サイバーセキュリティ脅威対策のためのビジネスリスク評価システムの提案

摘要

2015年6月に発覚した日本年金機構の個人情報漏洩事件より，組織内のリスク共有体制の不備や対処判断の遅れが一つの要因となり，被害拡大を招いたと分析されている．また，日本ではサイバーインシデントにあたって，経営者のリーダーシップが十分に発揮されていない組織が多いことも課題となっている．経営者のセキュリティに関するリスク管理が十分でない原因として，ビジネス上のリスクとして判断に資する情報を経営者に提供できていないことが挙げられる．本報告では，既報のセキュリティリスク評価技術の結果を活用し，ビジネス上のリスクを経営者に提供するため，（1）その脅威によるインシデント発生可能性と影響業務，（2）インシデント発生時の想定損失額，（3）事前対策した場合の投資効果の3つの指標を提示するシステムを提案する．これらの指標により，サイバーセキュリティ脅威におけるビジネス上のリスクを把握しやすくし，組織内のリスクコミュニケーションと組織のリスク経営を支援し，適切なセキュリティ対策を促進することができると考える．