No7 制御システムのリスク分析ブログ(ICSSブログ) -事業被害ベースのリスク分析その1
タイトルにいくつも番号があって変ですね。ちょっと整理しました。
今回は事業被害ベースのリスク分析についてご紹介します。
【事業被害とは】
事業被害は分析する組織で起こる事業の継続や組織の存続、社会に悪影響を与える被害の事を指します。
生産が止まる、人的被害が出る、周囲を汚染するなど分析者によってその内容と規模は変わります。
【事業被害ベースのリスク分析とは】
これはそういった事業被害がサイバー攻撃によってどのように引き起こされる可能性があるのか、シナリオを作って被害の発生する要素を洗い出していく分析です。例えば、生産用の装置が壊れれば生産は停止します。しかしそれは代替機を使うとか障害を取り除くだけで簡単に復旧できるかもしれませんが、通常なら異常が発生すれば止まるはずの生産用の装置が暴走し、爆発を引き起こすとなると被害は大きくなります。
そういう被害は何がどうなると発生し、それを防ぐためにはどこをどう改善すべきかの検討を行っていくための分析が事業被害ベースのリスク分析です。
【資産ベースのリスク分析との違い】
資産ベースのリスク分析では、個々の資産のセキュリティ的な堅牢度合いを調べる分析でした。これは資産をくまなく強化するためには大切な分析ですが、一方で、全ての資産にくまなく対策ができるか、というとそうとも限りません。コストもそうですが、制御システムの場合長期にわたる可用性が求められているため、古い対策が困難な資産が散在しているケースが多いのです。事業被害ベースのリスク分析では、そのような場合でもどこを止めれば大きな被害につながらないのか、といった観点から分析を行います。
【分析に必要なもの】
事業被害ベースのリスク分析では、システム構成図やデータフロー図、資産ベースのリスク分析で調べた各資産のセキュリティ対策状況などの情報が必要となります。そのため、資産ベースのリスク分析が終わったり、ある程度進んだ段階から事業被害ベースのリスク分析を始めます。
次回は実際の分析の進め方をご紹介しましょう。