ITリスク

情報技術リスク、ITリスク、IT関連リスク、またはサイバーリスクは、情報技術に関連するあらゆるリスクです。^[1]情報は長い間、貴重で重要な資産として認識されてきましたが、知識経済とデジタル革命の台頭により、組織は情報、情報処理、特にITにますます依存するようになりました。そのため、何らかの形でITを危険にさらすさまざまなイベントやインシデントは、組織のビジネスプロセスやミッションに、重要でない規模から壊滅的な規模まで、悪影響を及ぼす可能性があります。

様々なタイプのイベント/インシデントの発生確率や発生可能性、および発生した場合に予想される影響や結果を評価することは、ITリスクを評価および測定する一般的な方法です。^{[2] ITリスクを測定する代替方法では、通常、}脅威、脆弱性、露出、資産価値 などの他の要因を評価します。^{[3] [4]}

ITリスク：特定の脅威が資産または資産グループの脆弱性を悪用し、組織に損害を与える可能性。これは、イベントの発生確率とその結果の組み合わせによって測定されます。^[5]

アメリカ合衆国国家安全保障システム委員会は、さまざまな文書で リスクを定義しています。

• 2010年4月26日付CNSS指令第4009号^[6]による基本的かつより技術的な定義:

  リスク – 特定の脅威が特定の脆弱性を悪用して IS に悪影響を及ぼす可能性。

• 国家安全保障電気通信情報システムセキュリティ指令（NSTISSI）No.1000 ^[7]は、 NIST SP 800-30と非常によく似た確率の側面を導入しています。

  リスク – 脅威が発生する可能性、脅威の発生が悪影響をもたらす可能性、および結果として生じる影響の重大性の組み合わせ

国立情報保証訓練教育センターは、 IT分野におけるリスクを次のように定義しています。^[8]

1. 脅威と脆弱性の組み合わせの結果として生じる損失の可能性。脅威または脆弱性のいずれかを軽減すると、リスクが軽減されます。
2. 損失の確率で表された損失の不確実性。
3. 敵対的な組織が諜報目的で特定の通信システムまたは COMSEC システムを悪用する可能性。その要因は脅威と脆弱性です。
4. 脅威が発生する可能性、脅威の発生が悪影響をもたらす可能性、および結果として生じる悪影響の重大性の組み合わせ。
5. 特定の脅威がシステムの特定の脆弱性を悪用する確率。

多くのNIST出版物は、ITコンテキストにおけるリスクをさまざまな出版物で定義しています。FISMApedia ^[9]用語^[10]にはリストがあります。それらには次のようなものがあります。

• NIST SP 800-30によると: ^[11]

  リスクは、特定の脅威源が特定の潜在的な脆弱性を悪用する可能性と、その結果として組織に生じる有害なイベントの影響によって決まります。

• NIST FIPS 200より^[12]

  リスク – 脅威の潜在的な影響とその脅威が発生する可能性を考慮した、情報システムの運用によって生じる組織の運営（使命、機能、イメージ、評判を含む）、組織の資産、または個人への影響のレベル。

NIST SP 800-30 ^[11]では次のように定義されています。

IT関連リスク

以下を考慮した純粋なミッションの影響:

1. 特定の脅威源が特定の情報システムの脆弱性を悪用する（偶然に引き起こすか、意図的に悪用する）可能性と
2. このような事態が発生した場合の影響。IT 関連のリスクは、次のような原因による法的責任またはミッション損失から生じます。
   1. 情報の不正な（悪意のあるまたは偶発的な）開示、変更、または破壊
   2. 意図しない誤りや省略
   3. 自然災害や人為的災害によるIT障害
   4. IT システムの実装および運用において、十分な注意と勤勉さを怠ったこと。

ITリスクとは、将来的に発生する可能性のある損失の頻度と規模である。^[13]

ISACAは、ITの使用に関連するすべてのリスクをエンドツーエンドで包括的に把握できるようにするために、リスクITフレームワークを公開しました。 ^[14] ITリスクは次のように定義されています。

企業内でのITの使用、所有、運用、関与、影響、採用に関連するビジネスリスク

Risk ITによると、^[14] ITリスクはより広い意味を持っています。それは、組織の価値を破壊または低下させる可能性のある運用とサービス提供の悪影響だけでなく、ビジネスを可能にしたり強化したりするためにテクノロジーを使用する機会を逃すことに関連する利益\価値実現リスク、またはビジネスに悪影響を与える過剰支出や納期遅れなどの側面に対するITプロジェクト管理も含みます。

測定できないものを効果的かつ一貫して管理することはできませんし、定義していないものを測定することはできません。^{[13] [15]}

IT リスク (またはサイバー リスク) の測定は、さまざまなレベルで発生する可能性があります。ビジネス レベルでは、リスクはカテゴリ別に管理されます。最前線の IT 部門とNOCは、より個別で個別のリスクを測定する傾向があります。それらの間のつながりを管理することは、現代のCISOの重要な役割です。

あらゆる種類のリスクを測定する場合、特定の脅威、資産、および利用可能なデータに対して正しい方程式を選択することが重要なステップです。これを行うことはそれ自体が課題ですが、リスク方程式には理解しておくと役立つ共通の要素があります。

リスク管理には、サイバーセキュリティにも当てはまる 4 つの基本的な力があります。それは、資産、影響、脅威、および可能性です。資産 (価値のある有形および無形のもの) については、社内で知識があり、かなりの制御力があります。また、資産の損失または損傷を指す影響についても、ある程度の制御力があります。ただし、敵対者とその攻撃方法を表す脅威は、制御できません。可能性は、その中でもワイルド カードです。可能性によって、脅威が実現し、成功し、損害を与えるかどうか、またいつ発生するかが決まります。完全に制御することはできませんが、可能性は、リスクを管理するために形作られ、影響を与えることができます。 ^[16]

数学的には、これらの力は次のような式で表すことができます。ここで、p()は脅威が資産に対して実現/成功する可能性であり、d()は発生する可能性のあるさまざまなレベルの損害の可能性です。^[17]${\textstyle リスク=p(資産,脅威)\times d(資産,脅威)}$

IT リスク管理の分野では、業界特有の用語や手法が数多く生まれています。業界用語の中には、まだ統一されていないものもあります。たとえば、脆弱性という用語は、発生の可能性と同義で使われることが多く、問題になることがあります。よく使用される IT リスク管理の用語や手法には、次のようなものがあります。

情報セキュリティイベント

情報セキュリティポリシーの違反や安全対策の失敗の可能性、あるいはセキュリティに関連する可能性のある未知の状況を示すシステム、サービス、またはネットワーク状態の特定された発生。^[5]

特定の状況の発生^[18]

• イベントは確実な場合も不確実な場合もあります。
• イベントは、単一の発生または一連の発生である可能性があります。:(ISO/IEC ガイド 73)

情報セキュリティインシデント

事業運営を危険にさらし、情報セキュリティを脅かす可能性が高い、単一または一連の望ましくない情報セキュリティイベントによって示される^[5]

システムのセキュリティやパフォーマンスに実際または潜在的に悪影響を及ぼすと評価されたイベント[G.11]。^[19]

影響^[20]

望ましくないインシデントの結果[G.17]。(ISO/IEC PDTR 13335-1)

結果^[21]

イベントの結果 [G.11]

• 1 つのイベントから複数の結果が生じる場合があります。
• 結果は良いものから悪いものまでさまざまです。
• 結果は定性的または定量的に表現できる（ISO/IECガイド73）

リスクRは、セキュリティインシデントが発生する可能性Lと、インシデントによって組織に生じる影響Iの積であり、次の式で表される。 ^[22]

R = L × I

セキュリティ インシデントの発生の可能性は、脅威が出現する可能性と、脅威が関連するシステムの脆弱性を悪用する可能性によって決まります。

セキュリティ インシデントの発生の結果は、組織の資産が受ける損害の結果として、インシデントが組織に及ぼす可能性のある影響の関数です。損害は組織に対する資産の価値に関連し、同じ資産でも組織によって価値が異なる場合があります。

したがって、R は 4 つの要素の関数になります。

• A =資産の価値
• T =脅威の可能性
• V =脆弱性の性質、つまり悪用される可能性（攻撃者の潜在的な利益に比例し、悪用のコストに反比例する）
• I = 起こりうる影響、被害の程度

数値（影響に対する金額と他の要因に対する確率）の場合、リスクを金銭的に表現し、対策のコストやセキュリティ制御を適用した後の残留リスクと比較することができます。この値を表現することは必ずしも現実的ではないため、リスク評価の最初のステップでは、リスクは 3 段階または 5 段階のスケールで無次元に等級付けされます。

OWASPは以下に基づいた実用的なリスク測定ガイドライン^[22]を提案している。

• 0 から 9 のスケールで異なる要因間の平均としての可能性の推定:
  • 脅威因子要因
    • スキルレベル: この脅威エージェントのグループはどの程度の技術スキルを持っていますか? 技術スキルなし (1)、ある程度の技術スキルあり (3)、上級コンピュータユーザー (4)、ネットワークおよびプログラミングスキルあり (6)、セキュリティ侵入スキルあり (9)
    • 動機: このグループの脅威エージェントは、この脆弱性を発見して悪用する動機がどの程度あるか? 報酬が低いか全くない (1)、報酬がある可能性がある (4)、報酬が高い (9)
    • 機会: このグループの脅威エージェントがこの脆弱性を発見して悪用するには、どのようなリソースと機会が必要ですか? 完全なアクセスまたは高価なリソースが必要 (0)、特別なアクセスまたはリソースが必要 (4)、ある程度のアクセスまたはリソースが必要 (7)、アクセスまたはリソースは不要 (9)
    • 規模: この脅威エージェントのグループはどのくらいの大きさですか? 開発者 (2)、システム管理者 (2)、イントラネット ユーザー (4)、パートナー (5)、認証済みユーザー (6)、匿名インターネット ユーザー (9)
  • 脆弱性要因: 次の一連の要因は、関連する脆弱性に関連しています。ここでの目標は、関連する特定の脆弱性が発見され、悪用される可能性を推定することです。上記で選択した脅威エージェントを想定します。
    • 発見の容易さ: このグループの脅威エージェントがこの脆弱性を発見するのはどの程度容易ですか? 事実上不可能 (1)、困難 (3)、容易 (7)、自動化ツールが利用可能 (9)
    • 悪用の容易さ: このグループの脅威エージェントがこの脆弱性を実際に悪用するのはどれくらい簡単ですか? 理論的 (1)、困難 (3)、容易 (5)、自動化ツールが利用可能 (9)
    • 認識: この脆弱性は、このグループの脅威エージェントにどの程度知られていますか? 不明 (1)、隠れている (4)、明らかである (6)、一般に知られている (9)
    • 侵入検知: エクスプロイトが検出される可能性はどのくらいですか? アプリケーションでアクティブに検出 (1)、ログに記録されレビュー済み (3)、レビューなしでログに記録 (8)、ログに記録されていない (9)
• 0から9のスケールで異なる要因間の平均値としての影響の推定
  • 技術的影響要因: 技術的影響は、従来のセキュリティの懸念事項である機密性、整合性、可用性、説明責任に沿った要因に分類できます。目標は、脆弱性が悪用された場合にシステムに与える影響の大きさを見積もることです。
    • 機密性の喪失: どの程度のデータが開示される可能性があり、その機密性はどの程度か? 開示される非機密データは最小限(2)、開示される重要なデータは最小限(6)、開示される非機密データは広範囲(6)、開示される重要なデータは広範囲(7)、開示されるすべてのデータは広範囲(9)
    • 整合性の損失: 破損する可能性のあるデータの量と損傷の程度は? わずかに破損したデータが最小限 (1)、深刻に破損したデータが最小限 (3)、わずかに破損したデータが広範囲に (5)、深刻に破損したデータが広範囲に (7)、すべてのデータが完全に破損 (9)
    • 可用性の損失どの程度のサービスが失われる可能性があり、その重要性はどの程度ですか? 二次サービスが最小限に中断 (1)、一次サービスが最小限に中断 (5)、二次サービスが広範囲に中断 (5)、一次サービスが広範囲に中断 (7)、すべてのサービスが完全に失われる (9)
    • 説明責任の喪失: 脅威エージェントの行動は個人まで追跡可能か? 完全に追跡可能(1)、追跡可能の可能性あり(7)、完全に匿名(9)
  • ビジネスへの影響要因: ビジネスへの影響は技術的な影響から生じますが、アプリケーションを実行している会社にとって何が重要であるかを深く理解する必要があります。一般的に、対象者が経営幹部レベルである場合は特に、ビジネスへの影響でリスクをサポートすることを目指す必要があります。ビジネス リスクは、セキュリティ問題の解決への投資を正当化するものです。
    • 経済的損害: エクスプロイトによってどの程度の経済的損害が発生するか? 脆弱性を修正するコストより少ない (1)、年間利益への影響はわずか (3)、年間利益への影響は大きい (7)、破産 (9)
    • 評判の失墜: 不正行為により、ビジネスに損害を与えるような評判の失墜が生じるか? 最小限の損害 (1)、主要顧客の喪失 (4)、信用の喪失 (5)、ブランドの毀損 (9)
    • 不遵守: 不遵守によってどの程度のリスクが生じるか? 軽微な違反 (2)、明らかな違反 (5)、重大な違反 (7)
    • プライバシー侵害: 個人を特定できる情報はどの程度漏洩する可能性がありますか? 1人 (3)、数百人 (5)、数千人 (7)、数百万人 (9)
  • ビジネスへの影響が正確に計算されている場合は、次の項目でそれを使用し、そうでない場合は、技術的影響を使用します。
• 3 未満を LOW、3 ～ 6 未満を MEDIUM、6 ～ 9 を HIGH として、可能性と影響度を LOW、MEDIUM、HIGH のスケールで評価します。
• 次の表を使用してリスクを計算します

IT リスク管理システム (ITRMS) は、より広範なエンタープライズ リスク管理(ERM) システムのコンポーネントです。 ^[23] ITRMS は、より広範な情報セキュリティ管理システム(ISMS) にも統合されています。ISMS の継続的な更新とメンテナンスは、情報セキュリティ リスクを特定、評価、管理するための組織の体系的なアプローチの一部です。^{[24] ISACA の 2006 年}公認情報システム監査人レビューマニュアルでは、リスク管理を次のように定義しています。「リスク管理とは、組織がビジネス目標を達成するために使用する情報リソースに対する脆弱性と脅威を特定し、組織にとっての情報リソースの価値に基づいて、リスクを許容レベルまで低減するためにどのような対策を講じるかを決定するプロセスです。 」^[25] NISTサイバーセキュリティ フレームワークでは、組織が識別(ID) 機能の一部として IT リスクを管理することを推奨しています。 ^{[26] [27]}

リスク評価 (ID.RA) : 組織は、組織の運営 (使命、機能、イメージ、評判を含む)、組織の資産、および個人に対するサイバーセキュリティのリスクを理解します。

• ID.RA-1: 資産の脆弱性が特定され、文書化されている
• ID.RA-2: サイバー脅威情報と脆弱性情報は、情報共有フォーラムや情報源から受信されます。
• ID.RA-3: 内部および外部の脅威が特定され、文書化されている
• ID.RA-4: 潜在的なビジネスへの影響と可能性が特定されている
• ID.RA-5: 脅威、脆弱性、可能性、影響はリスクを決定するために使用される
• ID.RA-6: リスク対応が特定され、優先順位が付けられている

リスク管理戦略 (ID.RM) : 組織の優先順位、制約、リスク許容度、および仮定が確立され、運用リスクの決定をサポートするために使用されます。

• ID.RM-1: リスク管理プロセスが確立され、管理され、組織の利害関係者によって合意されている
• ID.RM-2: 組織のリスク許容度が決定され、明確に表現されている
• ID.RM-3: 組織のリスク許容度の決定は、重要なインフラストラクチャとセクター固有のリスク分析における役割に基づいて行われます。

以下では、情報源別に整理された適用可能な規則の簡単な説明を示します。^[28]

OECDは以下を発表しました。

• 経済協力開発機構（OECD）プライバシーの保護と個人データの国境を越えた流通を規定するガイドラインに関する理事会の勧告（1980年9月23日）
• OECD 情報システムおよびネットワークのセキュリティに関するガイドライン: セキュリティ文化に向けて (2002 年 7 月 25 日)。トピック: 一般的な情報セキュリティ。適用範囲: OECD のあらゆる組織 (情報システムおよびネットワークを開発、所有、提供、管理、サービス、および使用する政府、企業、その他の組織、および個人ユーザー) に対する拘束力のないガイドライン。OECD ガイドラインは、リスク管理および情報セキュリティの実践の基盤となる基本原則を規定しています。テキストのいかなる部分も拘束力はありませんが、いずれかの原則に違反すると、RM/RA の優れた実践に対する重大な違反となり、法的責任を負わされる可能性があります。

欧州連合は、トピックごとに次のものを発行しました。

• プライバシー
  • 欧州共同体機関および団体による個人データの処理に関する個人の保護およびそのようなデータの自由な移動に関する規則 (EC) No 45/2001 は、以下に説明するプライバシー指令の原則を実際に適用した内部規則を規定しています。さらに、規則の第 35 条では、欧州共同体機関および団体に対し、電気通信インフラストラクチャに関して同様の予防措置を講じ、セキュリティ侵害の特定のリスクについてユーザーに適切に通知することを義務付けています。
  • 個人データの処理に関する個人の保護および個人データの自由な移動に関する指令 95/46/EC では、個人データ処理活動は、その活動のプライバシーへの影響を判断し、その活動を保護するための適切な法的、技術的、組織的措置を判断するために、事前のリスク分析を受けること、その活動の機密性とプライバシーへの影響を考慮した最新の措置によって効果的に保護されていること (処理タスクを第三者に委託する場合を含む)、その活動のセキュリティを確保するために講じられた措置を含め、国家データ保護当局に通知されることを義務付けています。さらに、指令の第 25 条以降では、非加盟国がそのような個人データに対して適切な法的保護を提供している場合、または特定の他の例外を除き、加盟国は個人データを非加盟国に転送することを禁止する必要があります。
  • 2001 年 6 月 15 日の欧州委員会決定 2001/497/EC (指令 95/46/EC に基づく、第三国への個人データの移転に関する標準契約条項に関するもの)、および 2004 年 12 月 27 日の欧州委員会決定 2004/915/EC (個人データの第三国への移転に関する代替の標準契約条項の導入に関して決定 2001/497/EC を改正する)。トピック: 第三国、具体的には、十分なデータ保護レベル (つまり、EU と同等) があると認められていない非 EU 諸国への個人データの輸出。両欧州委員会決定は、データ管理者 (EU データ保護規則の適用対象) から、これらの規則または同様の適切な規則の適用対象ではない EU 外のデータ処理者に個人データを輸出するために使用できる、自主的なモデル条項のセットを提供しています。
  • 国際セーフハーバープライバシー原則（米国および国際セーフハーバープライバシー原則については下記を参照）
  • 2002年7月12日の電子通信分野における個人データの処理とプライバシーの保護に関する指令2002/58/EC
• 国家安全保障
  • 2006 年 3 月 15 日の指令 2006/24/EC (公開電子通信サービスまたは公衆通信ネットワークの提供に関連して生成または処理されたデータの保持に関する指令および指令 2002/58/EC の改正 (「データ保持指令」))。トピック: 重大犯罪の捜査、検出、起訴の目的で、公衆電子通信サービス プロバイダーのプロバイダーが特定の情報を保持することの要件
  • 2008 年 12 月 8 日の欧州重要インフラの特定と指定、およびそれらの保護を改善する必要性の評価に関する理事会指令 2008/114/EC。トピック: 欧州重要インフラの特定と保護。適用範囲: 加盟国および欧州重要インフラの運営者に適用可能 (指令案では「その中断または破壊により 2 つ以上の加盟国、または重要インフラが別の加盟国にある場合は単一の加盟国に重大な影響を及ぼす重要インフラ。これには、他の種類のインフラへのセクター間の依存関係から生じる影響も含まれます」と定義されています)。加盟国は、自国の領土にある重要インフラを特定し、ECI として指定する必要があります。この指定に続いて、ECI の所有者/運営者は、保護のための適切なセキュリティ ソリューションを確立する運営者セキュリティ プラン (OSP) を作成する必要があります。
• 民法と刑法
  • 情報システムに対する攻撃に関する2005年2月24日の理事会枠組み決定2005/222/JHA。テーマ: サイバー犯罪の分野における国家規定の調和を目指した一般決定。内容は、実質的刑法 (特定の犯罪の定義など)、手続刑法 (捜査措置および国際協力を含む)、および責任問題です。範囲: 加盟国は、枠組み決定の規定を国内法体系に実装する必要があります。枠組み決定は、法人内の特定の自然人の権限の行為に対して法人に法的責任を課すことができる条件が含まれているため、RM/RA に関連しています。したがって、枠組み決定では、組織内のそのような人物の行為が適切に監視されることを義務付けており、また、決定では、この点に関して法人が不作為の責任を負わされる可能性があると規定しています。

• 欧州評議会サイバー犯罪条約、ブダペスト、2001 年 11 月 23 日、欧州条約シリーズ第 185 号。テーマ: サイバー犯罪の分野における国家規定の調和を目指す一般条約。内容は、実質的刑法 (特定の犯罪の定義など)、手続刑法 (捜査措置および国際協力を含む)、責任問題、およびデータ保持です。第 2 条から第 10 条の一連の刑事犯罪の定義とは別に、この条約は、法人内の特定の自然人の権限の行為に対して法人に法的責任を課すことができる条件を規定しているため、RM/RA に関連しています。したがって、この条約では、組織内のそのような人物の行為が適切に監視されることが義務付けられており、また、この点に関して法人が怠慢行為の責任を問われる可能性があると規定されています。

米国は、トピックごとに次のものを発行しました。

• 民法と刑法
  • 電子証拠開示に関する連邦民事訴訟規則の改正。トピック: 民事訴訟における電子文書の提出に関する米国連邦規則。証拠開示規則により、民事訴訟の当事者は、相手方当事者が所有するすべての関連文書 (要求側が定義) の提出を要求し、当事者と裁判所が問題を正しく評価できるようにすることができます。2006 年 12 月 1 日に発効した電子証拠開示の改正により、このような情報には電子情報が含まれるようになりました。これは、民事訴訟で米国の裁判所に召喚される当事者は、特定の主題に関する最終報告書、作業文書、内部メモ、電子メールなどの文書の提出を要求される可能性があることを意味します。この主題は具体的に記述されている場合もそうでない場合もあります。したがって、活動によりこのような訴訟に巻き込まれるリスクがある当事者は、安全な保管を含め、このような情報の管理に十分な予防措置を講じる必要があります。具体的には、当事者は「訴訟保留」を開始できる必要があります。これは、関連情報がいかなる方法でも変更されないようにする技術的/組織的措置です。保管ポリシーは責任あるものである必要があります。特定の情報の削除は、これが一般的な情報管理ポリシーの一部である場合は許可されますが (「情報システムの日常的な誠実な運用」、規則 37 (f))、潜在的に関連のある情報を故意に破壊すると、非常に高額の罰金が科せられる可能性があります (ある特定のケースでは 16 億米ドル)。したがって、実際には、米国の裁判所で民事訴訟のリスクがある企業は、適切な情報管理ポリシーを実施し、訴訟保留を開始するために必要な措置を実施する必要があります。
• プライバシー
  • カリフォルニア州消費者プライバシー法 (CCPA)
  • カリフォルニア州プライバシー権利法 (CPRA)
  • グラム・リーチ・ブライリー法(GLBA)
  • 米国愛国者法、第3条
  • 医療保険の携行性と責任に関する法律(HIPAA) RM/RA の観点から見ると、この法律は特に管理の簡素化 (HIPAA のタイトル II) に関する規定で知られています。このタイトルでは、米国保健福祉省 (HHS) に特定の規則セットを起草することを義務付けており、各規則セットは医療システムの効率を改善し、乱用を防止する特定の基準を規定します。その結果、HHS はプライバシー ルール、トランザクションおよびコード セット ルール、一意の識別子ルール、施行ルール、セキュリティ ルールの 5 つの主要なルールを採用しました。セキュリティ ルールは、2003 年 2 月 20 日に連邦官報で公開され (http://www.cms.hhs.gov/SecurityStandard/Downloads/securityfinalrule.pdf Archived 2009-12-29 at the Wayback Machineを参照)、電子的に保護された医療情報の機密性を保証するための一連の管理、技術、および物理的なセキュリティ手順を規定しているため、特に関連性があります。これらの側面は、管理、物理、組織、および技術の保護に関する一連のセキュリティ標準でさらに概説されており、これらはすべて、HIPAA リスク管理およびリスク評価の基本に関するガイダンス ドキュメントとともに公開されています <http://www.cms.hhs.gov/EducationMaterials/04_SecurityMaterials.asp Archived 2010-01-23 at the Wayback Machine >。ヨーロッパやその他の国の医療サービス プロバイダーは、米国市場で活動していない限り、通常 HIPAA 義務の影響を受けません。ただし、データ処理活動は一般的なヨーロッパ法 (プライバシー指令を含む) の下で同様の義務の対象であり、電子医療ファイルに向けた近代化と進化の基本的な傾向は同じであるため、HHS の保護は、特に電子医療情報の処理に関して、ヨーロッパの医療サービス プロバイダーが導入した RM/RA 戦略を測定するための最初の基準として役立ちます。HIPAA セキュリティ標準には、次のものがあります。
    • 管理上の安全策:
      • セキュリティ管理プロセス
      • 割り当てられたセキュリティ責任
      • 労働力のセキュリティ
      • 情報アクセス管理
      • セキュリティ意識とトレーニング
      • セキュリティインシデント手順
      • 緊急時対応計画
      • 評価
      • ビジネスアソシエイト契約およびその他の取り決め
    • 物理的な安全対策
      • 施設アクセス制御
      • ワークステーションの使用
      • ワークステーションのセキュリティ
      • デバイスとメディアのコントロール
    • 技術的安全対策
      • アクセス制御
      • 監査管理
      • 誠実さ
      • 個人または団体の認証
      • 伝送セキュリティ
    • 組織の要件
      • ビジネスアソシエイト契約およびその他の取り決め
      • 団体健康保険の要件
  • 2000 年 7 月 21 日に米国商務省が発行した国際セーフ ハーバー プライバシー原則。EUのプライバシー規制の対象となるデータ管理者から米国を拠点とする宛先への個人データのエクスポート。EU のプライバシー規制の対象となる組織から米国法の対象となる宛先に個人データをエクスポートする前に、欧州の組織は、受信側の組織がさまざまな事故からデータを保護するための適切な保護手段を提供していることを確認する必要があります。この義務を遵守する方法の 1 つは、受信側の組織にセーフ ハーバーへの参加を義務付け、いわゆるセーフ ハーバー原則への準拠を自己証明させることです。この方法を選択した場合、データをエクスポートするデータ管理者は、米国の宛先がセーフ ハーバー リストに確実に含まれていることを確認する必要があります (セーフ ハーバー リストを参照)。
  • 米国国土安全保障省もプライバシー侵害のリスクを特定し軽減するための意思決定ツールとしてプライバシー影響評価（PIA）を活用している。 ^[29]
• サーベンス・オクスリー法
• 連邦情報局
• SECサイバーセキュリティリスク管理、戦略、ガバナンス、インシデント開示^[30]

法律が進化するにつれ、情報管理に「合理的なセキュリティ」 を求めることへの注目が高まっています。CCPA では、「接続デバイスの製造業者は、デバイスに合理的なセキュリティを装備しなければならない」と規定されています。^[31]ニューヨーク州の SHIELD 法では、ニューヨーク州住民の情報を管理する組織は、「データの廃棄を含むがこれに限定されない、個人情報のセキュリティ、機密性、完全性を保護するための合理的な保護手段を開発、実装、維持する」ことが義務付けられています。この概念は、コンプライアンス要件が進化するにつれて、企業がリスク管理計画を管理する方法に影響を与えるでしょう。

• 国際標準化団体:
  • 国際標準化機構– ISO
  • ペイメントカード業界セキュリティ基準協議会
  • 情報セキュリティフォーラム
  • オープングループ
• 米国の標準化団体:
  • アメリカ国立標準技術研究所– NIST
  • 連邦情報処理標準– 連邦政府および政府機関向けの NIST による FIPS
• 英国の標準化団体
  • 英国規格協会

このリストは主に以下のものに基づいています: ^[28]

• ISO/IEC 13335-1:2004 – 情報技術 - セキュリティ技術 - 情報通信技術のセキュリティ管理 - パート 1: 情報通信技術のセキュリティ管理の概念とモデル http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=39066。情報通信技術のセキュリティ管理の概念とモデルについて、一般的に受け入れられている説明を含む標準。この標準は、一般的に使用されている実践規範であり、セキュリティ管理の実践を実装するためのリソースとして、また、そのような実践を監査するための基準として機能します。(http://csrc.nist.gov/publications/secpubs/otherpubs/reviso-faq.pdf も参照してください。2010-12-06 にWayback Machineでアーカイブされています)
• ISO/IEC TR 15443-1:2005 – 情報技術 - セキュリティ技術 - IT セキュリティ保証のフレームワーク 参照:http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=39733 (注: これは、標準を取得できる ISO ページへの参照です。ただし、標準は無料ではなく、その規定は公開されていません。このため、特定の規定を引用することはできません)。トピック: セキュリティ保証 - 技術レポート (TR) には、セキュリティ サービス、製品、または環境要因を評価するための適切な保証方法を決定するために使用できる、一般に受け入れられているガイドラインが含まれています。
• ISO/IEC 15816:2002 – 情報技術 - セキュリティ技術 - アクセス制御のためのセキュリティ情報オブジェクト 参照:http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=29139 (注: これは、標準を取得できる ISO ページへの参照です。ただし、標準は無料ではなく、その規定は公開されていません。このため、特定の規定を引用することはできません)。トピック: セキュリティ管理 - アクセス制御。この標準により、セキュリティ専門家は SIO に関する特定の構文定義と説明のセットを利用できるため、他の標準化作業での重複や相違を回避できます。
• ISO/IEC TR 15947:2002 – 情報技術 - セキュリティ技術 - IT 侵入検知フレームワーク 参照:http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=29580 (注: これは、標準を取得できる ISO ページへの参照です。ただし、標準は無料ではなく、その規定は公開されていません。このため、特定の規定を引用することはできません)。トピック: セキュリティ管理 - IT システムへの侵入検知。この標準により、セキュリティ専門家は、IT システムへの潜在的な侵入に関するセキュリティ リスクを説明および評価するための特定の概念と方法論のセットを利用できます。この標準には、RM/RA 義務自体は含まれていませんが、影響を受ける分野での RM/RA 活動を促進するためのツールです。
• ISO/IEC 15408 -1/2/3:2005 – 情報技術 — セキ​​ュリティ技術 — IT セキュリティの評価基準 — パート 1: 概説および一般モデル (15408-1) パート 2: セキュリティ機能要件 (15408-2) パート 3: セキュリティ保証要件 (15408-3) 参照: http://isotc.iso.org/livelink/livelink/fetch/2000/2489/Ittf_Home/PubliclyAvailableStandards.htm トピック: IT 製品およびシステムのセキュリティ機能と、セキュリティ評価中に適用される保証手段に対する共通の要件セットを含む標準。 適用範囲: 公開されている ISO 標準で、任意で実装できます。 このテキストは、IT 製品およびシステムのセキュリティを評価するためのリソースであるため、RM/RA のツールとして使用できます。 この標準は、IT 製品およびシステムのセキュリティを評価するためのリソースとして一般的に使用されています。これには、そのような製品に関する調達の決定も含まれます (特にそうでない場合)。したがって、この規格は、IT 製品またはシステムの設計、製造、マーケティング中、または調達前に、そのセキュリティを判断するための RM/RA ツールとして使用できます。
• ISO/IEC 17799 :2005 – 情報技術 - セキュリティ技術 - 情報セキュリティ管理の実施基準。参照: http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=39612&ICS1=35&ICS2=40&ICS3= (注: これは、標準を取得できる ISO ページへの参照です。ただし、標準は無料ではなく、その規定は公開されていません。このため、特定の規定を引用することはできません)。トピック: 組織における情報セキュリティ管理 (事業継続管理を含む) の開始、実装、維持、および改善に関する、一般に受け入れられているガイドラインと一般原則を含む標準。この標準は、一般的に使用されている実施基準であり、情報セキュリティ管理の実施のリソースとして、また、そのような管理を監査するための基準として機能します。( ISO/IEC 17799も参照)
• ISO/IEC TR 15446:2004 – 情報技術 - セキュリティ技術 - 保護プロファイルおよびセキュリティ ターゲットの作成ガイド。参照: http://isotc.iso.org/livelink/livelink/fetch/2000/2489/Ittf_Home/PubliclyAvailableStandards.htm トピック: ISO/IEC 15408 (「共通基準」) に準拠することを目的とした保護プロファイル (PP) およびセキュリティ ターゲット (ST) の構築に関するガイドラインを含む技術レポート (TR)。この標準は、主にセキュリティ専門家が PP および ST を開発するためのツールとして使用されますが、それらの有効性を評価するためにも使用できます (TR を基準として使用して、その標準が遵守されているかどうかを判断します)。したがって、これは RM/RA プラクティスの作成と評価のための (拘束力のない) 規範ツールです。
• ISO/IEC 18028 :2006 – 情報技術 - セキュリティ技術 - IT ネットワーク セキュリティ リファレンス: http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=40008 (注: これは、標準を取得できる ISO ページへの参照です。ただし、標準は無料ではなく、その規定は公開されていません。このため、特定の規定を引用することはできません)。トピック: 情報技術ネットワークの管理、運用、および使用のセキュリティ面に関する一般に受け入れられているガイドラインを含む 5 部構成の標準 (ISO/IEC 18028-1 ～ 18028-5)。この標準は、ネットワーク セキュリティ リスクに特に焦点を当てた ISO/IEC 13335 および ISO/IEC 17799 で提供されるガイドラインの拡張と見なされています。この標準は、一般的に使用される実践規範であり、セキュリティ管理プラクティスの実装のリソースとして、またそのようなプラクティスを監査するための基準として機能します。
• ISO/IEC 27001 :2005 – 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件 参照: http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=42103 (注: これは、標準を取得できる ISO ページへの参照です。ただし、標準は無料ではなく、その規定は公開されていません。このため、特定の規定を引用することはできません)。 トピック: 任意の組織内で情報セキュリティ管理システムを実装するための一般に受け入れられているガイドラインを含む標準。 適用範囲: 公開されていない ISO 標準で、自主的に実装できます。法的拘束力はありませんが、テキストには、健全な情報セキュリティ慣行を作成するための直接的なガイドラインが含まれています。 この標準は、非常に一般的に使用されている実践規範であり、情報セキュリティ管理システムの実装のリソースとして、またそのようなシステムや周囲の慣行を監査するための基準として機能します。実際の適用では、ISO/IEC 27001:2005 で規定された要件をサポートするための追加ガイダンスを提供する BS 7799-3:2006 などの関連規格と組み合わせて使用​​されることがよくあります <http://www.bsiglobal.com/en/Shop/Publication-Detail/?pid=000000000030125022&recid=2491 ^{[ permanent dead link ]} >
• 情報セキュリティ管理システムの更新された標準であるISO/IEC 27001:2013 。
• ISO/IEC TR 18044:2004 – 情報技術 - セキュリティ技術 - 情報セキュリティ インシデント管理参照: http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=35396 (注: これは、標準を取得できる ISO ページへの参照です。ただし、標準は無料ではなく、その規定は公開されていません。このため、特定の規定を引用することはできません)。トピック: 組織における情報セキュリティ インシデント管理に関して一般に受け入れられているガイドラインと一般原則を含む技術レポート (TR)。適用範囲: 公開されていない ISO TR で、任意で使用できます。法的拘束力はありませんが、テキストにはインシデント管理に関する直接的なガイドラインが含まれています。この標準は、インシデント対応の分野における基本的な概念と考慮事項を紹介する高レベルのリソースです。そのため、この標準は、この点に関する意識向上活動のきっかけとして役立ちます。
• ISO/IEC 18045:2005 – 情報技術 - セキュリティ技術 - IT セキュリティ評価の方法論 参照: http://isotc.iso.org/livelink/livelink/fetch/2000/2489/Ittf_Home/PubliclyAvailableStandards.htm トピック: ISO/IEC 15408 (情報技術 - セキュリティ技術 - IT セキュリティの評価基準) への準拠を評価するための監査ガイドラインを含む標準 適用範囲 ISO/IEC 15408 (情報技術 - セキュリティ技術 - IT セキュリティの評価基準) への準拠を評価する際に従う、公開されている ISO 標準。 この標準は「補足文書」であるため、主に ISO/IEC 15408 (情報技術 - セキュリティ技術 - IT セキュリティの評価基準) への準拠の評価に携わるセキュリティ専門家が使用します。 ISO/IEC 15408 は、そのような監査人が実行すべき最小限のアクションを規定しているため、ISO/IEC 18045 を無視すると、ISO/IEC 15408 に準拠することは不可能です。
• ISO/TR 13569:2005 – 金融サービス – 情報セキュリティ ガイドライン リファレンス: http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=37245 (注: これは、標準を取得できる ISO ページへの参照です。ただし、標準は無料ではなく、その規定は公開されていません。このため、特定の規定を引用することはできません)。トピック: 金融サービス機関における情報セキュリティ ポリシーの実装と評価に関するガイドラインを含む標準。この標準は、よく参照されるガイドラインであり、金融​​セクターの機関における情報セキュリティ管理プログラムの実装のリソースとして、また、そのようなプログラムの監査の基準として機能します。(http://csrc.nist.gov/publications/secpubs/otherpubs/reviso-faq.pdf も参照してください。2010-12-06 にWayback Machineでアーカイブされています)
• ISO/IEC 21827:2008 – 情報技術 - セキュリティ技術 - システム セキュリティ エンジニアリング - 能力成熟度モデル (SSE-CMM): ISO/IEC 21827:2008 は、システム セキュリティ エンジニアリング - 能力成熟度モデル (SSE-CMM) を規定しています。これは、優れたセキュリティ エンジニアリングを実現するために存在する必要がある組織のセキュリティ エンジニアリング プロセスの重要な特性を説明しています。ISO/IEC 21827:2008 は、特定のプロセスやシーケンスを規定するものではなく、業界で一般的に見られるプラクティスをまとめたものです。このモデルは、セキュリティ エンジニアリング プラクティスの標準メトリックです。

• BS 25999 -1:2006 – ビジネス継続性管理 パート 1: 実施基準 注: これは BS 25999 のパート 1 に過ぎず、2006 年 11 月に発行されました。パート 2 (認定の可能性を視野に入れた、より具体的な基準を含むはず) はまだ公開されていません。参照: http://www.bsi-global.com/en/Shop/Publication-Detail/?pid=000000000030157563 Archived 2009-08-27 at the Wayback Machine。トピック: ビジネス継続性実施基準を含む標準。この標準は、ビジネス継続性管理の実施基準として意図されており、標準への準拠に対する認定を許可する第 2 部によって拡張される予定です。この規格は比較的新しいため、その潜在的な影響を評価することは困難ですが、この点に関して普遍的に適用可能な規格が一般的に存在せず、規制イニシアチブにおいて事業継続性と緊急時対応計画への注目が高まっていることを考えると、この規格が RM/RA の実践に非常に大きな影響を及ぼす可能性があります。この規格の適用は、他の規範、特に PAS 77:2006 – IT サービス継続性管理実務規範 <http://www.bsi-global.com/en/Shop/Publication-Detail/?pid=000000000030141858> によって補完できます。^{[ permanent dead link ]} TR を使用すると、セキュリティ専門家はセキュリティ サービス、製品、または環境要因 (成果物) を評価するための適切な方法を決定できます。この TR に従うと、成果物がどのレベルのセキュリティ保証を満たすことを意図しているか、また、このしきい値が成果物によって実際に満たされているかどうかを判断できます。
• BS 7799 -3:2006 – 情報セキュリティ管理システム - 情報セキュリティリスク管理のガイドライン 参照: http://www.bsi-global.com/en/Shop/Publication-Detail/?pid=000000000030125022&recid=2491 ^{[ permanent dead link ]} (注: これは、標準を取得できる BSI ページへの参照です。ただし、標準は無料ではなく、その規定は公開されていません。このため、特定の規定を引用することはできません)。トピック: 情報セキュリティリスク管理の一般的なガイドラインを含む標準。適用範囲: 公開されていない BSI 標準で、任意で実装できます。法的拘束力はありませんが、テキストには、健全な情報セキュリティ慣行を作成するための直接的なガイドラインが含まれています。この標準は、主に前述の ISO 27001:2005 の適用に対するガイドとなる補足文書として意図されているため、リスク評価の慣行では、通常、この標準と併せて適用されます。

• 情報セキュリティに関する適正実施基準

• Internet2 情報セキュリティ ガイド: 高等教育のための効果的な実践とソリューション 2010-06-12 にWayback Machineでアーカイブ
• リスク管理 - リスク管理の原則とインベントリ / リスク評価方法とツール 2010-11-13 にWayback Machineでアーカイブ、公開日: 2006 年 6 月 1 日 著者: ENISA 技術部門リスク管理セクションが実施
• Clusif Club de la Sécurité de l'Information Français
• 800-30 NIST リスク管理ガイド
• 800-39 NIST ドラフト 情報システムからのリスク管理: 組織的観点
• FIPS出版物199、連邦情報および情報のセキュリティ分類の標準
• FIPS 出版物 200 連邦情報および情報システムに対する最低限のセキュリティ要件
• 800-37 連邦情報システムへのリスク管理フレームワークの適用に関する NIST ガイド: セキュリティ ライフサイクル アプローチ
• FISMApediaは、米国連邦政府のITセキュリティに焦点を当てた文書と議論のコレクションです。
• 注意義務リスク分析基準 (DoCRA)