情報リスクの因子分析

情報リスクの因子分析（FAIR ）は、リスクに寄与する要因とそれらが相互に及ぼす影響を分類する手法です。主に、データ損失事象の頻度と規模に関する正確な確率を確立することに重点が置かれています。企業（または個人）のリスク評価を行うための方法論ではありません。[ 1 ]

FAIR もJack A. Jones によって開発されたリスク管理フレームワークであり、 Whitman & Mattord (2013)によると、組織が情報リスクを理解、分析、測定するのに役立ちます。

IT 環境におけるリスク管理やIT リスクを扱う方法論は数多くあり、これらは情報セキュリティ管理システムやISO/IEC 27000 シリーズなどの標準に関連しています。

FAIRは、リスクに関する一貫性があり、防御可能な信念ステートメントを作成する方法を提供することで、他の方法論を補完します。[ 2 ]

基本的な分類法と手法はクリエイティブ・コモンズ・ライセンスの下で非営利目的で利用可能ですが、FAIR自体はプロプライエタリです。FAIRを商業目的で他者のリスク分析に使用する場合（例えば、コンサルティングやソフトウェアアプリケーションの一部として使用する場合）、RMIからのライセンスが必要です。[ 3 ]

ドキュメント

FAIRの主な文書は「情報リスクの因子分析（FAIR）入門」、Risk Management Insight LLC、2006年11月[ 4 ]である。

このホワイトペーパーの内容とFAIRフレームワーク自体は、クリエイティブ・コモンズ 表示-非営利-継承2.5ライセンスの下で公開されています。このドキュメントではまず、リスクとは何かを定義します。「リスクとリスク分析」セクションでは、リスクの概念と、リスク分析と確率を取り巻く現実の一部について説明します。これは、FAIRを理解し適用するための共通の基盤となります。「リスクランドスケープの構成要素」セクションでは、あらゆるリスクシナリオを構成する4つの主要構成要素について簡単に説明します。これらの構成要素は、互いに組み合わさることでリスクを増大させる特性（要因）を持っています。リスクファクタリングは、情報リスクをその基本的な構成要素に分解することから始まります。結果として得られる分類法は、要因がどのように組み合わさってリスクを増大させるかを説明し、FAIRフレームワークの残りの部分の基盤を確立します。

「コントロール」セクションでは、コントロールの3つの側面について簡単に説明します。「リスクの測定」セクションでは、測定の概念と課題について簡単に説明した後、リスク要因の測定について概要を説明します。

主な概念

FAIR は、リスクは不確実なイベントであり、何が起こるかではなく、特定のイベントがどの程度起こりうるかに焦点を当てるべきであることを強調しています。この確率的アプローチは、分析されるすべての要素に適用されます。リスクは、資産に関連付けられた損失の確率です。 FAIR では、リスクは「将来の損失の起こりうる頻度と起こりうる規模」と定義されています。[ 5 ] FAIR はさらに、定量化可能な数値で測定できる起こりうる頻度と起こりうる損失を構成するさまざまな要素を細分化することで、リスクを分解します。これらの要素には、脅威イベント頻度、接触頻度、行動の確率、脆弱性、脅威対応能力、困難、損失イベント頻度、一次損失規模、二次損失イベント頻度、二次損失規模、二次リスクが含まれます。

資産

資産の損失の可能性は、それが表す価値、および／または組織にもたらす負債に起因します。[ 4 ]例えば、顧客情報は、営利組織の収益創出という役割を通じて価値を提供します。しかし、その情報を保護する法的義務がある場合、または顧客が自分の情報が適切に保護されることを期待している場合、その情報は組織に負債をもたらす可能性があります。

FAIRは6種類の損失を定義しています。[ 4 ]

  1. 生産性 - 価値を生み出すために商品やサービスを効率的に生産するための組織の縮小
  2. 対応 – 有害事象発生後の対応に費やされるリソース
  3. 交換 – 影響を受けた資産を交換/修理するための費用
  4. 罰金および判決（F/J） - 有害事象に起因する全体的な法的手続きの費用
  5. 競争優位性（CA） - セキュリティインシデントによる機会損失
  6. 評判 – イベント後の企業イメージの低下により機会損失や売上損失

FAIRは価値/負債を次のように定義しています: [ 4 ]

  1. 重大 – 組織の生産性への影響
  2. コスト – 資産の原価、損傷した資産を交換するコスト
  3. 機密性 – 情報の開示に関連するコスト。さらに以下のように分類されます。
    1. 恥ずかしさ - 開示は会社の経営陣の不適切な行動を述べている
    2. 競争優位性 - 開示に関連する競争優位性の喪失
    3. 法的/規制 – 法律違反の可能性に関連するコスト
    4. 一般 – データの機密性に関連するその他の損失

脅威

脅威エージェントは、脅威コミュニティに分類できます。脅威コミュニティとは、脅威エージェント全体のうち、主要な特性を共有するサブセットです。脅威コミュニティは、影響（損失規模）を効果的に評価するために、正確に定義する必要があります。

脅威エージェントは資産に対して異なる行動をとる可能性がある：[ 4 ]

  • アクセス – 適切な権限なしにデータを読み取る
  • 不正使用 – 資産を許可なく、または意図された使用方法とは異なる方法で使用すること
  • 開示 – エージェントは他の人にデータへのアクセスを許可します
  • 変更 – 資産の変更（データまたは構成の変更）
  • アクセス拒否 – 脅威エージェントは正当な対象ユーザーが資産にアクセスできないようにします

これらのアクションは、さまざまな資産にさまざまな方法で影響を与える可能性があります。影響は、資産の特性とその使用状況に関連して変化します。一部の資産は、重要度は高いが機密性は低く、そのような資産では、開示よりもアクセス拒否の方がはるかに大きな影響があります。一方、機密性の高いデータを含む資産は、利用できない場合は生産性への影響は低いですが、そのデータが開示されると、恥ずかしい思いをしたり法的影響を受けたりする可能性があります。たとえば、以前の患者の健康データが利用可能であることは、医療機関の生産性に影響を与えませんが、開示されると、組織に数百万ドルの損害が発生する可能性があります。 [ 6 ] 1つのイベントが複数の資産に関係する場合があります。[ラップトップの盗難]は、ラップトップ自体の可用性に影響を与えますが、そこに保存されている情報の潜在的な漏洩につながる可能性があります。

資産の特性と、その資産に対するアクションの種類の組み合わせによって、損失の基本的な性質と程度が決まります。

参照

注釈と参考文献

  1. ^技術標準リスク分類ISBN 1-931624-77-1文書番号: C081、The Open Group 発行、2009 年 1 月。
  2. ^技術標準リスク分類法、セクション1.5 ISBN 1-931624-77-1文書番号: C081、The Open Group 発行、2009 年 1 月。
  3. ^ 「The Open Group - リスクマネジメント」 The Open Group . 2019年。
  4. ^ a b c d e「情報リスクの因子分析（FAIR）入門」、Risk Management Insight LLC、2006年11月
  5. ^ Freund, Jack; Jones, Jack (2015).情報リスクの測定と管理. Waltham, MA: Butterworth-Heinemann. ISBN 9780127999326。
  6. ^フリードマン、テリー（2009年1月27日）「VA、ノートパソコンの盗難データ訴訟で2000万ドルを支払う」CNN。2022年2月1日閲覧。

引用文献

「 https://en.wikipedia.org/w/index.php?title=Factor_analysis_of_information_risk&oldid=1319883705」より取得