なぜ「リスクアセスメント」が必要なのか
本コラムは、経済産業省・IPAが策定した
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
について、その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。
前回は「資産管理」を取り上げ、
自社が何を持っているのかを把握する重要性を整理しました。
大分類：リスクの特定 ／ 中分類：リスクアセスメント（3-2）
リスクアセスメントとは何か
（SCS評価制度の要求）
SCSが求めていること
SCS評価制度では、次のように定められています。
脆弱性の管理体制及び管理プロセスを定め、それに基づく管理を行うこと。
この要求事項には、
- 脆弱性や脅威に関する情報収集
- リスクの評価と優先順位付け
- 対応判断と実施
- 記録と点検
が含まれています。
リスクアセスメントは調査作業ではなく、
被害を受けにくい状態を維持するための活動です。
前回の資産管理では、
「何を守るか」を把握しました。
今回のリスクアセスメントでは、
「何によって被害を受けるのか」
を見極めることが求められます。
なぜリスクアセスメントが必要か
（孫子における考え方）
孫子は戦いにおいて、
相手と自分の状況を理解することが勝敗を左右すると考えました。
知彼知己，百戰不殆
―『孫子兵法・謀攻篇』
（彼を知り己を知れば百戦殆うからず）
サイバーセキュリティに置き換えると、
- 彼 ＝ 脅威や攻撃者
- 己 ＝ 自社の資産や脆弱性
となります。
どちらか一方だけを見ても、
適切な判断はできません。
リスクアセスメントとは、
脅威と自社の状況を同時に理解する活動です。
孫子の文脈
「知彼知己」が示しているのは、
情報収集の重要性だけではありません。
重要なのは、
- 何が脅威なのかを知ること
- 自らの弱点を知ること
- 両者を比較して判断すること
です。
敵だけを見ても意味はありません。
自軍だけを見ても意味はありません。
両方を理解して初めて、
勝敗を判断できます。
孫子が伝えたいのは、
状況認識なしに、正しい戦略は存在しない
ということです。
ビジネスの文脈
企業経営でも同じです。
新しい脆弱性が公開されたとしても、
- 自社がその製品を利用していない
- 影響するシステムを持っていない
のであれば、
優先度は低いかもしれません。
逆に、
影響範囲が限定的な脆弱性でも、
- 重要システムに存在する
- 事業継続へ影響する
のであれば、
優先的な対応が必要です。
SCS評価制度がリスクアセスメントを求めるのは、
脅威情報と自社状況を結び付けて判断するためです。
脅威を知る
評価基準では、
脆弱性や脅威に関する情報収集が求められています。
例えば、
- 新たに発見された脆弱性
- 流行している攻撃手法
- 自社が利用している製品への注意喚起
などを継続的に把握することが必要です。
状況を把握できなければ、
適切な判断も対策もできません。
己を知る
脅威を知るだけでは、
リスクアセスメントは成立しません。
重要なのは、
- どの資産が存在するのか
- どのシステムが重要なのか
- どこに脆弱性が存在するのか
を把握することです。
前回の資産管理では、
守る対象を明確にしました。
リスクアセスメントでは、
その資産に対する弱点を把握します。
脅威だけを知っても、
自社への影響は判断できません。
自社の状況を理解して初めて、
リスクを評価できます。
判断基準と優先順位
収集した情報すべてに、
同じ優先度で対応するわけではありません。
限られた人員や予算の中では、
- 影響はどの程度か
- 発生可能性はどの程度か
- どの資産に影響するのか
を考慮する必要があります。
例えば、
- 事業継続に影響する脆弱性
- 顧客情報の漏えいにつながるリスク
- インターネットから直接到達できる弱点
は優先的に対応すべき対象です。
重要なリスクから対応することで、
限られた資源を最適に活用できます。
脆弱性の把握と継続的な見直し
リスクは一度評価して終わるものではありません。
脆弱性は新たに発見されます。
攻撃手法も変化します。
利用しているシステムも変化します。
そのため、
- 情報収集
- リスク評価
- 対策実施
- 結果確認
を継続的に実施する必要があります。
SCS評価制度が対応履歴の記録や点検を求めているのも、
このためです。
リスクアセスメントとは、
一度行う分析ではなく、
継続的に状況を確認する活動です。
SCS評価制度が求める本当の到達点
SCS評価制度は、
- 脅威情報を収集すること
- 脆弱性情報を収集すること
- 対応要否を判断すること
- 対応履歴を記録すること
- 対応漏れを点検すること
を求めています。
しかしその本質は、
「何が危険なのかを見極め、限られた資源をどこへ投入するかを判断すること」
です。
すべてのリスクへ同じように対応することはできません。
だからこそ、
- 彼を知る
- 己を知る
- 優先順位を付ける
というプロセスが重要になります。
まとめ
リスクアセスメントとは、
- 脅威を調べる作業でもなく
- 脆弱性を確認する作業だけでもなく
- 形式的なチェックでもありません
組織が被害を受けにくい状態を維持するための戦略的な活動です。
前回の資産管理によって、
「何を守るのか」が見えました。
次に必要になるのは、
何によって被害を受ける可能性があるのかを把握し、
優先順位を付けて備えることです。
知彼知己，百戰不殆
（脅威と自社を理解して初めて、適切な判断ができる）
敵を知り、己を知る。
それがリスクアセスメントの出発点である。
チェック：リスクアセスメントは機能しているか
以下はチェックシートです。
すべてに☑が付く状態が望ましい状態です。
- ☑ 脅威や脆弱性の情報を継続的に収集しているか
- ☑ 自社資産に存在する弱点を把握できているか
- ☑ リスクの大きさを評価する基準を定めているか
- ☑ 優先順位に基づいて対応を実施しているか
- ☑ 対応履歴を記録し、対応漏れを確認しているか
- ☑ リスク評価結果を定期的に見直しているか
もしこれらに一つでも☑を付けられない場合、
リスクを適切に評価できていない可能性があります。
脅威情報を持っていても、
自社への影響が分からなければ判断はできません。
逆に、
資産を把握していても、
脅威を知らなければ優先順位は付けられません。
リスクアセスメントとは、
両者を結び付けるための活動です。
今からできるアクション
☑が付かなかった項目がある場合は、以下から始めましょう。
- 脆弱性情報の収集元を一覧化する
- 管理している資産と脅威情報を紐付ける
- リスク評価基準（優先順位付けルール）を文書化する
- 対応履歴を記録する運用を整備する
- 月次または四半期ごとに評価結果を見直す
リスクアセスメントの目的は、
脅威情報を集めることではありません。
重要なのは、
何が危険なのかを理解し、
限られた資源をどこへ投入するべきかを判断することです。
まずは、
「どの脅威が、自社のどの資産に影響するのか」
を整理することから始めましょう。
次回は「アイデンティティ管理・認証・アクセス制御」を取り上げ、
誰にアクセスを許可するのかを管理する重要性を整理します。
参考
- 銀雀山漢墓竹簡 – 中國哲學書電子化計劃
（『孫子兵法・上編［謀攻］』「知彼知己，百戰不殆」） - サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | IPA
- サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | 経済産業省
