資産ベースのリスク分析とは、リスクアセスメントの手法の一つで、保護すべき資産を明確にして、システムの各資産の重要性、想定される脅威、脆弱性の3つの相乗値によって、資産のリスクの評価を実施します。本記事は、IPA(情報処理推進機構)の「制御システムのセキュリティリスク分析ガイド」(以下、分析ガイド)をベースに解説します。セキュリティリスク分析の全体の流れは以下になります。資産ベースのリスク分析の手順を説明します。資産とは、サーバやPCなどの情報系資産、回線やネットワーク機器などのネットワーク資産の他、制御系資産を指します。資産の重要度とは、サイバー攻撃を受けることによって想定される事業被害、システム資産としての価値を考慮して、その資産をどの程度のセキュリティ強度で守る必要があるかを示す指標です。分析ガイドでは、各機器の種類により重要度が3段階で提示されています。対策候補の洗い出しシステムに対する脅威と対策候補を洗い出します。以下に具体例を挙げます。脅威レベルは、システムに対する脅威の発生可能性を評価した値です。ネットワーク経由での不正アクセスについては、分析ガイドで以下のような判断基準が示されています。前段階で列挙した対策候補一覧について、実施済みかどうかをチェックします。その際に、対策が導入されていても、それが有効な状態でない場合は、未実施として扱います。ウィルス対策ソフトがインストールされていても、定義ファイルが最新でない場合は、未実施として扱います。脆弱性レベルとは、情報システムに対して発生した脅威の許容値を3段階で評価した値で、想定する脅威(攻撃手法)が発生した場合に、攻撃が成功する可能性を表します。脆弱レベルは、対策レベルの逆数として表すこともできます。対策レベルとは、情報システムに対して発生した脅威に対するセキュリティ対策状況の有効性を3段階で評価した値です。対策レベルが3ならば脆弱性レベルは1、逆に対策レベルが1ならば脆弱性レベルは3と考えることができます。対策が取られているリスク値の算定リスク値は、資産の重要度、脅威レベル、脆弱性レベルから総合的に算出し、A(リスクが非常に高い)からE(リスクが非常に低い)の5段階で表します。リスク値A~Cの算定基準は以下になります。理数の散策路.ホーム検索トップサイドバータイトルとURLをコピーしました。