CISOの成功事例：この人物の計算式を使えば、サイバーリスクを（正確に）予測するのがより簡単になります

プロのジャズミュージシャンがサイバーセキュリティ政策の専門家へと転身するとは、普通は想像もつかないことでしょう。しかし、サイバーリスク分析に関する画期的な論文の著者であるアッシュ・ハント氏（下図）の経歴は、まさにそのような物語なのです。

茶色の髪をした 30something 歳の白人男性が、腕を組んで、パリッとしたネイビーのダブルブレストスーツを着ている写真です。

彼のおかげで、私たちはサイバーセキュリティのリスクを、直感ではなく数値に基づいて評価することができるようになりました。

サイバーリスクのスコアリング（）は、もちろん新しい概念ではありませんが、定量的かつ一貫性のある方法でリスクを評価することについては、依然として推進が必要です。多くの企業が対応に遅れをとっており、の規制団体が現在、この問題に取り組んでいます。証券取引委員会（SEC）が採択した新規則は、12月から施行されており、上場企業に対し、重要なリスクを評価、特定、および管理するためのプロセスを開示することを義務付けています。これは、特定の業界においてリスク評価を義務付けている他の規制当局の方針と一致しています。

御社の組織が実際にどれほど安全か、あるいはどれほど脆弱なのかを把握しましょう。わずか 5 日で包括的なリスクスコアを取得できます。

それはハント氏にとっては耳に心地よい話かもしれません。

この英国の博学多才な人物は、 5歳でトランペットを始め、ロンドンの名門「 100 クラブ」のような会場で演奏できるほど上達した後、古典学の学位を取得するために学びました。彼の関心はサイバーセキュリティ政策へと移り、ロンドンに拠点を置く政策研究機関「チャタム・ハウス」での講演に参加するなどして独学で知識を深めました。そこで築いた人脈がきっかけとなり、最終的にはサイバーセキュリティ会議において国連の代表を務めることとなりました。その後、彼は英国国防省で機密扱いの役職に就き、その後、情報セキュリティフォーラム（ISF）にて定量的情報リスク担当責任者として勤務しました。この経験が、彼が 2022年に、の金融サービスプロバイダーであるApex GroupのグローバルCISO の職に就くための準備となりました。

「これは、是正措置を開始する前に、どの管理策に取り組むべきかを検証するための素晴らしい方法です。」

ハント氏が、サイバーセキュリティのリスク分析に具体的な数値を適用するための枠組みを構築したのは、ISF在籍中の 2016 年から2018年にかけてのことでした。彼は、これを、風向きを勘で察するようなものに過ぎなかった従来のリスク管理手法からの脱却だと捉えています。

より成熟したリスク分析の必要性

ハント氏によると、定量的リスク分析は他の分野では数十年前から行われてきましたが、テクノロジー業界では普及するまでにかなり時間がかかったとのことです。

「モンテカルロ・エンジンは、数学的モデルの中でシナリオを何千回もシミュレーションすることを可能にする、巨大な数学的計算機です。」

「それらの分野で活動していた人々は、リスク管理の経験を持っていたわけではありませんでした。彼らは、経験豊富なテクニカルアナリストやエンジニアだったのです」と彼は述べています。彼は、大手コンサルティング会社発祥の、いわゆる「信号機式評価」と呼ばれるサイバーリスク分析の手法について、人々がさまざまなリスクに対して主観的に「赤」「緑」「黄」の評価を割り当てるものであるとして、その問題を嘆いています。ハント氏によると、サイバーセキュリティリスクを評価する際、これを行っている企業の間では、これが一般的な手法だとのことです。「それが技術や組織へのあらゆる支出の根底にあり、今日でもなおそうである」と彼は述べ、これを有害な慣行だと指摘しています。

その代わりに、彼はのモンテカルロ・モデリングに基づいた定量的サイバーセキュリティリスク分析手法を試験的に導入しました。この手法は、反復的なサンプリングを用いて、ランダムな要因が存在するシナリオにおけるさまざまな結果の発生確率を予測するものです。その名称の由来となったモンテカルロのカジノの賭け台とよく似た仕組みです。もともとは 1940s で軍事研究の目的で開発されましたが、現在では金融ポートフォリオ管理から天気予報に至るまで、幅広い分野で一般的な手法となっています。

サイバーリスクに対するモンテカルロ・モデリングの活用

「モンテカルロ・エンジンは、数学的モデルの中でシナリオを何千回もシミュレーションすることを可能にする、巨大な数学的計算機のようなものです」とハント氏は述べています。

ISFのモデルでは、この統計的モデリング手法を用いてサイバーセキュリティリスクを追跡しています。

「これは、目標の達成を妨げる可能性のあるシナリオを把握し、それらがどのくらいの頻度で発生しているのか、その原因は何なのか、そしてその影響を軽減するためにどのような対策が講じられているのかを明らかにすることです」とハント氏は説明しています。

このフレームワークは、おおむね次のような単純な式に基づいて構成されています。セキュリティインシデントの発生頻度と、それによって生じる損失を掛け合わせたものが、リスクに相当します。しかし、実際には、これら以外にもさまざまな要因があります。損失には、生産性の低下、被害を受けたシステムの修復や交換に必要な時間や費用、および法的・規制上の罰則など、その他の要素も含まれます。

実践における定量的リスク管理

ハント氏は、この手法によってApex Groupでどれほどのコスト削減を実現したかについては明かすことはできませんが、サイバーセキュリティ技術への投資において、この手法が大きなメリットをもたらすと述べています。彼がApexに入社した当初、このフレームワークを用いて、各ドメインにおけるリスク事象の種類や発生頻度、およびそれらのリスクに対する最小損失額を分析し、損失エクスポージャーを算出しました。

「このモデルなら、決して後戻りすることはありません。」これはエンドユーザーにとって、継続的かつ絶えず蓄積されていく投資収益率であり、極めて魅力的な提案です。”

ハント社は、ビジネスおよび技術環境から資産、の脅威源、さらには既存の統制措置の評価に至るまでを網羅する指標を、モンテカルロ・モデルに組み込みました。これにより、ハント氏とそのチームは、その地域におけるリスクについて、損失の範囲とその発生確率を予測することができました。

「複数のシナリオにわたってこれらを統合して分析したところ、損失リスクへの寄与度という点で、ある特定の分野が私たちにとって最も重大な懸念事項であることが明らかになりました」と彼は述べています。それが事業運営のどの分野か、あるいは技術のどの分野かについては、彼は依然として口を閉ざしたままです。

これらの計算結果により、Apex Groupは、潜在的な損失を軽減できる一連のサイバーセキュリティ対策の計画を立てるための基盤を得ることができました。それらの対策が実施されていると仮定してモンテカルロ・モデルを再実行したところ、現在のサイバーセキュリティの状況と、より強化された状況との間のギャップが明らかになりました。提案された各サイバーセキュリティ投資について、その差を測定することで、チームはそのセキュリティ対策に対する潜在的な投資収益率（）を算出することができました。

「これは、是正措置に着手する前に、どの管理策に取り組むべきかを検証するための素晴らしい方法です」とハント氏は述べています。

どの指標も取り残さない

これらはすべて理にかなっているように聞こえますが、CISOが必要なデータを持っていない場合はどうなるのでしょうか？

ハント氏は、データの不足は定量的リスク分析における障壁であってはならないと主張しています。彼は、この種の統計分析には標準的な品質基準など存在しないと指摘しています。手元にあるデータを使って分析を行うだけです。この手法全体は、不確実性のモデリングを行うものであり、このフレームワークは結果として、徐々に精度が高まっていく潜在的な損失の範囲を返します。

「このリスクモデリングの手法において、あなたが最も下手になるのは、それを始めたその日です」と彼は言います。

このモデルには、その予測に対してどの程度の確信を持つべきかを示すスコアが含まれています。フィードバックや、時間の経過に伴うデータの追加を通じて、この信頼度スコアを継続的に向上させています。「決して後戻りすることはありません。」「これはエンドユーザーにとって、継続的かつ絶えず蓄積されていく投資収益率であり、極めて魅力的な提案です。」

ハント氏は、統計に基づくモデルは常に直感よりも優れた成果を上げると主張しています。従来のセキュリティモデルは主観的で広範なアプローチをとっているため、定量的なモデルを導入すれば、パフォーマンスは向上するに違いないと彼は述べています。「勘に頼ったセキュリティ」の時代は終わりました。「確かな数字の時代」へようこそ。

詳細はこちら

「サクセスストーリー」シリーズで、セキュリティリーダーとの他の独占インタビューもご覧ください。

CISO成功事例：サイバーリスクの（正確な）予測はこの人物の公式でより簡単になる

より成熟したリスク分析の必要性

サイバーリスクに対するモンテカルロ・モデリングの活用

実践における定量的リスク管理

どの指標も取り残さない

詳細はこちら

ソーシャルメディア Cookie

パフォーマンス Cookie

厳密に必要な Cookie

ターゲティング Cookie

機能性 Cookie