情報セキュリティ管理

このページでは、リスクアセスメントとリスク対応の4つの方法、ISO/IEC 15408とISMS（27001・27002）、CSIRT・CVE・CVSSなどの機関と基準がわかります。

• 一言で言うと：
  • セキュリティ対策を「なんでも全部」ではなく、リスクの大きさに合わせて、メリハリをつけて管理する話
  • リスクを見つけて評価し（リスクアセスメント）、4つのやり方で対応する（リスク対応）。あわせて、製品と組織のセキュリティを評価する国際規格と、関係する機関・評価基準が出てくる

リスクを見つけて測る（リスクアセスメント）→ リスクに手を打つ（リスク対応）→ ものさしをそろえる（ISO/IEC 15408、ISMS）→ 関係する機関と基準

覚え方の軸

• リスクマネジメントは「見つける → 測る → 決める → 手を打つ」
  • リスクアセスメントは、リスク特定（見つける）→ リスク分析（測る）→ リスク評価（対応するか決める）の3つ
  • そのあと、リスク対応（手を打つ）
• リスク対応の4つは「やめる・減らす・人に任せる・受け入れる」
  • 回避（やめる）、低減（減らす）、移転（保険や外注で任せる）、保有（そのまま受け入れる）
  • 移転と保有は、お金で備えるので「リスクファイナンス」
• 評価の規格は「製品か、組織か」で分ける
  • 製品のセキュリティはISO/IEC 15408（CC、EAL1〜EAL7）
  • 組織の運用体制はISMS（27001が認証の基準、27002が管理策のガイドライン）
• 脆弱性の「C」で始まる略語は、何に番号や点数を付けるかで分ける
  • CVEは、1つ1つの脆弱性に番号を付ける
  • CWEは、脆弱性の種類（タイプ）に番号を付ける
  • CVSSは、脆弱性の深刻度に点数を付ける
  • CCEは、セキュリティ設定項目に番号を付ける
• インシデント対応の組織は「誰のために動くか」で分ける
  • CSIRTは、組織のインシデントに対応する
  • PSIRTは、自社の製品・サービスのインシデントに対応する
  • JPCERT/CCは、日本の窓口のCSIRT

リスクマネジメント：リスクを見つけ、測り、手を打つ（★）

• リスクマネジメントが大事な理由：
  • 脅威に対策がないと、情報セキュリティのリスクが顕在化する
  • リスクの危険度は、リスクごとに違う
  • 危険度の高いリスクには重点的に経営資源を入れ、低いリスクにはあまり入れないなど、メリハリのある投資をすると、効率よくセキュリティを管理できる
  • つまり、脅威の大きさや被害の規模を考えたうえでのリスクマネジメントが重要
  • 例えば、家の防犯で、玄関には頑丈な鍵を付けるが、物置には簡単な鍵で済ませる
• リスクマネジメント：
  • JIS Q 31000:2019（リスクマネジメント－指針）での定義
  • 「リスクについて、組織を指揮統制するための調整された活動」

① リスクアセスメント

• リスクアセスメント：
  • JIS Q 31000:2019では、次の3つを網羅するプロセス全体を、リスクアセスメントとしている

プロセス	何をするか	例え（台風への備え）
リスク特定	資産や組織の資源の性質及び価値、結果及び結果が目的に与える影響などを考えて、組織の目的の達成を妨害する、または助ける可能性のあるリスクを発見し、認識する	「窓ガラスが割れるかも」「停電するかも」と書き出す
リスク分析	必要に応じてリスクのレベルを含め、リスクの性質及び特徴を理解する	「窓が割れる確率は？被害額は？」を見積もる
リスク評価	リスク分析の結果と、確立されたリスク基準とを比較して、各リスクに対応が必要かどうかを決める	「窓は補強する」「物置は様子を見る」と決める

• リスクアセスメントの順番：
  • 特定 → 分析 → 評価（「とく・ぶん・ひょう」）
  • リスク対応は、リスクアセスメントの後（アセスメントには含まれない。ひっかけ注意）

リスク分析とリスク評価

• リスク分析の目的：
  • 組織が持つ情報資産の価値、脅威、脆弱性をはっきりさせ、情報資産のリスクを明らかにする
  • そのうえで、それが起きたときの損失程度、損失額、業務への影響がどのくらいかを見極め、リスクによる損失を最小に抑える
• リスク：
  • その組織が持つ目的に対する不確かさの影響と読み替えられる
  • だから、リスク分析で、その起こりやすさや、それが導く結果などを検討する
• リスクレベル：
  • JIS Q 27000:2019での定義
  • 「結果とその起こりやすさの組合せとして表現される、リスクの大きさ」
  • 試験で問われるので覚えておく
• 純粋リスク：
  • 単にデメリットしか生まないリスク
  • 例えば、火災や盗難
• 投機リスク：
  • そのリスクが利益を生む可能性に隣り合うリスク
  • 例えば、新規事業への投資や為替の変動（損も得もありうる）
• リスク分析の対象：
  • 識別されたあらゆるリスクが対象
  • だから、純粋リスクだけでなく、投機リスクも分析する必要がある
• リスク評価でやること：
  • どのリスクが目的の達成を最も危うくするかを明らかにする
  • 複数のリスクに、どう優先順位をつけて対応すれば、目的達成の可能性を最も高められるかを明らかにする
  • 例えば、あるリスクについて、対応をするかどうか、するならどんな対応策があるか、既存の管理策を維持すればよいかを検討する

リスク値の算定方法

方法	やり方
定量的評価	「予想損失額 × 発生確率」をリスク評価額として、リスク値を計算する
定性的評価	数量で評価するのではなく、情報資産の価値、脅威、脆弱性の相対的評価値（例えば、高・中・低）を使って、リスク値を計算する

• 例題（定量的評価）：
  • リスクAは、起きたときの予想損失額が5,000万円で、発生確率が年0.01（1％）
  • リスクBは、予想損失額が200万円で、発生確率が年0.5（50％）
  • どちらのリスク値が大きいか
• 例題の答え：
  • リスクAは、5,000万円 × 0.01 ＝ 50万円
  • リスクBは、200万円 × 0.5 ＝ 100万円
  • リスク値はリスクBのほうが大きい。損失額が大きいAのほうが危なそうに見えるが、起こりやすさも掛けると逆になる
  • 検算：50万円 ÷ 0.01 ＝ 5,000万円、100万円 ÷ 0.5 ＝ 200万円で、元の損失額に戻る

② リスク対応

• リスク対応：
  • リスク評価の結果、明らかになったリスクに対して、どのような対応をとるべきかをはっきりさせるプロセス
• リスク対応策の選び方：
  • 目的の達成に関して得られる便益と、実施の費用、労力、または不利益との均衡をとりながら選ぶ
• 選択肢がない場合：
  • 使えるリスク対応の選択肢がない場合や、リスク対応でリスクが十分に変わらない場合は、そのリスクを記録し、継続的なレビューを行うことが大事

対応策	中身	例
リスク回避	リスク因子を排除する措置をとる。リスク因子を持つことで得られる利益よりリスクのほうが大きすぎる場合などに使う	Webサイトの運営でホームページ改ざんのリスクがあるなら、Webサイトの運用をやめる
リスク低減（リスク軽減）	被害の発生を予防する措置をとったり、リスクが顕在化しても被害を最小化する措置をとったりする。一般にセキュリティ対策と呼ばれる行為が当てはまる	バックアップの取得、アクセスコントロールの実施
リスク移転（リスク転嫁）	業務運営上のリスクを他社に転嫁する	リスクに保険をかける、リスク因子の業務をアウトソーシングする
リスク保有（リスク受容）	リスクをそのままにする（意思決定の基にリスクを保有する）。リスク発生時の損失は、自社の財務能力内で対処する	リスクが受容水準内、軽微なリスクで対応コストのほうが損失コストより大きい、リスクが大きすぎてどうしようもない（戦争など）

• リスク低減の方法：
  • 損失予防は、予防保守などで、損失が起きないようにする
  • 損失軽減は、バックアップの取得などで、損失を小さくする
  • リスク分散は、情報資産を分散させる
  • リスク集約は、脆弱性をDMZに集中させるなどして、1か所にまとめて守る
• リスクファイナンス：
  • リスク移転とリスク保有は、資金を手当てすることで対処するので、リスクファイナンスと分類されることもある
• リスク対応の例え（自転車通学の事故リスク）：
  • 回避は、自転車通学をやめて歩く
  • 低減は、ヘルメットをかぶり、ライトを付ける
  • 移転は、自転車保険に入る
  • 保有は、少しの擦り傷くらいなら、そのまま受け入れる
• プロジェクトマネジメントとの違い（ひっかけ注意）：
  • プロジェクトマネジメントのリスク対応では、マイナスのリスクに「回避・転嫁・軽減・受容」、プラスのリスク（好機）に「活用・共有・強化・受容」を使う
  • 情報セキュリティでは「回避・低減・移転・保有」と呼ぶことが多い。中身は対応している（転嫁＝移転、軽減＝低減、受容＝保有）

セキュリティ評価の標準化：製品と組織のものさし（★）

① ISO/IEC 15408：製品のセキュリティを評価する

• ISO/IEC 15408：
  • 情報システムを作る機器（製品）が、どれだけのセキュリティを実装しているかを示すための国際基準
• PP（セキュリティ要求仕様書）：
  • 同じカテゴリの製品の共通仕様
  • 認証を受けるベンダが作る
• ST（セキュリティ基本設計書）：
  • 個別製品の仕様
  • 認証を受けるベンダが作る
• EAL（評価保証レベル）：
  • PPとSTに対して与えられる評価で、EAL1〜EAL7がある
  • ユーザは、この評価を購入時の指標にできる
• EAL7と現実の製品：
  • EAL7が最も強固なセキュリティを保証する
  • でも、コストも高くなるので、普及製品ではここまで実装しないことがほとんど
  • 民間向けの現実的な最高レベルはEAL4
• CC（Common Criteria：情報セキュリティ国際評価基準）：
  • 欧米諸国が主体になって作ったCCが、ほぼそのままの形で国際標準化されてISO/IEC 15408になった
  • 国内ではJIS X 5070として翻訳された
  • そのため、ISO/IEC 15408をCC（コモンクライテリア）と呼ぶこともある
• PPとSTの見分け方：
  • PPは「こういう種類の製品なら、これを満たすべき」という共通の要求（Protection Profile）
  • STは「この製品は、こう作った」という個別の設計（Security Target）
  • 例えば、PPは「チャイルドシートの安全基準」、STは「A社のこの型のチャイルドシートの仕様書」

② ISMSの規格：組織の運用体制を評価する

• ISMS（Information Security Management System：情報セキュリティマネジメントシステム）：
  • 組織体の情報セキュリティ管理の水準を高め、維持し、改善していく仕組み
  • ISO/IEC 15408が製品のセキュリティを決めるのに対して、組織のセキュリティ運用体制を決めるのがISMSの規格群

区分	国際規格	JIS	概要
ガイドライン	ISO/IEC 27002	JIS Q 27002	実践規範をまとめたもの。いろいろな管理策が書かれている
認証基準	ISO/IEC 27001	JIS Q 27001	その管理策を適切に運用していることを認証するための規格

• ガイドライン：
  • 組織の情報セキュリティ管理の仕組みは「こうあるべき」というベストプラクティスが書かれた文書
  • これを雛形にして、各組織はそれぞれの事情に合わせたマネジメントシステムを作れる
• ベストプラクティス：
  • 最も優れた事例
• 認証基準：
  • 組織が作った情報セキュリティマネジメントシステムの実効性や、他の各規程などとの整合性を審査するもの
• ISMS適合性評価制度：
  • 組織のISMSが、適切に組織内に整備され運用されていることを、ISMS認証基準（JIS Q 27001）への適合性という観点から評価し、その結果に基づいて認証を与える国内の制度
• 27001と27002の覚え方：
  • 末尾が「1」は、1番大事な認証の基準（審査で使う「要求事項」）
  • 末尾が「2」は、その管理策の解説書（ガイドライン）
• 注意（新しい情報）：
  • ISO/IEC 27001と27002は2022年に改訂され、日本でもJIS Q 27001:2023とJIS Q 27002:2024が発行された
  • 管理策は93個に整理され、「組織的、人的、物理的、技術的」の4つのテーマに分けられている
  • 試験では、「27001は認証基準、27002はガイドライン（管理策）」の関係を押さえておけばよい

情報セキュリティ機関及び評価基準など

① インシデント対応の組織・評価モデル

名前	中身
CSIRT	コンピュータセキュリティインシデントの対応を専門に行う組織、またはその対応体制の総称
JPCERT/CC	JPCERTコーディネーションセンター。日本の窓口CSIRT。インシデントの報告の受付、トリアージ（優先順位付け）、解決に向けた活動（状況の把握、分析、対応）のほか、再発防止策の検討や助言をしている。組織内CSIRTの構築を支援するCSIRTマテリアルも作っている
PSIRT	自社の製品・サービスに対するインシデントへの対応を目的とする組織
SIM3	自組織のCSIRTの成熟度を、「組織、人材、ツール、プロセス」の4つのカテゴリ（44の測定項目）で評価し、改善に生かすための評価モデル
J-CRAT	標的型サイバー攻撃の被害低減と、攻撃連鎖の遮断（拡大防止）を目的に、IPAが設置した組織（サイバーレスキュー隊）

• CSIRTの例え：
  • 会社の中の「消防団」。火事（インシデント）が起きたら駆けつけて対応する
• CSIRTとPSIRTの違い：
  • CSIRTは、自分の組織のシステムで起きたインシデントに対応する
  • PSIRTは、自社が売っている製品・サービスの脆弱性などに対応する（PはProduct）
• トリアージ：
  • 対応の優先順位付け
  • もとは、災害現場で、けがの重さによって治療の順番を決めること

② 脆弱性の情報や評価の基準

名前	中身
JVN	ソフトウェアなどの脆弱性関連情報や対策情報を提供するポータルサイト
CVE	ソフトウェアの既知の脆弱性を一意に識別するために使う、個々の脆弱性ごとに採番された共通脆弱性識別子（CVE識別番号：CVE-ID）。JVNなどの脆弱性対策情報ポータルサイトで採用されている
CWE	ソフトウェアのセキュリティ上の脆弱性の種類（脆弱性タイプ）を識別するための共通脆弱性タイプ一覧。SQLインジェクション、クロスサイトスクリプティング、バッファオーバーフローなどを脆弱性タイプとして分類し、CWE識別子（CWE-ID）を付けて階層構造で体系化している
CVSS	共通脆弱性評価システム。情報システムの脆弱性の深刻度を評価する、オープンで特定のベンダに依存しない汎用的な評価手法及び指標
CCE	コンピュータのベースラインのセキュリティを確保するために必要な設定項目の一覧（共通セキュリティ設定一覧）。設定項目ごとにCCE識別番号（CCE-ID）が付けられ、どんな値を設定すべきかや、技術的なチェック方法などが書かれている

• CVSSの評価基準：
  • 現バージョン（v4.0）は、「基本評価基準、脅威評価基準、環境評価基準、補足評価基準」の4つ
  • 前のバージョン（v3.1まで）は、「基本評価基準、現状評価基準、環境評価基準」の3つ
• 注意（バージョンの違い）：
  • 「評価基準は3つ」と書いてある資料もあるが、v4.0は2023年に公開された最新版で、評価基準は4つ。3つなのはv4.0より前（v3.1まで）
  • 試験では、v3の「基本・現状・環境」が問われることもあるので、両方押さえておく
• CVE・CWE・CVSS・CCEの例え（病院）：
  • CVEは、患者一人ひとりのカルテ番号
  • CWEは、「風邪」「骨折」などの病名の分類
  • CVSSは、重症度（軽症・中等症・重症）
  • CCEは、健康診断のチェック項目

③ 暗号やクラウドの評価制度

名前	中身
CRYPTREC	電子政府推奨暗号の安全性を評価・監視し、暗号技術の適切な実装法及び運用法を調査・検討するプロジェクト。総務省及び経済産業省が共同で運営する暗号技術検討会などでできている
ISMAP	政府情報システムのためのセキュリティ評価制度。政府が求めるセキュリティ要求を満たしているクラウドサービスを、あらかじめ評価、登録して、政府のクラウドサービス調達でのセキュリティ水準を確保する

• CRYPTREC暗号リスト：
  • CRYPTRECの活動を通して作られた暗号技術のリスト
  • 次の3つでできている
• 電子政府推奨暗号リスト：
  • 利用を推奨するもの
• 推奨候補暗号リスト：
  • 今後、電子政府推奨暗号リストに載る可能性のあるもの
• 運用監視暗号リスト：
  • 互換性維持以外の目的での利用は推奨しないもの
• ISMAPの例え：
  • 役所が使ってよいクラウドの「認定店リスト」。リストに載っている店から選べば、毎回細かく調べなくて済む

混同しやすいペア

• リスクマネジメント ／ リスクアセスメント
  • リスクマネジメントは、リスクについて組織を指揮統制するための調整された活動（全体）
  • リスクアセスメントは、そのうちリスク特定・リスク分析・リスク評価のプロセス全体
• リスク特定 ／ リスク分析 ／ リスク評価
  • リスク特定は、リスクを発見し、認識する
  • リスク分析は、リスクの性質や特徴、レベルを理解する
  • リスク評価は、リスク基準と比べて、対応が必要かどうかを決める
• リスク評価 ／ リスク対応
  • リスク評価は、対応の要否や優先順位を決める（リスクアセスメントの一部）
  • リスク対応は、実際にどう対処するかをはっきりさせる（リスクアセスメントの後）
• 純粋リスク ／ 投機リスク
  • 純粋リスクは、デメリットしか生まない
  • 投機リスクは、利益を生む可能性もある
• 定量的評価 ／ 定性的評価
  • 定量的評価は、予想損失額 × 発生確率で、金額で計算する
  • 定性的評価は、資産価値・脅威・脆弱性の相対的な評価値（高・中・低など）で計算する
• リスク回避 ／ リスク低減
  • リスク回避は、リスク因子そのものをなくす（Webサイトの運用をやめる）
  • リスク低減は、予防や被害の最小化をする（バックアップ、アクセスコントロール）
• リスク移転 ／ リスク保有
  • リスク移転は、保険やアウトソーシングで他社に転嫁する
  • リスク保有は、そのまま受け入れ、損失は自社の財務能力内で対処する
• 損失予防 ／ 損失軽減
  • 損失予防は、予防保守などで損失が起きないようにする
  • 損失軽減は、バックアップなどで損失を小さくする
• リスク分散 ／ リスク集約
  • リスク分散は、情報資産を分散させる
  • リスク集約は、脆弱性をDMZなどに集中させて守る
• ISO/IEC 15408 ／ ISMS（ISO/IEC 27001）
  • ISO/IEC 15408は、製品（機器）のセキュリティを評価する（EAL1〜EAL7）
  • ISMSは、組織のセキュリティ運用体制を評価する
• PP ／ ST
  • PPは、同じカテゴリの製品の共通のセキュリティ要求仕様書
  • STは、個別製品のセキュリティ基本設計書
• EAL1 ／ EAL7
  • EAL1は、最も低い保証レベル
  • EAL7は、最も強固な保証レベル（民間向けの現実的な最高はEAL4）
• ISO/IEC 15408 ／ CC ／ JIS X 5070
  • CCは、欧米諸国が作った評価基準
  • ISO/IEC 15408は、CCを国際標準化したもの
  • JIS X 5070は、その日本語訳
• JIS Q 27001 ／ JIS Q 27002
  • JIS Q 27001は、認証基準（ISMS適合性評価制度で使う）
  • JIS Q 27002は、ガイドライン（実践規範、管理策）
• JIS Q 27000 ／ JIS Q 31000
  • JIS Q 27000は、ISMSの用語を決めたもの（情報セキュリティ、リスクレベルなどの定義）
  • JIS Q 31000は、リスクマネジメントの指針
• CSIRT ／ PSIRT
  • CSIRTは、組織のコンピュータセキュリティインシデントに対応する
  • PSIRTは、自社の製品・サービスのインシデントに対応する
• JPCERT/CC ／ J-CRAT
  • JPCERT/CCは、日本の窓口CSIRT。報告の受付、トリアージ、助言などをする
  • J-CRATは、IPAが設置した、標的型サイバー攻撃に対応するサイバーレスキュー隊
• SIM3 ／ CMMI
  • SIM3は、CSIRTの成熟度を4つのカテゴリ（44の測定項目）で評価する
  • CMMIは、ソフトウェア開発組織のプロセスの成熟度を5段階で評価する
• JVN ／ CVE
  • JVNは、脆弱性情報を提供するポータルサイト
  • CVEは、個々の脆弱性に付ける識別番号（JVNなどで採用）
• CVE ／ CWE
  • CVEは、個々の脆弱性に付ける番号
  • CWEは、脆弱性の種類（タイプ）に付ける番号
• CVSS ／ CVE
  • CVSSは、脆弱性の深刻度を評価する
  • CVEは、脆弱性を識別する番号
• CVSS v3（3つ） ／ CVSS v4.0（4つ）
  • v3は、基本評価基準、現状評価基準、環境評価基準
  • v4.0は、基本評価基準、脅威評価基準、環境評価基準、補足評価基準
• CCE ／ CWE
  • CCEは、セキュリティ設定項目の一覧
  • CWEは、脆弱性の種類の一覧
• CRYPTREC ／ ISMAP
  • CRYPTRECは、電子政府推奨暗号を評価・監視する（総務省と経済産業省）
  • ISMAPは、政府が使うクラウドサービスを評価・登録する
• 電子政府推奨暗号リスト ／ 推奨候補暗号リスト ／ 運用監視暗号リスト
  • 電子政府推奨暗号リストは、利用を推奨する
  • 推奨候補暗号リストは、今後推奨リストに載る可能性がある
  • 運用監視暗号リストは、互換性維持以外の目的での利用は推奨しない

---

← 08 セキュリティの目次に戻る