サイバーリスクスコアとは、組織がサイバー犯罪にさらされるリスクの程度や、ITの脆弱性に起因する法的責任の程度を明らかにするものです。 サイバーリスクスコアは、サイバーセキュリティにおける一種の信用スコアだとお考えください。 リスクスコアレポートは、組織のIT資産管理プログラムの充実度を、社内外に伝えるための有効な手段となります。
組織では、サイバーリスクスコアを活用して、ベンダーの評価や社内の脆弱性管理を行っています。 民間企業においては、サイバーリスクのスコアリングがビジネスの日常的な一環となりつつあります。ダン・アンド・ブラッドストリート社は、自社のビジネス情報サービスに「 サイバーリスク評価（ ）」という製品を追加しました。
企業のサイバーリスクスコアは、M&Aの機会から保険料率に至るまで、あらゆる面に影響を及ぼす可能性があります。 サイバーリスクスコアを監視し、その改善策を模索することは、サイバーセキュリティにおいて不可欠となっており、最高情報セキュリティ責任者（CISO）にとって重要な任務となっています。
サイバーリスクスコアは、クレジットスコアと同様に数値で表すことも、パーセンテージで示すこともできます。この場合、 100％は、組織のすべてのサイバーセキュリティ上の脆弱性が完全に把握されている状態を表します。 このスコアは、効果的な パッチ管理（ ）や監視ツール（）などの対策によって、リスクの何パーセントが軽減されたかを示しています。 残るのは、許容されるリスク、すなわち組織が容認する意思のある残存リスクの水準です。
[関連記事：この人物の計算式を使えば、サイバーリスクの（正確な）予測がさらに簡単になりました]
組織が許容するリスクは、そのサイバーセキュリティ予算、既知の脆弱性を軽減しやすさ、およびリスク許容度によって異なります。
サイバーリスクスコアはどのように算出されるのでしょうか？
サイバーリスクスコアを作成する最初のステップは、IT資産に優先順位をつけ、 それぞれについてリスク要因を評価し、 組織全体に内在するリスクの全体像を把握することです。 この評価には、以下の内容を含める必要があります：
- クラウドデータ。 クラウドは、データを共有する必要があるチームにとって非常に優れたツールですが、可観測性の欠如により、データ漏洩のリスクを高める可能性があります。
- 脆弱性評価。 まずは、システム内の潜在的な脆弱性を洗い出してください。
- 現在実施されている管理措置および計画中の管理措置。 御社では、脆弱性管理に関してすでにどのような対策が講じられていますか。また、どのような追加の対策が必要でしょうか。
- 資産の価値。 データ資産の重要性は、組織の業務におけるその役割に基づいて評価することができ、サイバーセキュリティ計画においては、重要なデータを優先的に扱うことになります。
「サイバーリスクスコアリングは、中堅・大企業にとって『あれば便利なもの』ではなく、『必須のもの』です。」
- データの機密性。 サイバーリスクを評価するもう一つの方法は、データ漏洩がもたらす影響を把握することです。 消費者プライバシーに関する規則やその他の規制枠組みの対象となる記録については、違反が発生した場合のコスト（罰金や社会的信頼の喪失など）が高額になる可能性があるため、より高いレベルのデータ保護が求められます。
- IT資産の検出。 新型コロナウイルスのパンデミック以前から、仕事と私生活の境界線は曖昧になっていました。 現在、リモートワークを行う人が大幅に増えたことで、サイバーセキュリティ上の脆弱性となり得るエンドポイントの数が増加すると同時に、IT資産の特定という課題も深刻化しています。 リモートワーカーは、IT部門による審査を受けていないソフトウェアをダウンロードすることが多く、それがさらなるリスクをもたらしています。 さらに、IT部門による監督が不十分なスタッフは、ソフトウェアの更新プログラムをインストールし損ね、アプリケーションに重大な脆弱性が残ってしまう可能性があります。 継続的な資産の検出は、ソフトウェア のインベントリ管理 およびパッチ管理において極めて重要です。
- 脅威の評価。 脅威エコシステムの評価には、外部のサイバーセキュリティリスク環境に関する調査と分析が含まれます。
サイバーセキュリティリスクに関するさまざまなフレームワークにはどのようなものがありますか？
サイバーセキュリティ・リスク・フレームワークとは、組織がサイバーリスクを軽減するために策定した一連のプロセスおよびガイドラインのことです。
サイバーセキュリティリスク管理プログラムは、多くの場合、 のサイバーセキュリティフレームワーク（）の要件の1つ以上を順守しています。 最も広く採用されているサイバーセキュリティのフレームワークには、次のようなものがあります：
- 米国国立標準技術研究所（NIST）。 NIST（米国国立標準技術研究所）の は、政府の重要資産を保護するために「」フレームワーク（ ）を策定しましたが、サイバーリスク評価に関する「」基準（ ）は、あらゆる組織に適用可能です。
- 国際標準化機構（ISO）。 ISO（ ）は、情報セキュリティマネジメントをはじめとするさまざまな分野において、国際規格を策定しています。 ISO/IEC 2700 規格群は、国際的な脆弱性管理のための枠組みを提供しており、複数の国で事業を展開する企業にとって極めて重要です。
- 一般データ保護規則。 一般データ保護規則（ 、GDPR） は、EU市民の個人データを保護するための一連の規則です。 この規則は、EU市民がウェブサイトを訪問する際のデータ収集に適用されるため、ウェブサイトの運営者がどこに拠点を置いているかに関わらず、世界中の多くの組織がGDPRの基準に準拠しています。
- カリフォルニア州消費者プライバシー法。 カリフォルニア州の「 （CCPA）」と呼ばれる消費者プライバシー法（ ）は、個人データの保護という目的やデータ取り扱いに関する要件において、GDPRと類似しています。 EUの規制と同様に、CCPAのオンラインデータ収集に関する規定は、カリフォルニア州外の企業にも影響を及ぼします。 この法律の改正は、 2023年に施行されます。
- ペイメント・カード・インダストリー・データ・セキュリティ・スタンダード。 クレジットカード決済を処理したい組織は、 （PCI DSS）への準拠を証明する必要があります。これは、消費者情報を保護し、不正利用を防止することを目的として業界が策定した基準です。
- 医療保険の携行性と責任に関する法律。 HIPAAは、患者の医療記録を取り扱う組織を対象とした、米国のデータ保護基準を定めています。
- サイバーセキュリティ成熟度モデル認証（CMMC）。 CMMC では、 米国国防総省（ Department of Defense （DoD） ）と契約を結ぶすべての組織に対し、サプライチェーン全体にわたる国防総省のデータを保護するために、特定のサイバーセキュリティプロトコルを遵守することが求められています。
消費者の機密情報を扱う企業は、多くの場合、業界ごとに定められたサイバーセキュリティリスク管理の枠組みに従わなければなりません。 必要なサイバーセキュリティリスクフレームワークに準拠した一連の社内基準を策定することは、サイバーリスク管理計画を策定する上で極めて重要です。
ITリスクスコアにおいて、どのデータソースが重要なのでしょうか？
簡単に言えば、すべてです。 未把握の資産は管理不能なリスクとなるため、IT資産の可視化はリスク評価において極めて重要です。
サイバーリスクスコアに影響を与える主なデータソースは以下の通りです：
- クラウドデータ。 クラウドは、データを共有する必要があるチームにとって非常に優れたツールですが、可観測性の欠如により、データ漏洩のリスクを高める可能性があります。
- サーバー。 組織のサーバーを内部および外部の脅威から保護することは、サイバーリスクの管理において最優先事項です。
- 従業員の端末にあるファイル。 IT資産の棚卸しには、 の従業員が業務を行うために使用するノートパソコン、タブレット、スマートフォン、およびその他の エンドポイントデバイスに保存されている業務データを含める必要があります。 完全かつ正確なITリスクスコアを算出するためには、すべてのエンドポイントを棚卸しし、評価する必要があります。
- 第三者。 サードパーティによるリスクには、ソフトウェア・アズ・ア・サービス（SaaS）、パートナーと共有されるデータ、および自社のITエコシステムへのアクセスを許可したベンダーなどが含まれます。
サイバーリスクの評価を行うことには、どのようなメリットがあるのでしょうか？
サイバーリスクのスコアリングは、複雑なデータセットを、理解しやすい概念に変換するものです。 リスクスコアは、組織のサイバーリスク管理方針や取り組みの価値を、社内外のステークホルダーに効果的に伝えるための有効な手段です。
オンライン化が進んだ現代において、中堅・大企業にとって、サイバーリスクスコアリングは「あれば便利なもの」ではなく、「必須のもの」となっています。 一例を挙げると、保険会社はサイバーリスクスコアを参考にし、その組織が保険の対象となるかどうかを判断しています。 サイバーセキュリティのリスクレベルが低い組織は、ハッキングやデータ漏洩には多額の費用がかかるため、より低い保険料で契約を結ぶことができるようになります。
「サイバーセキュリティのリスクレベルが低い組織は、情報漏洩が発生すると多額の費用がかかるため、より低い保険料を交渉できるようになります。」
貴組織のデータ保護および インシデント管理 に関するポリシーも、金融取引に大きな影響を及ぼす可能性があります。 それは、サイバーリスクスコアが、他の組織がパートナーやサプライヤーを審査する際に考慮する指標の一つだからです。 また、サイバーセキュリティの見通しが芳しくないことは、M&A交渉においてマイナス要因となり得ます。
さらに、サイバーリスクスコアは、CISOにとって、 のパフォーマンス監視（ ）やの設定管理（ ）といったリスク軽減プログラムの重要性を、他の役員に伝えるための強力なツールとなります。 最近、注目を集めたランサムウェア攻撃により経営陣の関心が集まっていますが、多忙な経営幹部にサイバーセキュリティの微妙なニュアンスを伝えることは、依然として難しい課題となっています。 サイバーリスクスコアは、経営陣がすぐに把握できるデータポイントとなり、サイバーセキュリティ対策の改善状況を追跡するための指標となります。
サイバーリスク評価とは何でしょうか？
サイバーリスク評価とは、潜在的なサイバーセキュリティリスク、リスクを管理するための対策、および軽減されなかった残存リスクを洗い出すことです。
サイバーリスクスコアを算出するために必要なデータを収集する上で、最も効果的なアプローチは多角的なものです。 信頼できるパートナーに委託する場合でも、社内のITリソースを活用する場合でも、CISOはまず、各部門の責任者やマネージャーから、データ保護の要件や実践方法に関する意見を収集することから始めることができます。 また、業務で使用する機器や道具の一覧を作成するよう、スタッフに依頼することもできます。 しかし、この情報は不可欠である一方で、サイバーリスクスコアを正確に算出するために不可欠な情報が見落とされる可能性があります。
[関連記事：サイバーセキュリティツールは多すぎるのに、可視性が不足していませんか？]
IT資産の徹底的な棚卸し 、、 ソフトウェア資産管理、および脅威評価計画がなければ、適切なインシデント対応計画を策定することはできません。 のIT資産自動検出ツール「 」を導入することで、ネットワークの可視性が向上し、組織のサイバーリスクスコアを正確に算出できるようになります。
外部サイバーリスクと内部サイバーリスクの違いは何でしょうか？
外部サイバーリスクとは、企業の外部から生じる脅威を指します。 外部リスクには、分散型サービス拒否攻撃（DDoS）、データ漏洩、およびランサムウェアなどが含まれます。 どんなに優れた脆弱性管理戦略であっても、ある程度の残存リスクはつきものです。そのため、堅牢なインシデント対応計画を策定しておくことが極めて重要です。 今日のCISOの多くにとって、問題は「サイバー犯罪者が自社を標的にするかどうか」ではなく、「いつ標的にされるか」、そして「その際にどのように対応するか」という点にあります。
内部のサイバーリスクは、組織内部、ベンダー、またはパートナーに起因するものです。 これらの脆弱性には、人的要因とITセキュリティの両方が含まれます。 内部のサイバーセキュリティリスクの原因としては、次のようなものが挙げられます：
- エンドポイントの可視性の欠如。 IT資産のインベントリには、IT部門が管理・統制しているデバイス上のソフトウェアだけでなく、従業員が業務目的で使用するすべてのエンドポイント上のアプリ（個人所有のデバイスを含む）も含まれます。 堅牢かつ継続的なIT資産の検出プロセスは、適切なセキュリティ対策が講じられていない不正なデバイス上に機密データが残らないようにするための最善の戦略です。
- 人為的なミスです。 人間が犯しがちなミスとしては、メールを間違った相手に送信してしまったり、 のフィッシング詐欺 にパスワードを教え込んでしまったりすることが挙げられます。 従業員には、不審なメールを見分けるための研修を受けさせ、 のパスワードを強固なものに設定するよう義務付ける必要があります。。 トレーニングは、悪意のある通信をフィルタリング・ブロックするソフトウェアと組み合わせて使用することで、最も効果を発揮します。
- 承認されていないソフトウェア。 従業員が、CISOのチームによる審査を受けていないソフトウェアをダウンロードすると、それに伴ってマルウェアが侵入する恐れがあります。 また、たとえそのソフトウェアに悪意のあるコードが含まれていなくても、セキュリティ上の課題となる可能性があります。 パッチ管理プログラムでは、インベントリに登録されていない問題を修正することはできません。 ソフトウェアの資産管理、特にリモート端末における管理は、サイバーリスクを低減するために極めて重要です。
- 内部からの妨害行為。 不満を抱えた従業員が機密情報を漏洩させたり、社内でサイバー攻撃を仕掛けたりするとは想像しづらいかもしれませんが、そのリスクは現実のものなのです。 厳格なセキュリティおよびエンドポイント管理のプロトコルに加え、迅速かつ徹底した解雇・退職手続きを通じて、従業員に関連するリスクを軽減することができます。
- サプライチェーン攻撃。 『 2020年12月 』誌に掲載された「」という記事（ ）で取り上げられたSolarWindsのサプライチェーン攻撃は、悪意のある攻撃者が信頼されているベンダーを悪用して、企業や政府機関に不正に侵入することがいかに容易であるかを浮き彫りにしました。 外部パートナーのサイバーリスクスコアを確認することは、今やビジネス関係を構築する際の最初のステップの一つとなっています。 外部の事業体に自組織の機密データへのアクセス権限を与える提携を開始する前に、脆弱性を軽減するため、双方が強固なデータ保護方針を整備していることを確認することが極めて重要です。
サイバーセキュリティにおける「残留リスク」とは何でしょうか？
残存リスクとは、統制措置を講じた後も残るリスクのことです。 残存リスクを定量化するには、まず、固有のリスクと、リスク軽減策の有効性を正確に評価することから始めます。 残るのは、残存リスクです。 のIT資産発見プログラムは、信頼性の高い残存リスク評価を策定する上で不可欠なステップです。
リスクスコアリングは、ランサムウェアの防止にどのように役立つのでしょうか？
サイバーリスク評価のプロセスは、組織のサイバーセキュリティへの取り組みを具体化することで、 ランサムウェア攻撃 に先手を打つのに役立ちます。 健全なサイバーリスクスコアを重視する組織は、脆弱性管理を真剣に捉えています。
「CISOにとっての問題は、サイバー犯罪者が自組織を標的にするかどうかではなく、いつ標的にされるか、そしてその際にどのように対応するかということです。」
サイバーリスク評価を行うことで、システムの強みと弱みを把握でき、リソースを賢明に配分できるようになります。 サイバー攻撃が成功してしまうのは、ソフトウェアの更新を適用し忘れたり、パッチ管理が不十分だったりといった、本来なら防げたはずのミスが原因であることがあります。 サイバーリスク評価を行うことで、こうした問題が情報漏洩につながる前に、そのリスクを浮き彫りにすることができます。 この評価では、お客様のIT資産の価値と、既知の脆弱性による脅威の程度をランク付けします。 これにより、的を絞ったランサムウェア対策戦略のための、証拠に基づいた基盤が得られます。
ランサムウェアの脅威に対処するのに最適な時期は、攻撃を受ける前です。 リスクスコアリングにより、ランサムウェア対策のための具体的な指針が得られます。
[Read also: Ransomware 101—what is it and how do I prevent an attack?]
リスクベースの脆弱性管理は、ITをどのように簡素化するのでしょうか？
IT部門には多くの競合する目標があり、脆弱性管理が最優先事項となることはあまりありません。 リスクベースのアプローチでは、IT管理者に対して、ソフトウェアのインベントリ管理、パッチ管理、構成管理など、具体的に実行すべきタスクが提示されます。
リスクベースのアプローチは、IT部門に対し、脆弱性管理における自らの役割を把握する手段を提供するだけでなく、改善度を測定するための指標も提供します。 これにより、IT部門は明確に定義された業務を通じて、サイバーリスクの軽減に積極的に取り組むことが可能になります。
サイバーリスクスコアを向上させ、サイバーリスクを軽減するにはどうすればよいでしょうか？
サイバーリスクスコアが判明したら、次の目標は、管理体制を改善し、残存リスクのレベルを低減することです。 スコアを上げるのに役立つ手順をいくつかご紹介します：
- 継続的なパフォーマンス監視を実施してください。 サイバー脅威の状況や、御社の脆弱性は急速に変化する可能性があります。 したがって、サイバーリスクスコアは、単にその時点の状況を示すものであってはなりません。 のパフォーマンス監視ツール（ ）を使用すれば、システム内の数千に及ぶエンドポイントのいずれにおいても、セキュリティ上の問題に関する正確かつ最新のレポートを取得することができます。
- 構成管理を優先してください。 システムのデフォルト設定が誤っていると、システムがハッカーの攻撃を受けやすくなるなど、さまざまな悪影響が生じる可能性があります。 サイバーリスク軽減計画の一環として、 のセキュリティ設定管理および による定期的な点検を組み込んでください。
- ソフトウェアや自動化ツールを活用して、リスクを軽減しましょう。 自動化により、リスクレベルを継続的に監視することができます。 潜在的な脆弱性について早期に警告を発するため、新たに発生するサイバー脅威への対策を万全に整えることができます。
- サイバーセキュリティを職場文化の一部にしましょう。 サイバーリスクの軽減に確固たる取り組みを行っている組織では、従業員は、データ保護が全員の職務の一環であると認識されている職場文化に身を置くことになります。 サイバーセキュリティ研修は、入社時のオリエンテーションの段階から開始し、定期的に復習や注意喚起を行うべきです。
- エンドポイント制御を実施してください。 従業員が業務で使用するすべての端末を特定し、保護してください。
- インシデント対応計画を策定してください。 セキュリティ侵害が発生した場合、迅速なインシデント対応を行うことで、業務データの損失や評判の低下を最小限に抑えることができます。
サイバーリスクを、CISOの戦略を正当化する根拠としてどのように活用できるでしょうか？
サイバーリスクスコアリングは、CISOにとって、組織のITシステムの脆弱性のレベルを定量化する優れたツールとなります。 このスコアは、特定のサイバーセキュリティリスク要因の微妙な違いを理解するための技術的知識を持たない社内関係者に対し、サイバーリスクのレベルを効果的に伝える手段となります。 外部のパートナーが御社のサイバーリスク評価を信頼しているという事実は、そのシステムの安全性を維持するために必要な時間と費用を投資する正当な理由となります。
[関連記事：今日のITおよびサイバーセキュリティにおける最大の課題とは？]
サイバーリスクの指標は、組織内でサイバーセキュリティの緊急性を伝える上でも役立ちます。 サイバーリスクスコアを活用することで、各部門の責任者やスタッフに、サイバーセキュリティプロトコルに従うことで残存リスクを低減するという取り組みへの協力を得ることができます。
サイバーリスクスコアを算出するために使用するデータの質が、最終的にそこから得られる価値を左右します。 継続的なリスク評価には手間がかかりますが、サイバーリスクを軽減するために費やすリソースは、大規模な情報漏洩が発生した場合のインシデント対応にかかるコストに比べれば、ごくわずかなものです。
その他のリソース：
Tool Sprawl Threatens Post-Pandemic Security Cyber Hygiene 101 Ultimate Guide to AI Cybersecurity: Benefits, Risks, and Rewards
