リスク評価という言葉が難しく聞こえる理由
健康診断結果表には「健康です」ではなく、数値と等級が書かれています。リスク評価も同じです。NIST SP 800-30 と ISO 27005 がリスクをどうやって数字に変えるのかを解きほぐします。RMF・NIS2 シリーズ第2回。
健康診断を受けると、数日後に一枚の紙が届きます。そこに「あなたは健康です」とは書かれていません。代わりに数字がずらりと並んでいます。空腹時血糖がいくつ、コレステロールがいくつ。その横に 正常 · 要注意 · 異常 といった等級が付きます。
最初はもどかしく感じます。自分が病気なのかそうでないのかを知りたいのに、紙は数字しか出してこないからです。ところが、この紙は「健康です」という一言よりもはるかに役に立ちます。数字は 去年のものと比べられ、等級は どこから手をつけるかを決めてくれる からです。
リスク評価という言葉が難しく聞こえる理由は、まさにこれです。私たちはセキュリティを「安全だ / 危険だ」の二つのマスで考えるのに、リスク評価は診断結果表のように数値と等級で語ります。
二つのマスではなく格子
事実 NIST SP 800-30 は米国の標準化機関が作ったリスク評価方法論です。核心は一行に縮められます。発生可能性と影響度を掛け合わせて リスクを定量化します。定量化という言葉は難しく聞こえますが、数字と等級で格付けする という意味です。
可能性は「このことが実際に起きる確率はどれくらいか」です。影響度は「起きたらどれくらい痛いか」です。診断結果表でいえば、可能性は年齢・家族歴といった条件であり、影響度はその数値が悪化したときに身体に起きることです。
事実 縦横それぞれ 五段階 です。非常に低い · 低い · 中程度 · 高い · 非常に高い。縦が発生可能性、横が影響度で、二つの軸が交わるマスがリスク等級 です。NIST SP 800-30 附属書の Table I-2 がこの表であり、SecurityHero RMF はこれをそのまま使います。
マスを一つずつ確かめていくと見えてくるものがあります。右上の隅だけが赤いのです。 可能性がどれほど高くても影響度が低ければ左側の緑に留まり、影響度がどれほど大きくても可能性が低ければ下側の緑に留まります。両方が高くて初めて赤くなります。
頻繁に起きるが大したことではないものと、ほとんど起きないが起きたら会社が揺らぐものは、互いに違うマスに座ります。二つのマスの発想では、この違いが見えません。
なぜ他人が作った基準表を使うのか
事実 ISO 27005 は国際標準化機構が作った情報セキュリティリスクマネジメント標準です。RMF は NIST SP 800-30 と ISO 27005 の二つの方法論を併用します。
診断結果表を思い浮かべれば理由は明らかです。病院ごとに自分の基準で「要注意」を付けたら、その紙はその病院の中でしか通じません。基準表が共通のものであってこそ、他の病院でも、保険会社でも読まれます。
事実 第1回で見たとおり、NIS2 第21条はリスク管理措置を文書として残し、監査で立証するよう求めています。その文書を読む人は自社の人間ではありません。EU 顧客のセキュリティ担当者、審査員、監督当局 です。
| 健康診断結果表 | リスク評価レポート |
|---|---|
| 血圧・血糖の数値 | 点検項目ごとの検出事項 |
| 正常 · 要注意 · 異常 | リスク等級 |
| 年齢 · 家族歴 | 発生可能性 |
| 悪化したときに起きること | 影響度 |
| どの病院でも同じ基準表 | NIST SP 800-30 · ISO 27005 |
では RMF は何をするのか
事実 SecurityHero RMF は Prowler で AWS 資産・IAM・ネットワークを点検した結果に EPSS と NIST SP 800-30 / ISO 27005 の方法論を組み合わせてリスク等級を定量化します。EPSS は その脆弱性が実際に悪用される可能性 を点数で格付けする指標です。上の表の縦軸、つまり「発生可能性」を勘で埋めるのではなくデータで埋める場所に入ります。
EPSS の話は 次回 できちんと扱います。直すべきものが数千個あるとき、何から手をつけるかという問題です。
推定 実務でリスク評価が負担に感じられる理由は、方法論が難しいからではないと見ています。格子を埋めるデータを人が手作業で集めなければならないから です。診断結果表も血を抜かなければ出てきません。採血が自動なら、残る仕事は結果を読むことだけです。
押さえておきたいこと
- この記事は法律助言ではありません。 自社が NIS2 の適用対象なのか、どの程度のリスク等級なら監督当局が十分と見なすのかは、ここでは答えられません。法律専門家が判断することです。
- 上の表は尺度にすぎず、算定手続き全体ではありません。 何を可能性と見なし、何を影響度と見なすかを決める過程は、NIST SP 800-30 と ISO 27005 の文書そのものを見る必要があります。
- RMF レポートは認証書ではありません。 提出と審査に使う 根拠資料 です。認証書の発行、インシデント報告（NIS2 第23条など）、法的代理は含みません。
シリーズ目次
- EU に物を売るのになぜセキュリティ書類を出さなければならないのか
- リスク評価という言葉が難しく聞こえる理由 ← 今の記事
- 直すものが3千個あるが何から手をつけるか
- 何もインストールせずにどうやって点検するのか
- 「データが国境を越えません」とはどういう意味か
- 書類一つで複数の国に対応する