ITリスク管理

ITリスク管理とは、 ITリスクを管理するために情報技術にリスク管理手法を適用することである。ITリスクを管理するにはさまざまな方法論があり、それぞれに特定のプロセスとステップが含まれる。^[1]

ITリスク管理システム（ITRMS）は、より広範なエンタープライズリスクマネジメント（ERM）システムの構成要素です。 ^[2] ITRMSは、より広範な情報セキュリティ管理システム（ISMS）にも統合されています。ISMSの継続的な更新とメンテナンスは、情報セキュリティリスクを特定、評価、管理するための組織の体系的なアプローチの一部です。^[3]

ISACAの2006年公認情報システム監査人レビューマニュアルでは、リスク管理を次のように定義しています。「リスク管理とは、組織がビジネス目標を達成するために使用する情報リソースに対する脆弱性と脅威を特定し、組織にとっての情報リソースの価値に基づいて、リスクを許容レベルまで低減するためにどのような対策を講じるかを決定するプロセスです。」^[4]

NISTによれば、「リスク管理により、IT管理者はITシステムとデータを保護することで、保護対策の運用コストと経済コストをミッション目標とバランスさせることができます。」^[5]

アメリカ国立情報保証訓練教育センターは、 IT分野におけるリスク管理を次のように定義しています。^[6]

1. 不確実なイベントの影響を識別、制御、および最小限に抑える全体的なプロセス。リスク管理プログラムの目的は、リスクを軽減し、DAA 承認を取得して維持することです。このプロセスにより、システムのライフ サイクル全体を通じて、各管理レベルによるセキュリティ リスクの管理が容易になります。承認プロセスは、リスク分析、認証、および承認の 3 つの要素で構成されます。
2. 不確実な事象の特定、測定、制御、最小化に関わる経営科学の要素。効果的なリスク管理プログラムには、次の 4 つのフェーズが含まれます。
   1. 脅威と脆弱性の評価から導き出されるリスク評価。
   2. 経営上の決定。
   3. 制御の実装。
   4. 有効性のレビュー。
3. AIS リソースに影響を及ぼす不確実なイベントを識別、測定、および最小化する全体的なプロセス。これには、リスク分析、費用便益分析、保護手段の選択、セキュリティ テストと評価、保護手段の実装、およびシステム レビューが含まれます。
4. システム リソースに影響を及ぼす可能性のある不確実なイベントを識別、制御、および排除または最小限に抑える全体的なプロセス。これには、リスク分析、費用便益分析、選択、実装とテスト、保護手段のセキュリティ評価、および全体的なセキュリティ レビューが含まれます。

具体的な方法はさまざまですが、リスク管理プロセスには通常、コンテキストの確立、リスク評価の実施、リスクの管理が含まれます。ISO /IEC 27005、BS 7799、NIST SP 800-39、Risk ITなどの標準のリスク管理方法論では、これらのプロセスに対する構造化されたアプローチが強調されています。^[1]次の表は、主要なフレームワーク間の主要なプロセスを比較したものです。

ISO/IEC 27005フレームワークの最初のステップは、コンテキストの確立です。このステップでは、組織に関する関連情報を収集し、リスク管理活動の基準、範囲、境界を定義します。これには、法的要件の遵守、デューデリジェンスの実施、情報セキュリティ管理システム(ISMS) の確立のサポートが含まれます。範囲には、インシデント報告計画、事業継続計画、製品認証などが含まれます。

主な基準には、リスク評価、リスク受容、影響評価などがあり、以下の要素によって影響を受けます。^[7]

• 法律および規制の要件
• ビジネスにおける情報プロセスの戦略的価値
• ステークホルダーの期待
• 組織の評判に悪影響を与える

組織の使命、価値観、構造、戦略、場所、文化的環境を確立することは、リスク管理プロセスの指針となる予算、文化、政治、技術などの制約を文書化することとともに重要です。

IT リスク管理の重要な要素であるリスク評価は、特定の時点 (例: 毎年またはオンデマンド) で実行され、評価されたリスクのスナップショットを提供します。これは、セキュリティ対策の分析、計画、実装、制御、監視を含む継続的なリスク管理の基盤となります。

リスク評価は反復的であり、主要なリスクを特定するための高レベルの評価から始まり、その後の反復でより詳細な分析が行われます。通常は次の手順が含まれます。^[6]

1. リスクの特定 -資産、脅威、脆弱性、ビジネス プロセスなどの潜在的な損失源を認識します。
2. リスク推定 – 特定されたリスクの可能性と影響を評価します。多くの場合、定量的または定性的な方法を使用します。
3. リスク評価 - リスク レベルを事前に定義された受け入れ基準と比較し、処理するリスクに優先順位を付けます。

ISO 27005フレームワークでは、プロセスを次の段階に分割しています。^[7]

このプロセスでは、組織に影響を及ぼす可能性のある資産（主要資産と補助資産の両方）、脅威、脆弱性を特定します。さらに、ビジネスプロセスと既存または計画中のセキュリティ対策を特定します。このステップの結果は、資産とビジネスプロセスに関連するリスク、脅威、潜在的な結果のリストです。^[7]

リスク推定では、特定されたリスクの発生可能性と結果を評価します。一般的な 2 つのアプローチは次のとおりです。

• 定量的リスク評価 -単一損失予想値(SLE) や年間損失予想値(ALE)などのセキュリティ メトリックに基づく数学的計算。
• 定性的なリスク評価 – インタビューや専門家の判断などの記述的な方法。より速く、データ集約的ではないが、精度は低い。^[8]

どちらの方法でも、資産ごとにリスク値が計算され、出力はリスク レジスタに記録されます。

このステップでは、リスク分析の結果を組織のリスク受け入れ基準と比較します。リスク リストに優先順位が付けられ、リスク処理に関する推奨事項が作成されます。軽減するにはコストがかかりすぎるリスクは、受け入れるか、譲渡される可能性があります (保険などを通じて)。

リスク軽減には、リスク評価中に推奨されたリスク軽減策の優先順位付けと実装が含まれます。すべてのリスクを排除することは現実的ではないため、組織は最も費用対効果の高い制御を適用して、他の業務への影響を最小限に抑えながら、リスクを許容レベルまで軽減する必要があります。

一般的に次のような戦略が検討される: ^[5]

• リスクの想定 – 潜在的なリスクを受け入れ、業務を継続します。
• リスク回避 - リスクが発生しやすい活動を回避することでリスクを排除します。
• リスクの制限 - リスクの影響を最小限に抑えるための制御を実装します。
• リスクの移転 - 保険の購入など、他のオプションを使用してリスクを移転します。

処理後に残る残留リスクは、十分な保護を確保するために推定され、必要に応じてさらなる対策が講じられる場合があります。

リスクコミュニケーションは、すべての利害関係者の間でリスクの共通理解を確実にする継続的で双方向のプロセスです。効果的なコミュニケーションは意思決定に影響を与え、組織全体でリスク認識の文化を促進します。これを実現する方法の1つは、リスク、対策、および残存リスクをわかりやすい方法で提示する リスク削減概要法^[9]です。

リスク管理は継続的なプロセスであり、ビジネス環境、脅威、脆弱性が変化しても、実装されたセキュリティ対策が効果的であることを確認するために定期的な監視とレビューが必要です。定期的なセキュリティ監査とレビューは、セキュリティ制御を検証し、残存リスクを評価するために不可欠です。^[1]

ゼロデイ攻撃などの新たな脆弱性は、継続的な監視、パッチ管理、および制御の更新を通じて対処する必要があります。ベストプラクティスをベンチマークし、専門的な開発活動に取り組むことは、最先端のリスク管理プラクティスを維持するために重要です。

セキュリティ対策の有効性を確保するには、技術システムと手続き上の制御の両方を含む制御を継続的にテストし、検証する必要があります。侵入テストと脆弱性評価は、セキュリティ制御の有効性を検証するための一般的な方法です。大幅な変更があった場合は、定期的なシステムの見直しと再承認が必要です。^[5]

リスク管理は、ITシステムのライフサイクル全体にわたってリスクに対処するために、システム開発ライフサイクル（SDLC）にも統合する必要があります。SDLCの各フェーズは、初期計画からシステム廃棄まで、特定のリスク管理活動から恩恵を受けます。^[10]

効果的なリスク管理は、システム開発ライフサイクル（SDLC）に完全に統合されています。SDLCには通常、開始、開発または取得、実装、運用または保守、廃棄の5つのフェーズが含まれます。リスク管理活動はこれらのフェーズを通じて一貫しており、各段階で潜在的なリスクが特定、評価、軽減されることを保証します。^[11]

セキュリティをSDLCに組み込むことは、システムのライフサイクルの後半でコストのかかる脆弱性が出現するのを防ぐために不可欠です。開始および開発フェーズでセキュリティ対策を早期に統合すると、セキュリティの脆弱性を軽減するためのコストを大幅に削減できます。また、確立されたセキュリティ戦略とツールを再利用できるため、セキュリティとコスト効率が向上します。^[12]

SDLC には、次のセキュリティ上の考慮事項が統合されています。

• 情報システムのセキュリティ要件: セキュリティのニーズは、システムの設計に最初から組み込まれています。
• アプリケーションでの正しい処理: エラーを防ぎ、データの整合性を確保します。
• 暗号化制御: 不正アクセスを防ぐために、保存時と転送時の両方でデータが暗号化されていることを確認します。
• システム ファイルのセキュリティ: システム ファイルのバージョン管理、アクセス制限、徹底的なテストを実装します。
• 技術的な脆弱性管理: 脆弱性を監視し、タイムリーにパッチを適用して、新たな脅威から保護します。

これらのプラクティスを組み込むことで、組織は IT システムが最初から安全であることを保証し、システムのライフサイクルの後半で脆弱性やコストのかかるセキュリティ インシデントが発生する可能性を減らすことができます。

リスク管理という手法は、特に資産価値や脅威の可能性と影響を評価する際に主観的であるという批判を受けてきました。よく使用される確率モデルは、複雑なリスクを単純化しすぎる可能性があります。こうした批判にもかかわらず、リスク管理は IT リスクを管理するための不可欠なツールであり続けています。^[1]

ITリスク管理プロセスにはさまざまな方法があります。最も広く使用されている方法には次のようなものがあります。^[1]

• CRAMM – 英国政府によって開発され、ISO/IEC 17799およびその他の標準に準拠しています。
• EBIOS – フランス政府によって開発され、主要なセキュリティ標準に準拠しています。
• 情報リスクの要因分析(FAIR) – IT リスク要因を定義および分析するための厳密なアプローチ。
• Octave –カーネギーメロン大学によって開発され、リスクベースのセキュリティ評価に広く使用されています。

ISO/IEC 27000 シリーズやNIST SP 800-30 など、さまざまな標準が IT リスク管理のガイダンスを提供しています。

• 情報セキュリティ管理
• 国際標準化機構（ISO）27001
• 脆弱性評価（コンピューティング）
• 侵入テスト
• 脅威
• 脆弱性（コンピューティング）

ウィキメディア・コモンズには、 IT リスク管理に関連するメディアがあります。