4.3リスク管理

弱点をすべて同時に、同じ力で守ることはできません。限られた予算と時間を「どこに」振り向けるかを決めるのがリスク管理です。その出発点は、弱点そのものを指す脆弱性と、それが実害になる見込みを測るリスクをきちんと区別することにあります。この節では、脆弱性とリスクの違い、リスクを低/中/高/極高にランク付けする考え方、そして受容・低減・移転・回避という4つのリスク対応の選び分け、扱うデータの分類が高まるほどリスクも大きくなる関係を、「何をどこまで守るか」を決める判断として学びます。

4.3.1脆弱性とリスクは別物

• 脆弱性＝システムや運用に潜む弱点そのもの（未適用のパッチ、弱いパスワード、設定ミスなど）。リスク＝その弱点が悪用され実害に至る見込みで、おおむね発生確率×影響（資産価値）で捉える。脆弱性があってもリスクは一定ではない。
• 同じ脆弱性でも、外部から到達できず攻撃されにくいなら発生確率が低くリスクは小さい。逆に、重要な個人情報を扱うサーバなら影響が大きくリスクは大きい。だから「脆弱性の数」だけで危険度は決まらず、確率と影響を合わせてリスクを見る必要がある。

4.3.2リスクのランク付けと4つの対応

• リスクのランク付け＝発生確率と影響を組み合わせ、各リスクを低/中/高/極高（critical）の帯に振り分ける作業。限られた資源を極高・高から先に割り当てるための優先順位付けで、リスクマトリクス（確率×影響の表）がよく使われる。
• リスク対応は4択：受容（accept）＝コスト等を踏まえ許容範囲としてそのまま受け入れる／低減（reduce/mitigate）＝対策で確率や影響を下げる（パッチ・多層防御など）／移転（transfer）＝保険や外部委託で影響を他者に肩代わりさせる／回避（avoid）＝リスク源となる活動自体をやめる。
• どれを選ぶかはリスクの大きさとコストのバランスで決める。小さなリスクにコストの高い回避を選ぶのも、極高リスクを安易に受容するのも不適切。対応後に残る残留リスクを把握し、許容できる水準かを確認するのが仕上げ。

スキャンで、社内の2台のサーバに同じ「古いバージョンのソフトが残っている」という脆弱性が見つかったとします。ここで「同じ脆弱性だから同じ危険度」と考えるのは誤りです。1台目は社内からしかアクセスできない検証用で、扱うデータもテスト用のダミー。2台目はインターネットに公開され、顧客の個人情報を扱う本番サーバです。脆弱性（弱点）は同じでも、リスクは発生確率×影響で決まるため、外部から攻撃されやすく影響も大きい2台目のほうがリスクは格段に大きい——これがリスク管理の核心です。そこで各リスクを低/中/高/極高にランク付けし、2台目を「極高」、1台目を「低〜中」と位置づけます。次にリスク対応を選びます。2台目はビジネス上止められないので回避は現実的でなく、低減（すぐにパッチを当て、多層防御を効かせる）を最優先にします。加えて、万一の情報漏えいに備えてサイバー保険で影響の一部を移転することも考えられます。1台目の小さなリスクは、パッチ計画に組み込みつつ当面は受容する、という判断もあり得ます。ここで大切なのは、扱うデータの分類が高い（個人情報・機密）ほど影響が大きくリスクも上がるという関係を踏まえ、脆弱性の有無だけでなく、確率と影響を掛け合わせて優先順位と対応を選ぶことです。すべてを同じ力で守ろうとせず、極高・高のリスクから資源を投じる——この判断がリスク管理の要になります。

4.3.3この節のまとめ

• 脆弱性は弱点そのもの、リスクは発生確率×影響。同じ脆弱性でも確率と影響でリスクは変わる
• リスクを低/中/高/極高にランク付けし、極高・高から資源を割り当てる
• 4つのリスク対応＝受容/低減/移転（保険等）/回避を、リスクの大きさとコストのバランスで選ぶ。データ分類が高いほどリスクも大きい