第3回は、具体的なリスク分析について手順を説明します(その１)
IPAの制御システムのリスク分析ガイドでは、実効的なリスクの低減を実現するためのリスク分析の手法として、詳細リスク分析を行います。
2つのリスク分析
この分析により、どこに穴があるのか、どこが最も危険なのかを知る事が出来ます。
この詳細リスク分析も、
- 資産ベースのリスク分析
- 事業被害(シナリオ)ベースのリスク分析
の２つからなり、最初に資産ベースのリスク分析を行った後（あるいは少し後から）事業被害ベースのリスク分析を行います。
ちなみに、このガイドでは膨大なリスク分析を最後まで敢行できない事業者のことも配慮して、①の資産ベースのリスク分析のみで終わったとしてもシステム内でのセキュリティ対策の参考になるような分析方法を解説しています。
分析範囲の明確化
次に手順ですが、まずは、分析の対象範囲を明確にしましょう。
- 情報ネットワーク上の機器は扱うか範囲からはずすか？
- 常時稼働していない機器を扱うかはずすか？
- 他事業所や別部署の管理するネットワークは扱うかはずすか？
等々、分析の範囲を決定します。
最初の分析では解析にかかる工数がどの程度か見積もれないと思うので、まずは最小単位での分析を行う事をお勧めします。分析ができなかった部分は次の分析の際に行えば良いのです。
注意が必要なのは、分析の途中で見つかる例外的な資産やネットワークの存在です。図面には記載されていない端末が接続されていたり、ネットワークの管理用ポートがどこからか接続されていたりと、後から解析を狂わせるような事柄はできるかぎり初期段階で記載しておくのが良いでしょう。
今後の分析で必要となる資料
分析の範囲が決定できたら、分析の前準備として以下の手順で作業をすすめます。
- 資産の洗い出し
- システム構成(ネットワーク構成を含む)についての明確化/論理化
- データフローの明確化
これらの作業をおこなうのに必要な資料はざっと以下の様なものでしょう。
- システムの資産台帳
- システム仕様書
- ネットワーク構成図(システムにおける資産の接続関係を記した図面
システム仕様書やネットワーク構成図などは、システムの増改築にともないバージョンが正確に管理されなくなってしまっているケースもあるかと思います。
新しい版のドキュメントや実際のシステムを見ながら、最新の構成を確認することをおすすめします。
