さまざまな資産にさまざまな方法で影響を与える可能性があります。影響は、資産の特性とその使用状況との関係で異なります。一部の資産は、重要度は高いが機密性は低く、そのような資産では、アクセス拒否の方が開示よりもはるかに大きな影響を及ぼします。一方、機密性の高いデータを含む資産は、利用できない場合は生産性への影響は低いですが、そのデータが開示されると、恥ずかしさや法的影響が生じる可能性があります。たとえば、以前の患者の健康データが利用可能であることは、医療機関の生産性に影響を与えませんが、開示されると、組織に数百万ドルの損害が発生する可能性があります。 ^[6] 1つのイベントにさまざまな資産が関与する場合があります。[ラップトップの盗難]は、ラップトップ自体の可用性に影響を与えますが、そこに保存されている情報の潜在的な開示につながる可能性があります。

資産の特性と、その資産に対するアクションの種類の組み合わせによって、損失の基本的な性質と程度が決まります。

• 情報セキュリティ管理
• ISACA
• 国際標準化機構（ISO）27001
• リスク管理
• 脆弱性（コンピューティング）

• ホイットマン、マイケル E.、マトールド、ハーバート J. (2013 年 10 月 18 日)。情報セキュリティ管理。Cengage Learning。ISBN 978-1-305-15603-6。

• リスク管理の洞察
• FAIR 基本リスク評価ガイド
• FAIR リスク分類
• 特許出願
• オープンFAIR認証