セキュリティ・リスク評価

セキュリティ・リスク評価とは

セキュリティ・リスク評価では、アプリケーションの主要なセキュリティ管理策を特定、評価、実装します。また、アプリケーションのセキュリティ上の欠陥や脆弱性の防止にも重点を置きます。

リスク評価を実施することで、攻撃者の視点からアプリケーション・ポートフォリオの全体像を可視化できます。これにより、情報に基づいたリソースの割り当て、ツールの選定、セキュリティ管理策の実装の決定を行うマネージャーを支援します。そのため、評価の実施は組織のリスク管理プロセスに不可欠です。

セキュリティ・リスク評価のしくみ

規模、成長率、リソース、資産ポートフォリオなどの要素はリスク評価モデルの深度に影響します。組織は、予算や時間の制約がある場合には、一般化された評価を実行することも考えられます。ただし、一般化された評価では、資産、関連する脅威、特定されたリスク、影響、コントロールの軽減との間の詳細なマッピングが必ずしも得られるとは限りません。

一般化された評価結果でこれらの領域間の十分な相関が得られない場合は、より詳細な評価が必要です。

セキュリティ・リスク評価モデルの成功のための4つのステップ

1. 特定 技術基盤のすべての重要な資産を特定します。次に、これらの資産によって作成、保存、送信された重要データを診断します。個別にリスク・プロファイルを作成します。
2. 評価 重要な資産に対するセキュリティ・リスクが特定されたら、それを評価するアプローチを実行します。慎重な評価の後、リスク軽減に向けて、時間とリソースを効果的かつ効率的に割り当てる方法を決定します。評価のアプローチまたは手法では、資産、脅威、脆弱性、緩和コントロールとの相関関係を解析する必要があります。
3. 緩和 緩和方法を定義し、リスクごとにセキュリティ・コントロールを実施します。
4. 防止 企業のリソースで発生する脅威や脆弱性を最小限に抑えるツールとプロセスを実装します。

セキュリティ・リスク評価で解決できる問題

包括的なセキュリティ評価により、組織は以下のことができます。

• 組織内の資産（ネットワーク、サーバー、アプリケーション、データセンター、ツールなど）を特定する。
• 各資産のリスク・プロファイルを作成する。
• これらの資産によって保存、送信、生成されるデータを理解する。
• 業務に関する資産の重要度を評価する。これには、収益、評判、企業のエクスプロイトの可能性に対する全体的な影響が含まれます。
• 資産のリスク・ランキングを測定し、優先順位を付けて評価する。
• 評価結果に基づいて、各資産に対する緩和策を適用する。

セキュリティ・リスク評価は1回限りのセキュリティ・プロジェクトではないことを理解することが重要です。むしろ、少なくとも1年に1回は行うべき継続的な活動です。継続的な評価により、組織は晒されている脅威とリスクの現状と最新のスナップショットを得ることができます。

Synopsysは、リスクの影響が高い、重要な資産を毎年評価することをお勧めします。評価プロセスでは、さまざまな貴重な情報を作成および収集します。いくつかの例を以下に示します。

• 現在のすべてのアプリケーション、ツール、ユーティリティのアプリケーション・ポートフォリオを作成する。
• セキュリティの要件、ポリシー、手順を文書化する。
• システム・アーキテクチャ、ネットワーク図、システムによって保存または送信されるデータ、外部サービスまたはベンダーとのやり取りを収集する。
• 物理的資産（ハードウェア、ネットワーク、通信コンポーネント、周辺機器など）の資産目録を作成する。
• オペレーティング・システム（PCおよびサーバーのオペレーティング・システムなど）に関する情報を維持する。
  • 以下に関する情報：
    • データ・リポジトリ（データベース管理システム、ファイルなど）
    • 現在のセキュリティ管理策（認証システム、アクセス制御システム、ウイルス対策、スパム制御、ネットワーク監視、ファイアウォール、侵入検知、防止システムなど）
    • 監督機関のコンプライアンスに関する、現在の基準となる運用およびセキュリティ要件
    • 資産、脅威、脆弱性（影響と可能性を含む）
    • アプリケーション、ポリシー、ネットワーク・システムなどの以前の技術・手続き面のレビュー
    • 資産に対して特定された各リスクの緩和策のマッピング