情報セキュリティの全体像および3大要素

1.情報セキュリティ対策の全体像

情報処理安全確保支援士試験では、脅威を理解するだけではなく、その対策が重要である。古い文献ではあるが、以下が整理されたセキュリティ対策の全体像だと思う。
（旧リンク）http://www.ipa.go.jp/files/000014987.gif
以下に引用してみた。

１．人的組織的	セキュリティ全般	・情報セキュリティポリシー（リスク分析・セキュリティ基本方針・対策基準・実施手順） ・対策ベンチマーク ・情報セキュリティマネジメントシステム（ISMS）の導入 ・情報漏洩防止強化対策 ・セキュリティ診断 ・侵入テスト ・監査（内部・外部） ・教育
２．技術的	(1)ネットワーク・セキュリティ	・侵入検知システム（IDS）/侵入防止システム（IPS） ・通信暗号化（IPSec、IP－VPN） ・DoS/DDoS対応（フィルタリング） ・ファイアウォール（パケット、フィルタリング） ・デジタル署名 ・アクセス制御 ・デバイス認証 ・WLAN（認証・暗号化） ・Fake AP
	(2)クライアント・セキュリティ	・セキュリティ・パッチ ・フィッシング対応 ・URLフィルタリング ・個人認証 ・パーソナルファイアウォール ・ウイルス駆除 ・ファイル暗号化 ・スパイウェア/アドウェア対応 ・SPAMメール対応 ・PC認証 ・メディア管理 ・プリンタ制限 ・検疫ネットワーク ・シン・クライアント化 ・シン・クライアントの導入
	(3)サーバー・セキュリティ	・ユーザ認証 ・アクセス制御 ・権限管理 ・バックアップ ・負荷分散 ・セキュリティ・パッチ（適用・逐次更新）・セキュアーなWeb開発 ・ログ管理 ・メール・MSGスキャン ・DoS/DDoS対応（NDS、パケット制限） ・Trusted OS/Secure OS ・ウイルス駆除 ・改竄検知・防止 ・DBVS暗号化
３．物理的環境的	セキュアな環境・施設・オフィス	・セキュア・ソーニング ・セキュア・オフィス・施設・設備・什器（入退出管理、監視カメラ、バイオメトリクス認証、盗難・紛失防止備品）

2.情報セキュリティの3大要素

情報処理安全確保支援士試験を受ける際の基本中の基本と言える問題から。

問題
情報セキュリティの3大要素を、それぞれ「〇〇性」で答えよ

３大要素ですか・・・
東野圭吾さんの「歪笑小説 (集英社文庫)」にあった、「編集者は必要なのは三つのG」「ゴルフ、銀座、ゴマすり」みたいなものですよね。

さて、「3大要素」とあるが、セキュリティの目的と考えればいいだろう。試験センターのシラバスには、情報セキュリティの目的と考え方が掲載されている。

情報セキュリティの目的と考え方
情報の機密性（Confidentiality），完全性（Integrity），可用性（Availability）を確保，維持することによりさまざまな脅威から情報システム及び情報を保護し，情報システムの信頼性を高めることを理解する。 （試験センターの応用情報シラバスより引用）

「機密性」「完全性」「可用性」は情報セキュリティの3大要素とも言われ、情報セキュリティの目的は、この3つを守ることと考えてよいだろう。

(1)機密性（Confidentiality）

データを暗号化するなどして、第三者に盗まれたり盗聴されたりしないようにすること。情報処理安全確保支援士試験では最も大事な要素である。対策例としては暗号以外に認証やアクセス権などがある。詳しくは各節で解説する。

(2)完全性（Integrity）

データの改ざんなく正確な状態に保つこと。過去問では、「完全性を脅かす攻撃」の例として、「Webページの改ざん（H21AP秋午前40）」と述べられている。

過去問をみてみよう。

過去問（H16秋SU午前問31）
インテグリティを脅かす攻撃はどれか。 　ア　Webページの改ざん 　イ　システム停止をねらうDoS攻撃 　ウ　システム内に保管されているデータの不正取得 　エ　通信内容の盗聴

↓
↓
↓
↓
↓
インテグリティ（完全性）とは、データが変更されることなく完全な状態であると考えればよい。なので、データが改ざんされていない、と考える。
正解は以下。
・アが完全性・・・正解
・イが可用性
・ウ、エが機密性

(3)可用性（Availability）

サービス妨害攻撃などに対処し、利用したいときに使用できる状態になっていること。
以下の問題を見てみよう。

過去問（H21IP秋午前問81）
システムのアクセスに使用している通信ケーブルを誤って切断した。このとき，情報セキュリティのマネジメント要素のうち,どれが低下したことになるか。

↓
↓
↓
↓
↓
通信ケーブルを切断すると、システムが使えなくなる。このことを、情報セキュリティの3大要素の一つ「○○性」で答える。
ちなみに、H17年春IP問39では、可用性について、「ITサービスにおいて,合意したサービス時間中に実際にサービスをどれくらい利用できるかを表す用語」と述べられている。

さて、この問題の正解は、機密性、完全性、可用性である。


▼機密性、完全性、可用性の図

3.拡張要素

「機密性」「完全性」「可用性」に加え、以下の4つも理解しておきましょう。ただ、情報処理安全確保支援士試験にはほとんど出ません。さらりと確認するレベルでいいでしょう。

(1)信頼性（Reliability）

　セキュリティの要素というよりは、やや一般的な内容です。たとえば、セキュリティのシステムが正しく動作していなければ、不審者を侵入させてしまったり、認証を間違えたりしてしまいます。セキュリティのシステムそのものが信頼性できる状態である必要があります。

(2)責任追跡性（Accountability）

ユーザがシステムにアクセスした記録を追跡できるようにすること。Accountabilityの関連語でAccountingという言葉をよく耳にすると思う。Accountingという言葉は、ITの世界では「課金」を意味する。課金をするには、「誰が」「いつ」「どのシステム」にアクセスしたかを正確に記録しておく必要がある。

(3)真正性（Authenticity）

ちょっと待ってください。
おはずかしい質問でごめんなさい。
真正性の読み方を教えてください。
「しんしょうせい」ですか？

おしい！
「しんせいせい」と読む。
言葉の意味は、authentication（認証）という単語の意味を含んでいることからも分かるように、間違いなく本人であることを保証（認証）すること。

以下の問題を見てみよう。真正性（Authenticity）の問題である。

過去問（H19SU午後1問1より抜粋）
次は，VPN方式の選定に関するO君とS君の会話である。 O君：基本的なことですが，これらのVPNを用いる意義は何ですか。例えば，AESといった共通鍵暗号化方式で暗号化したファイルを転送すれば，VPNは必要ないと思います。 S君：そうとは言い切れないよ。ファイル転送の際，暗号化によって盗聴は防げるが，暗号化だけでは，[　ア　]や[　イ　]の脅威を防ぐことはできない。 設問2　本文中の[　ア　]，[　イ　]に入れる適切な字句を,それぞれ15字以内で答えよ。 　ただし，[　ア　]には真正性について，[　イ　]にはデータの完全性について答えよ。

↓
↓
↓
↓
↓
さて、この問題の正解は以下。内容が本質的に合っていれば、表現が違っていても正解になるだろう。
ア　意図しない相手との通信
イ　データの破壊

(4)否認防止性（Non Repudiation）

「やっていません」と否認する人に対し，証拠を見せます。過去問（H28春AP午前問39）では、「否認防止の特性」に関して「ある利用者がシステムを利用したという事実を証明可能にする」と述べられています。

どうやって証拠を見せるのですか？

単純な例として、認証およびその記録を取ることです。深夜のサーバ室に誰が侵入して盗難を働いたとします。IDパスワード認証や生体認証での入室の記録があれば、その本人が間違いないく侵入したという証拠になります。結果として、やっていないという否認を防止します。

さてここで、以下の情報処理安全確保支援士試験の過去問の空欄を考えましょう。

過去問（H20SV午後2問2より抜粋）
問　以下のb，cに当てはまる字句を答えよ IDは英語でidentifier (識別子)というくらいだから利用者の識別が主な目的ではあるが，もう一つ大事な目的として[　b　]制御がある。つまり，どの利用者に,どのリソースに対して，どのようなアクセスを許可するのかということだ。個別に利用者IDを割り当てないと，権限の管理が適切に行えないおそれがある。また，最近は内部統制の観点から[　c　]性という要素も重視されるようになってきている。

↓
↓
↓
↓
↓
今回は、責任追跡性に関する内容です。。
穴埋めの正解は以下である。
b　許可
c　責任追跡


▼否認防止性、責任追跡性、真正性の図

4.セキュリティとそのリスク、対策

問
情報セキュリティの3大要素とそのリスクの例、対策の例を述べよ。

H23年秋FE午後問3に、その一例が述べられている。情報処理安全確保支援士試験では対策が重要になってくるので、参考にしていただきたい。

「完全性」に対する脅威として、「ウイルス感染」「不正アクセス」「なりすまし」があります。でもこれって、完全性に限ったものではないですね。
たとえば、ウイルス感染によって、データが漏えいする、つまり機密性が脅かされる場合があります。「不正アクセス」によって、サーバがダウンさせられたら、可用性が脅かされますよね。

その通り。あくまでも一例として考えてもらえばよい。考えることで、頭が整理されるからね。
以下も本当に一例である。

キーワード	リスクの例	対策の例
機密性	データの盗聴	・暗号化
完全性	データの改ざん	・メッセージダイジェストの照合 ・（改ざんするには侵入する必要があるので）認証やUTMの導入
可用性	DoS攻撃 ランサムウェア感染	・DDoS対策（装置、クラウドサービス） ・ウイルス対策ソフトの導入 ・バックアップ
真正性	なりすまし	証明書による認証
責任追跡性	誰がやったかわからない	ログの取得
否認防止性	「やっていない」と否認する	デジタル署名

セキュリティ対策はいいんですけど、なんかもったいないですね。
セキュリティ対策をしても、売上が上がるわけでもなく、単純にコストがかかるだけ。とてもバカらしいですね。

言われる通りの面があって、警察庁：「不正アクセス行為対策等実体調査（平成22年2月）」によると、「情報セキュリティ対策実施上の問題点に関する企業意識」として、「費用対効果が見えない 59.6%」「コストがかかりすぎる 56.9%」が上位2つの回答になっている。
しかし、安全はタダではない。同じことは平和にもいえると思うから、セキュリティに限らず同じかと思う。加治隆介の議３（講談社文庫）では倉地氏が「平和はタダでは得られない多大なコストがかかるもんだ」と述べられている。

警察でもっと取り締まってくれないかな。

最近は海外からの攻撃もあるから、警察ですべてを取り締まることは不可能である。警察の方に聞いたうろ覚えであるが、サイバー犯罪の相談件数は年8万件あるが、検挙できるのは7000件くらいだそうだ。これが現実であろう。
だから、自分たちの身は自分たちで守らなくてはいけない。また、いくら取り締まりを強化しても、攻撃されたり情報漏えいした後につかまえても、すでに危害が加わった後である。

5.Top 4 security controls

情報処理安全確保支援士試験とは直接関係がないが、セキュリティ対策の考え方の基本として重要なので紹介する。オーストラリア政府がハッカーからの攻撃を大幅に減らしたセキュリティ対策が掲載されています。
http://www.theregister.co.uk/2015/06/02/patchcrazy_aust_govt_fought_off_every_hacker_since_2013/

それは、「Top 4 security controls」記載され、以下のたった4つのことです。
　①アプリケーションのホワイトリスト
　②アプリケーションへの定期的なパッチ
　③OSへの定期的なパッチ
　④管理者権限の最小化

なんともシンプルな対策ですね。
グラフを見ると、数字は書かれてありませんが、攻撃を90%以上防御したように見えます。
実際の対策としては、それ以外もあるとのことですが、ベースとなるのはこの4つだそうです。セキュリティ対策は、このような基本的な対策が大事だと考えております。

また、米国国防総省 (DoD)の調査でも、97～98%の攻撃の原因は、パッチ適用やシステム設定に起因したとある。
「the DOD did an analysis last year and it's somewhere in the high 90s, like 97 [percent] to 98 percent of things that have hit the DOD systems have been the result not of some new piece of technology but exploitation of people that have not had processes in place to install patches or to configure their systems properly.」
https://www.govtech.com/security/Security-First.html

リスクマネジメント

情報処理安全確保支援士の試験では、リスクというものを正しく理解する必要があります。まず、リスクは3つに分解され、それぞれがどんな意味なのかから理解しましょう。

1.リスク、情報資産、脆弱性とは

(1)リスクとは

リスクとは何でしょうか。

リスクと言われても、リスクはリスクです。
危険とか、そういう意味ですよね？

　過去問（H17NW午前問51）では、「リスクとは、脅威が情報資産のぜい弱性を利用して、情報資産への損失又は損害を与える可能性のことである」と述べています。
リスクは、次の式で表されます。

たとえば、銀行のオンラインバンキングで考えます。オンラインバンキングの口座に100万円という大金が入っていれば、これは資産の重要性が高くなります。また、簡単すぎるパスワードという脆弱性があれば、オンラインバンキングを狙う攻撃者という脅威がありますから、リスクが大きくなります。
一方、通常の銀行口座であれば、これらの脆弱性や脅威は少なくなります。インターネット越しに攻撃ができないからです。つまり、リスクは小さくなります。

(2)情報資産

　情報は全て資産と言えます。ただ、会社の所在地や電話番号などの情報は、お金をかけてセキュリティ対策をする価値はありません。企業HPなどにて公開しているからです。
ですから、セキュリティマネジメントにおける情報資産とは、「営業秘密」「個人情報」に代表される、企業にとって価値のある「資産」と考えましょう。
また、情報資産には、電子データの情報もあれば、紙ベースの情報もある。情報セキュリティで管理する資産は、両方が含まれている。また、情報資産は、個人情報などの「データ」だけではありません。サーバやネットワーク機器などの物理的資産，ソフトウェア資産，人や保有する資格・技能・経験などの人的資産，特許やノウハウといった無形資産などがあります。

それは、サーバなどにも顧客情報やら設定情報などの機密情報が含まれているからですか？

　いや、データを含まなくても、機器そのものが情報資産と考えられる。ネットワーク機器も情報資産である。特に電子データによる情報資産は、これらの機器が存在して初めて情報資産としての価値がでる。また、情報セキュリティのCIAとして「可用性」という考え方があるように、使いたいときに使える状態になるというのも大事な要素なのである。つまり、サーバやネットワークがきちんと守られていてこそ利用できるので、大事な物理的情報資産である。

(3)脆弱性

　上記で述べた脅威（DoS攻撃、ウイルスなど）が存在しても、それらの脅威に対抗できるだけの対処をしていればリスクにはならない。たとえば、泥棒に入られないようにするために、何重にも鍵をかけ、警備員やセンサー、監視カメラによって監視する。しかし、裏口には鍵がかかっていなければ、簡単に泥棒に入られてしまう可能性がある。この例でいう「裏口には鍵がかかっていない」ことが脆弱性である。脆弱性にはソフトウェアのバグやセキュリティホールに加え、人的な脆弱性（パスワードを安易なものにすることやウイルスソフトを実行しないなど）も存在する。
詳しくはこのあと述べる。

2.脆弱性とCVE、CWE、CVSS

(1)脆弱性とは

　他の試験の過去問では、脆弱性に関して、「情報資産に内在して、リスクを顕在化させる弱点（H22AP春AM問41） 」と述べられています。
ただ、一言で弱点と言っても、いろいろあります。たとえば、分かりやすいのがOSなどのバグでしょう。これらはセキュリティパッチを適用して修正します。または、ファイアウォールにて外部からの通信が許可されるというセキュリティホールも脆弱性と言えます。加えて、人が間違えて情報漏えいをしてしまうという人的な脆弱性もあります。

参考ですが、ソフトウェア等脆弱性関連情報取扱基準では、脆弱性を次のように定義しています。

１．脆弱性
ソフトウエア等において、コンピュータウイルス、コンピュータ不正アクセス等の攻撃によりその機能や性能を損なう原因となり得る安全性上の問題箇所。ウェブアプリケーションにあっては、ウェブサイト運営者がアクセス制御機能により保護すべき情報等に誰もがアクセスできるような、安全性が欠如している状態を含む。

(2)脆弱性の指標

　脆弱性というのは、このように、やや抽象的な存在です。これではセキュリティ対策として脆弱性の管理が困難です。そんな抽象的な脆弱性を明確に表すものとして、CVE、CWE、CVSSがあります。情報処理安全確保支援士試験では、問題文に細かいところまで出題されています。内容を覚えるというより、まずは言葉の意味を理解しましょう。
最初に結論を言うと、以下になります。
　・CVE⇒脆弱性の通番 （私は「CVE番号」と「番号」まで言うようにしているので、通番であることを覚えやすいです）
　・CWE⇒脆弱性の種類
　・CVSS⇒脆弱性の深刻度（スコア表記）　（私は「CVSSスコア」または「CVSS値」と「スコア」まで言うようにしているので、スコアであることを覚えやすいです）

❶CVE

　CVE（Common Vulnerabilities and Exposures）とは、野ざらし（exposure）になったCommon（共通の）Vulnerabilities（脆弱性）という意味で、脆弱性の通番です。CVE-西暦年-4桁の通番で表されます。
たとえば、H26年に話題になったOpenSSL の脆弱性は「CVE-2014-0160」が振られています。
（旧リンク）https://www.ipa.go.jp/security/ciadr/vul/20140408-openssl.html
※参考までに、採番は非営利団体のMITRE（マイター）社が実施

CVEに対してある意味脆弱性のスコアであるCVSSが最大値10で表現されます。

情報処理安全確保支援士の過去問（H25SC秋午前2問5）では、「JVN (Japan Vulnerability Notes)などの脆弱性対策ポータルサイトで採用されているCVE(Common Vulnerabilities and Exposures)識別子の説明はどれか」として、「製品に含まれる脆弱性を識別するための識別子である」を正解としています。

情報処理安全確保支援士の過去問（H28秋SC午後Ⅰ問2）を見てみましょう。

過去問（H28秋SC午後Ⅰ問2）
〔脆弱性及びその悪用〕 ソフトウェアの脆弱性の情報を組織間で一意に特定し共有できる仕組みが運用されている。例えば，脆弱性が報告されると，[　a　]識別子が付番され，日本国内ではJPCERT/CCなどが公表し注意喚起している。ただし，公表前に悪用されるものもあり，[　b　]脆弱性と呼ばれる[　b　]脆弱性は，特定の組織を狙う攻撃，つまり[　c　]型攻撃でしばしば悪用される。

↓
↓
↓
↓
↓
さて、空欄に当てはまる言葉ですが、正解は以下です。
a　CVE
b　ゼロデイ
c　標的

❷CWE

　CVEと似た言葉に、CWEがあります。タイプミスではありません。別の言葉です。
IPAでは「共通脆弱性タイプ一覧CWE概説」というページがあります。（https://www.ipa.go.jp/security/vuln/CWE.html）
ここでは、「CWEでは、SQLインジェクション、クロスサイト・スクリプティング、バッファオーバーフローなど、多種多様にわたるソフトウェアの脆弱性を識別するための、脆弱性の種類（脆弱性タイプ）の一覧を体系化して提供しています。」と述べています。

例えば、以下のように脆弱性タイプを整理しています。
CWE-78：OSコマンド・インジェクション
CWE-79：クロスサイト・スクリプティング（XSS）
CWE-89：SQLインジェクション

情報処理安全確保支援士の過去問（H26年春SC午前2）を見てみましょう。

過去問（H26年春SC午前2）
問14　JVN（Japan Vulnerability Notes）などの脆弱性対策ポータルサイトで採用されているCWE（Common Weakness Enumeration）はどれか。 ア　基本評価基準，現状評価基準，環境評価基準の三つの基準でIT製品の脆弱性を評価する手法 イ　製品を識別するためのプラットフォーム名の一覧 ウ　セキュリティに関連する設定項目を識別するための識別子 エ　ソフトウェアの脆弱性の種類の一覧

↓
↓
↓
↓
↓
ちなみに、アは次に解説するCVSSです。正解はエです。
ここで、JVNについて補足します。JVNはJPCERT/CCとIPAが共同で運用しています。JVNのサイト（http://jvn.jp/nav/jvn.html）では、JVN（Japan Vulnerability Notes）に関して次のように述べています。

JVN（Japan Vulnerability Notes）に関して
日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供し、情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイトです。

実際にJVNのサイトをみてみるといいですね。

　そうだね。https://jvndb.jvn.jp/index.html にアクセスして、先の「CVE-2014-0160」をみてみよう。JVNは日本が採番し、CVEは米国で採番されるので、番号には違いがあります。ですが、CVEの番号をもとに、CWEや、このあとに解説する深刻度のCVSSなどが記載されています。

❸CVSS

　情報処理安全確保支援士試験の過去問（H25SC春午前2問10）では、CVSS（Common Vulnerability Scoring System) に関して、「基本評価基準，現状評価基準，環境評価基準の三つの基準でIT製品のセキュリティ脆弱性の深刻さを評価するもの」と述べられています。
さて、情報処理安全確保支援士試験の過去問（H28春SC午後Ⅱ問1）に、CVSSに関する3つの基準について詳しい解説があります。
ポイントとなるところを赤字にしています。

CVSSに関する3つの基準について（H28春SC午後Ⅱ問1）

CVSSは，三つの基準で脆弱性を評価する手法である。一つ目は、”基本評価基準”であり，機密性などのセキュリティの特性や，ネットワークから攻撃が可能かといった攻撃元の特性からスコアを算出する。この基準は，時間の経過や環境の違いによるスコアの変化はない。どこから攻撃可能であるかを評価する攻撃元区分を表5に示す。 　二つ目は”現状評価基準”であり，攻撃コードの出現有無や対策情報が利用可能であるかどうかを基にした評価基準である。ベンダなどの脆弱性への対策状況に応じ，時間の経過によって変化し，脆弱性を公表する組織が，脆弱性の現状を表すために評価する基準である。 　三つ目は”環境評価基準”であリ，ネットワーク環境やセキュリティ対策状況を含め，攻撃元区分の再評価などによって，組織にとっての最終的な脆弱性の深刻度を評価する基準である。 　基本評価基準のスコアは脆弱性ごとに定まるが，環境評価基準は脆弱性が存在する情報機器ごとにスコアが異なる。 設問6(1)CVSSについて，ゼロデイ攻撃が可能な脆弱性か否かは，どの評価基準に最も反映されるか。基準名を答えよ。

ゼロデイ攻撃は、ベンダなどが脆弱性への対策ができているかに左右されます。よって、「現状評価基準」が正解です。

話が変わりますが、環境評価基準は、
同じ脅威でも、情報機器ごとにスコアが異なるんですね。

そうなんです。その具体例が、この問題にあります。その問題を見てみましょう。

問題
（中略） 　例えば，図3のFW1とFW2に関する，ある脆弱性が公表された場合，この脆弱性の基本評価基準のスコアに対して，評価時点の現状評価基準のスコアを算出し，最後に，環境評価基準として,FW1とFW2のそれぞれで最終的な深刻度のスコアを算出する。U課長は実際に，FW1とFW2に存在する，ある脆弱性の深刻度を算出してみた。この脆弱性は,FWのポリシ更新のコマンド発行において，特定のパラメタを組み合わせると管理者権限がなくても不正にポリシを更新できるというものである。環境評価基準において, FW1の攻撃元区分は[　c　]であリ,FW2の攻撃元区分は[　d　]であることから，[　e　]のスコアがより高い値を示した。 設問6(2)　本文中の[　c　]～[　e　]に入れる適切な字句を答えよ。[　c　]，[　d　]は表5中の区分名から選び,[　e　]は"FW1"又は"FW2"のどちらかで答えよ。

↓
↓
↓
↓
↓
先ほどの表５をもとに、空欄[　c　]，[　d　]を考えます。FW1は、「外部事業者の担当者が遠隔地から（中略）更新作業を行っている」とありますから、cの区分名は「ネットワーク」です。
FW2は、「コンソールポートに常時接続されたMPCからだけ許可」とありますから、dの区分名は「ローカル」です。攻撃の難しさを考えると、ネットワーク経由で攻撃が可能なFW1の方が危険です。よって、eにはFW1が入ります。

【解答例】
c　ネットワーク　　　d　ローカル　　　e　FW１

■参考
CVSSに関しては、IPAの資料に詳しい解説と計算方法が記載されている。
https://www.ipa.go.jp/security/vuln/CVSS.html
たとえば、どれくらいの値になるのだろうか。
「GNU bash における任意のコードを実行される脆弱性」のCVSS値は10
http://jvndb.jvn.jp/ja/contents/2014/JVNDB-2014-004431.html
※IPAとNISTでは値が違う可能性があるようです。

(3)脆弱性関連の体験学習ツール

❶脆弱性体験学習ツールAppGoat
　情報処理安全確保支援士を運営しているIPAが、脆弱性体験学習ツール AppGoatを開発し、公開されています。
ちょっとやってみましたが、かなり作りこまれていて、本格的です。
Webサーバを立てるなどの手順を踏む必要があり、それほど手軽とは言えませんが、ほとんどがスクリプト化されているので、数分で体験までこぎつけることができます。
脅威および攻撃手法を実際に体験するいい機会です。皆さんもお試し下さい。
http://www.ipa.go.jp/security/vuln/appgoat/index.html

❷XSS-GAME
　Googeが公開しているXSSのゲームというか、簡易学習サイトがあります。
https://xss-game.appspot.com/
フォームに何かを入力して、脆弱性を見つけるものです。Hintがあるので、押して行くといいでしょう。
体験するにはちょうどいいと思います。

❸OWASP BWA
　学習用の脆弱性があるサイトとして、OWASP BWAがあります。
（旧リンク）https://www.owasp.org/index.php/OWASP_Broken_Web_Applications_Project
BWAとは、Broken（壊れた）WebApplicationです。
使い方などは、ネットに落ちていますので、興味がある方は是非

3.リスクマネジメント

(1)リスクマネジメントとその全体像

　過去問（H20NW　午前問題　問51）では、 情報システムのリスクマネジメント全体の説明として「情報システムの機能特性を損なう不安定要因やシステムに内在する脆弱性を識別して,企業活動に生じる損失を防止,軽減するとともに,合理的なコストでの対策を行う。」とある。

また、リスクマネジメントのプロセスは以下の順で実施される。
❶リスク特定：どんなリスクがあるのかを特定する（情報資産とリスクを明らかにする）
❷リスク分析：リスクの発生確率や影響度を分析する。（場合によっては、リスクの算出（リスクを数値化する）ことも含む）
❸リスク評価：リスク分析の結果，リスクが一定値以上のものを対処すべきリスクとして決定する
❹リスク対応：上記3つのリスクアセスメントを経て、「リスク対応」を実施します。

※❶～❸をリスクアセスメントと呼ぶことがある。
※❶と❷を合わせて「リスク分析」と呼ぶこともあり、分け方は様々である。

情報処理安全確保支援士の過去問（H30春SC午後Ⅰ問3）に、以下の記載があります。

参考過去問（H30春SC午後Ⅰ問3）
JIS Q 31000：2010 及びJIS Q 31010：2012 では，リスクアセスメントは，[　a：リスク特定　]，リスク分析，[　b：リスク評価　]の三つのプロセスの順に進めると定義されています。まず，[　a：リスク特定　]のプロセスですが，ファイルに影響を及ぼす一般的なリスクの一覧を私から提供しますので，これを基に進めるとよいでしょう。

(2)リスク分析とは

　リスクマネジメントの最初のSETPである「リスク分析」について理解を深める。
リスク分析は、リスク特定も含める場合があり、次のステップで行われます。
・リスク因子の特定（情報資産とリスクを明らかにする）
・リスクの算出（リスクを数値化する）

では、過去問題を解いてみよう。

過去問（H19SU午前問題問34）
問34　情報システムのリスク分析に関する記述のうち、適切なものはどれか。 ア　リスクには、投機的リスクと純粋リスクとがある。情報セキュリティのためのリスク分析で対象とするのは、投機的リスクである。 イ　リスクの予想損失額は、損害予防のために投入されるコスト、復旧に要するコスト、及びほかの手段で業務を継続するための代替コストの合計で表される。 ウ　リスク分析では、現実に発生すれば損失をもたらすリスクが、情報システムのどこに、どのように潜在しているかを識別し、その影響の大きさを測定する。 エ　リスクを金額で測定するリスク評価額は、損害が現実のものになった場合の1回当たりの平均予想損失額で表される。

↓
↓
↓
↓
↓
ア：純粋リスクは、セキュリティインシデント、災害、事故などの、マイナスな損失しかないリスクです。一方の投機的リスクは、ビジネスにおける海外進出など、マイナスの損失のリスクもあれば、逆に大きくプラスの利益が出る可能性があるリスクです。情報セキュリティのためのリスク分析の対象は、純粋リスクです。
イ：予防のために投入されるコストは含みません。
ウ：正解選択肢です。
エ：発生する確率も考慮します。

■定性的リスク分析と定量的リスク分析

①定性的リスク分析
　「特定したリスクの発生確率や影響度を評価してリスクに優先順位を付ける（平成29年春期午前問53不正解選択肢）」ことです。
　※参考：JRAM（JIPDEC Risk Analysis Method）
　JIPDECが開発した定性的リスク分析手法。JRAM質問表を用いた脆弱性分析を行う。

②定量的リスク分析
　「特定したリスクがプロジェクト目標全体に与える影響を数量的に分析する（平成29年春期午前問53）」ことです。

まず、定性的リスク分析を実施し、その後、定性的リスク分析の結果を踏まえ、定量的リスク分析を行います。

■情報処理安全確保支援士の過去問

過去問（H29春午前問53）
問53　PMBOKガイド第5版によれば，定量的リスク分析で実施することはどれか。 ア　特定したリスクがプロジェクト目標全体に与える影響を数量的に分析する。 イ　特定したリスクの発生確率や影響度を評価してリスクに優先順位を付ける。 ウ　特定したリスクへの対応計画を策定する。 エ　プロジェクトに影響を与える可能性があるリスクを洗い出す。

↓
↓
↓
↓
↓
正解は、アです。

過去問（H23秋SM午前Ⅱ）
問18　定性的リスク分析の活動として,適切なものはどれか。 ア　検討対象以外の全ての不確実な要素をベースライン値に固定した状態で,プロジェクトの個々の不確定要素が,検討対象の目標に与える影響の度合いを調べる。 イ　デシジョンツリー図を使用して,選択肢に対する期待金額価値(EMV)を比較する。 ウ　リスクに関するインタビューを通じて,各WBS要素に対する三点見積りをする。 エ　リスクの発生確率と影響度を評価して,識別したリスクに等級付けをする。

↓
↓
↓
↓
↓
正解はエ

過去問（H24春PM午前Ⅱ）
問14　PMBOKのリスクマネジメントでは,定性的リスク分析でリスク対応計画の優先順位を設定し,定量的リスク分析で数値によるリスクの等級付けを行う。定性的リスク分析で使用されるものはどれか。 ア　感度分析 イ 期待金額価値分析 ウ　デシジョンツリー分析 エ 発生確率・影響度マトリックス

↓
↓
↓
↓
↓
正解はエ

もう一問（H19初級シスアド秋午前）、解いてみよう。

過去問（H19初級シスアド秋午前）
問53　セキュリティ状況の把握、リスク分析、セキュリティ対策の計画、セキュリティ対策の実施のプロセスにおいて、リスク分析で得られる結果はどれか。 ア　洗い出した脆弱性 イ　組み込まれたセキュリティコントロール ウ　セキュリティ仕様 エ　損失の大きさ

↓
↓
↓
↓
↓
これは簡単だっただろう。
アの洗い出された脆弱性と迷った方もいるかもしれない。しかし、洗い出すだけは「分析」とはいえません。単なる作業なので。正解はエ。

(3)リスク評価

リスク分析とリスク評価の違いがよくわからないんですよ。

　このあたりの言葉の違いがややこしい。
厳密に理解できていなくても、午前問題はマークなので解けるだろう。とはいえ、余裕があればきちんと理解しておくことをお勧めする。

■リスク評価の意味
　リスク分析で算出したリスク値が、基準を超えたものを対応すべきリスクとして決定する。これがリスク評価である。
過去問では、リスク評価の説明として「情報セキュリティのリスクマネジメントにおいて，リスクの重大さを決定するために，算定されたリスクを与えられた基準と比較するプロセス」と述べれれています。（平成26年度秋期IP問47）

■リスク評価の意義
　リスク分析で分析される情報資産や脅威は膨大な量になる。それぞれに対して対策を検討するのは時間とコストがかかりすぎるため、どのリスクに対応すべきかを判断する。
以下問題を解くと、リスク評価の意義が理解できるのではないか。

過去問（H20春FE午前68）
問69　リスク分析に関する記述のうち,適切なものはどれか。 ア　考えられるすべてのリスクに対処することは時間と費用がかかりすぎるので,損失額と発生確率を予測し,リスクの大きさに従って優先順位を付けるべきである。 イ　リスク分析によって評価されたリスクに対し,すべての対策が完了しないうちに,繰り返しリスク分析を実施することは避けるべきである。 ウ　リスク分析は,将来の損失を防ぐことが目的であるから,過去の類似プロジェクトで蓄積されたデータを参照することは避けるべきである。 エ　リスク分析は,リスクの発生による損失額を知ることが目的であり,その損失額に応じて対策の費用を決定すべきである。

↓
↓
↓
↓
↓
ア：正解選択肢です。
イ：不適切です。繰り返しリスク分析をすることも、ときには必要です。
ウ：過去のデータを参照することも大事です。
エ：損失額だけではなく、発生頻度も考慮すべきです。

(4)リスク対応（リスク移転、リスク回避、リスク保有、リスク最適化）

　リスクへの対応は、リスクの大きさとリスクの発生確率に応じて、「リスク移転」「リスク回避」「リスク保有」「リスク低減（リスク最適化）」の4つに分類される。以下にマトリックスと一例を紹介する。　
※リスク最適化（低減）策には、技術的対策もあれば社内規程などによる対策もある。たとえば、社内規定でルール化して遵守させた上で、社内教育と内部監査で遵守を徹底する。
※リスク移転には、保険による他社への移転もあれば、アウトソーシングによる移転もある。

過去問をもとに整理すると、以下になります。

❶リスク保有

　過去問ではリスク保有に関して、「リスクが顕在化しても,その影響が小さいと想定されるので,損害の負担を受容するリスク対応（H21春FE午前問60）」「リスクが小さいことを確認し，問題発生時は損害を負担する（H27春IP問53）」と述べられています。

❷リスク移転（リスク共有）

　過去問（H21春FE午前問41）では、リスク移転に関して、「保険に加入するなど資金面での対策を講じること」と述べられています。
※過去問（H25秋FE午前問39）に、「リスク共有（リスク移転）」と表現されていて、リスク移転＝リスク共有ということが示されています。

❸リスク低減

　過去問（H21春FE午前問41）では、リスク低減に関して、「損失の発生率を低下させること」、その具体例として「外部の者が侵入できないように,入退室をより厳重に管理する（H22春SC午前Ⅱ問6）」と述べられています。

❹リスク回避

　過去問では、「リスクの原因を除去すること（H21春FE午前問41）」、その具体例として、「リスクの大きいサービスから撤退した（H27春IP問53）」「データの安易な作成を禁止し,不要なデータを消去する（H22春SC午前Ⅱ問6）と述べられています。

では、情報処理安全確保支援士試験の過去問を解いてみよう。

過去問（H22SC春午前Ⅱ問6）
問6　情報漏えいに関するリスク対応のうち、以下はどれに該当するか。 ア　外部の者が侵入できないように、入退室をより厳重に管理する。 イ　情報資産を外部のデータセンタに預託する。 ウ　情報の重要性と対策費用を勘案し、あえて対策をとらない。 エ　データの安易な作成を禁止し、不要なデータを消去する。

↓
↓
↓
↓
↓
エはリスク低減と思われるかもしれないが、この問題ではリスク回避が正解になっている。
アとの違いは、「より厳重に」という、今までより強化するとうこと。
エは不要なものを「廃止」し、リスクあるものを無くす。この点が違い。
まあ、微妙なニュアンスなので、リスク低減といっても正解な気はしますが。
アはリスク低減、イはリスク移転、ウはリスク保有、エがリスク回避である。

(5)リスクコントロールとリスクファイナンス

　リスクコントロールやリスクファイナンスという概念もある。以下に整理する。

ややこしいですねー。

　リスク移転は、リスクコントロールとリスクファイナンスの両面があることに注意してほしい。アウトソーシングによって外部にリスク移転するとリスクは低減するからリスクコントロールと言える。しかし、保険かけることでリスク移転をしても、リスクそのものは低減しないからリスクコントロールとは言えない。
　過去問では、リスク移転の内容として「保険に加入するなどで他者と損失の負担を分担すること」（H22秋FE午前43）と述べられている。
　リスク保有がリスクファイナンスに分類されることに違和感を覚える人が多いかもしれない。しかし、リスク保有とは何も対策を実施しないので、被害が発生した場合にかかる費用を覚悟していることになる。被害時発生時に備えて予算を確保するまでは実施しないかもしれないが、少なくとも修復にかかる人件費や機器等の修理代が発生し、それを金銭で負担するのでリスクファイナンスである。

■リスクファイナンスの問題を一つ

過去問（H19SU午前問題問35）
問35　リスク対策の一つであるリスクファイナンスに該当するものはどれか。 ア　システムが被害を受けた場合を想定して保険をかけておく。 イ　システム被害につながるリスクの発生を抑える対策に資金を投入する。 ウ　システムを復旧するのにかかった費用を金融機関から借り入れる。 エ　リスクが顕在化した場合のシステム被害を小さくする対策に資金を投入する。

↓
↓
↓
↓
↓
簡単そうですが、すべてお金にかかわる内容になっているので、間違えるかもしれません。
イ～エは、リスク対策として、主にリスク低減を行っています。結果として、その費用がかかっているだけです。
正解はアです。ポイントは、アはリスクが小さくなっていないことです。リスクを低減することはできないが、保険をかけることで、リスクを第三者に転嫁します。

■個人情報漏洩時のおわび費用はいくらぐらい
　余談だが、セキュリティインシデントが発生したときにかかる具体的な費用に関して、おわび費用がある。YahooBBは500円。裁判では個別の事案になるので、違う金額になったかと思う。
情報セキュリティ白書2011（独立行政法人　情報処理推進機構）には、「JNSA（Japan Network Security Association：NPO日本ネットワークセキュリティ協会）では個人情報漏えいの賠償額を試算しており、その試算によると、「1人あたり平均想定損害賠償額」を4万9,961円、「1件あたり平均想定賠償額」を2億6,683万円と算出している。」と述べられている。

4.その他

(1)リスクレベル

　H29春SG午前問7では、「JIS Q 27000:2014 （情報セキュリテイマネジメントシステムー用語）における“リスクレベル”の定義」として、「結果とその起こりやすさの組合せとして表現される，リスクの大きさ」と述べられています。

H25春AP午後問3では、リスクレベルに関する記述があるので引用します。

引用：リスクレベルに関する記述（H25春AP午後問3）
〔リスクレベルの決定と行動指針の策定〕 　次に，Ｇ課長は，Ｅ社で制定した表２のリスクレベルマトリックスを用いて，リスクレベルＨ（高リスク), M (中リスク), L (低リスク）を決定した。 　さらに，リスクレベルに応じて採るべき行動指針を，次のように策定した。 ・リスクレベルＨ：できるだけ早期にリスク対策を実施する。 ・リスクレベルＭ：妥当な期間内にリスク対策の実行計画を作成し，実行する。 ・リスクレベルＬ：妥当な期間内にリスク対策が必要か不要かを判断し，対策が必要な場合には，実行計画を作成し，実行する。

(2)リスクマネジメントの規格（JIS Q 31000）

　JIS Q 31000は、「リスクマネジメントー原則及び指針」ですから、リスクマネジメントのガイドラインと考えればいいでしょう。
このJIS Q 31000ですが、国際標準であるISO 31000に基づいて作成されました。日本にはJIS Q 2001（リスクマネジメントシステム構築の指針）がありましたが、こちらは廃止されてJIS Q 31000に置き換えられています。

また、情報処理安全確保支援士の過去問では、「JIS Q 31000:2010 及びJIS Q 31010:2012 では，リスクアセスメントは，[　a：リスク特定　]，リスク分析，[　b：リスク評価　]の三つのプロセスの順に進めると定義されています。（H30春SC午後Ⅰ問3より）」

過去問（H27春AP問41）を見てみましょう。

過去問（H27春AP問41）
問41　JIS Q 31000:2010（リスクマネジメントー原則及び指針）における，残留リスクの定義はどれか。 ア　監査手続を実施しても監査人が重要な不備を発見できないリスク イ　業務の性質や本来有する特性から生じるリスク ウ　利益を生む可能性に内在する損失発生の可能性として存在するリスク エ　リスク対応後に残るリスク

↓
↓
↓
↓
↓
正解はエ

[参考]JIS Q 2001
JIS Q 2001 「リスクマネジメントシステム構築の指針」は、2001年に発行されました。阪神淡路大震災がきっかけということもあり、この規格が指すリスクは大震災を含んだ幅広いものを想定しています。
過去問では、「JIS Q 2001:2001に規定されたリスク算定の定量的評価を、組織のセキュリティ対策の優先度を検討するリスク分析に適用したものはどれか。」として、「被害が発生する確率と被害額で評価する。（H21AP秋午前問41）」と述べられています。

(3)リスク所有者

　リスク所有者とはなんでしょうか。
情報漏えいをしそうなリスクを持っている、あぶない社員ではありません。リスクに関して責任や権限を持って対処していく人になります。経営層などの権限を持った人が該当します。
過去問（H29秋SG午前問8）では、「JIS Q 27000:2014 （情報セキュリティマネジメントシステムー用語）では，リスクを運用管理することについて，アカウンタビリティ及び権限をもつ人又は主体を何と呼んでいるか。」という問いの正答がリスク所有者です。