ITリスク評価：ビジネス保護のための戦略、フレームワーク、ベストプラクティス

TrustwaveのMichael Aminzade氏

サイバー犯罪者からの完璧な保護はほぼ不可能ですが、体系的なITリスク評価が組織に攻撃に対する最良の防御を与えます。

脅威ランドスケープが常に変動する中、固有の課題に取り組むリスク管理レビューの優先順位付けが不可欠です。

「最大のリスクが特定されれば、固有ニーズに対応する最適なセキュリティレベルの実装を開始できます」と、Trustwaveのグローバルコンプライアンス&リスクサービス担当バイスプレジデント、Michael Aminzade氏は述べます。

包括的な情報セキュリティリスク評価を実行することで、最もクリティカルなギャップが明らかになり、標的を絞った緩和計画の策定が可能になります。開始前に、ビジネス目標を理解し、潜在的脅威を特定し、侵害可能性を評価し、損失影響を定量化する必要があります。シニアマネジメント、IT管理者、ステークホルダーを詳細インタビューでエンゲージし、組織のあらゆる側面をセキュリティギャップの観点から評価します。

古典的なCIA三要素—機密性、完全性、可用性—がサイバーセキュリティ評価の基礎ガイドとなります。3つのバランスを取るのは困難です；可用性を過度に重視すれば機密性と完全性が損なわれ、機密性や完全性に過度に焦点を当てれば可用性が損なわれます。

評価完了後、どのセキュリティコントロールがビジネスリスクを最もよく緩和するかを決定します。これらコントロールは通常、テクノロジー、ポリシー、プロセス、手順をブレンドします。

リスク評価フレームワーク

セキュリティリスク評価実施時、いくつかの確立されたフレームワークから選択できます。最も広く採用されている5つは、ISO 27000xシリーズ、OCTAVE、COBIT、NIST 800-53、NISTサイバーセキュリティフレームワーク（CSF）です。米国商務省機関のNISTが無料ガイダンス文書を提供し、CSFを世界中の企業、教育機関、政府機関の推奨選択にしています。

CSFはフレームワークプロファイル、フレームワークコア、実装ティアの3コンポーネントで構成されます。その柔軟性により、ISO標準など他のリスク管理プロセスと並行運用可能で、米国外の組織にも関連性があります。

NIST 800-53は米国連邦情報処理標準（FIPS）準拠をサポートし、CSFより前から存在します。コントロール有効性の証拠、リスク管理品質への洞察、情報システムの強み弱みに関する情報を提供します。

ベストプラクティス

サイバー犯罪が商業化する中、多くの組織がコンプライアンスを超え、包括的なリスク緩和とデータ保護戦略へ移行しています。現代のリスク評価手法は、サードパーティベンダーの内部システムアクセスを含むサプライチェーン全体をカバーします。

BYODトレンドが堅牢なエンドポイントセキュリティと、エンドポイントが組織リスクプロファイルにどう影響するかの深い理解の必要性を高めています。この追加複雑性を鑑み、マネージドセキュリティサービスプロバイダー（MSSP）との提携が貴重になります。彼らの深い専門知識が拡大するネットワークランドスケープの確保を支援します。

リスク評価モデル開発にはシニアマネジメントの賛同が必要です。経営陣は固有リスクを受容するか、組織の許容レベルにリスク態勢を整合させる修復計画にコミットするかのいずれかです。理想的にはCISOまたはCIOが評価スケジュール、調査結果、修復計画を監督し、経営チームへ定期的に報告すべきです。しかし全従業員が組織セキュリティの責任を分担します。

トレーニングは、悪意あるメールの発見方法と疑わしいインシデント報告手順をカバーすべきです。完璧なセキュリティは達成不能ですが、目標は自社ビジネスに最適なセキュリティレベルを達成することです。

リスクフレームワーク確立とITリスク評価実施で、組織に適切なセキュリティレベルを特定できます。弱点が特定されれば修復可能で、ビジネスを守れます。

リスク評価とセキュリティ成熟度評価を組み合わせることで、組織は戦略的投資ロードマップを構築し、ステークホルダーへROIを示せます。

本ブログの著者は、Trustwaveのグローバルコンプライアンス&リスクサービス担当バイスプレジデント、Michael Aminzade氏です