★ 本記事のテーマ
CIAのリスクアセスメントの点数付けを細かくして運用するより、
リスクを本当に除去・回避する活動に集中しませんか？。
- ① CIAとは
- ② CIAの細かい点数付けの良さと課題点
- ③ 【提言】CIAリスクアセスメントの評価は2段階がよい
① CIAとは
CIAは情報セキュリティで最も大事な概念で、最初に覚える用語ですよね！
CIAとは
- C（Confidentiality）＝機密性
情報が漏れたらどれだけ影響があるか - I（Integrity）＝完全性
改ざんされたらどれだけ影響があるか - A（Availability）＝可用性
利用できなくなったらどれだけ影響があるか
情報セキュリティの【基本のキ】ですね。
CIAの影響度合いを点数付け
CIAが重要な理由は
- リスクアセスメントの項目
- 情報セキュリティ計画や目標
- 内部監査、外部審査での評価対象
- マネジメントレビューでのフォロー対象
- 事業継続計画を考える上での重要な変数
- 情報資産台帳での個々の資産のCIA評価に必須
など、CIAが出てくる場面がたくさんあります。
② CIAの細かい点数付けの良さと課題点
あなたの組織でのCIA評価はどうなっていますか？
3段階、5段階評価が一般的
おそらく、3段階または5段階が一般的です。
★5段階の場合
| 影響度 | 内容 |
| 1 | 影響ほぼなし |
| 2 | 小さい影響 |
| 3 | 中程度の影響 |
| 4 | 大きな影響 |
| 5 | 重大な影響 (業務停止レベル) |
★3段階の場合
| 影響度 | 内容 |
| 1 | 影響ほぼなし |
| 2 | 中程度の影響 |
| 3 | 重大な影響 (業務停止レベル) |
よくあるパターンですよね！
リスク値の評価方法
説明できる理由でれば、
どの計算式でリスク値を求めてもOK
よくあるのが、
●5段階の場合は リスク値の値域：1～125(=\(5^3\))
●3段階の場合は リスク値の値域：1～275(=\(3^3\))
となります。
リスクのしきい値でリスク評価
計算したリスク値から
しきい値を設定して
リスクの高低を決めます。
例えば５段階の場合
●リスク値が80以上なら「高」
●リスク値が20～79までなら「中」
●リスク値が19以下なら「低」
とし
「高」「中」についてリスク管理を実施していく。
とよく考えますよね。
3段階、5段階評価の良さ
段階数がある程度あると、
- 細分され、柔軟な評価ができ、多くの人から賛同が得られやすい
- 事業特性に反映した評価ができる
- リスク分布が滑らかで、分析しやすい
などが挙げられますが、
「安心感」ではないでしょうか。
3段階、5段階評価の課題
一方、課題や問題点もあります。
- 区分が多いと評価基準が複雑になる
- 評価・分析に手間・時間がかかる
- 点数の値の吟味や、項目の洗い出しなどで意見一致が大変
などが挙げられますが、
手間がかかりすぎて、手段が目的化しがちになる。
CIAによるリスク評価の目的は、
あいまいにリスク高いものを、
それなりのリスクに低減しても
リスクが残っている以上、リスクであり、
リスク対処したとは言えません。
③ 【提言】CIAリスクアセスメントの評価は2段階がよい
本記事で、はっきり言います。
そしてリスク対応は「リスクを無くす」ことだけに集中するはどうか？
ちょっと大胆であり、組織のメンバーやISMS審査官からクレームがあるかもしれません。
2段階評価でもそれなりに手間
CIA リスク値=1～8で評価
リスク対応は「リスクをなくす」施策とし、すべてとりかかる！
として、実際組織のリスクアセスメントシートを作ってみました。
3段階の1～27に比べ
はリスク値の値域は大幅に狭くなる！
でも
それなりに手間がかかるし、
2段階くらいにしておかないと
組織のISMSは機能していないのではないか？
と思ってしまう。。。
ISMSの運用ははっきり言って、「大変！」です。
2段階評価で作ったリスクアセスメント表
リスクアセスメント表の例を挙げてみます。
上図の例では、
- C,I,Aはそれぞれ2段階で評価した
- リスク評価は「高」(4点以上)、「低」(4点未満)の2段階とした
- リスク対応は容易ではないが、リスク「高」⇒「低」に下がるまで行動を実施する
- 2段階でリスクアセスメントは楽にならず、手間がかかる
- 2段階は「有無」の決着がはっきりつくのでわかりやすい
リスク評価値は
●1×1×1=1 (リスク低)
●1×1×2=2 (リスク低)
●1×2×2=4 (リスク高)
●2×2×2=8 (リスク高)
の５つしかないため、リスク評価も「高」「低」の２段階で十分となります。
実際に作ってわかりました。
2段階評価ではデメリットを突く意見もある
2段階は「シンプル」で「はっきり」する良さもありますが、
●中程度のリスク評価が欲しい！
●監査で雑な区分と指摘される！
●段階的な改善が見れるにしてほしい！
などの反論も受けやすいです。
リスク評価と行動を経験した上で、評価段階数を決めよう
CIAの評価数の決め方に賛否両論がありますが、決める道しるべは、
ではなく
●実際にリスク評価とリスク行動と除去した経験を得た上で、
あなたの組織に合う評価数を決めてください。
今回は、「2段階」の良さを提言しました。
まとめ
以上、「【提言】CIAリスクアセスメントの評価は2段階がよい」を解説しました。
- ① CIAとは
- ② CIAの細かい点数付けの良さと課題点
- ③ 【提言】CIAリスクアセスメントの評価は2段階がよい