脅威、脆弱性、およびリスク

よく混同される3つの言葉があります。これらを区別できると、セキュリティの残りの部分も理解しやすくなります。

• 脅威とは、被害を引き起こす可能性があるものです。犯罪者、不注意によるミス、嵐、停電、洪水などが当てはまります。
• 脆弱性とは、脅威に利用される可能性がある弱点です。鍵をかけ忘れたドア、更新されていないソフトウェア、メモに書かれたパスワードなどが例です。
• リスクとは、脅威が弱点を利用する可能性に、結果がどれほど深刻になるかを掛け合わせたものです。

例を見てみましょう。川は、洪水を起こす可能性があるため、家にとって脅威です。谷の底に住んでいることが脆弱性です。リスクとは、洪水が起きる可能性と、起きた場合の被害の大きさを合わせたものです。家具を2階に移しても、川そのものをなくすことはできません。影響の一部を小さくできるのです。

リスクの評価。チームでは通常、1（低い）から5（高い）のような簡単な尺度で、それぞれのリスクに2つの点数を付けます。

• 起こりやすさ：次の1年以内に起こる可能性はどのくらいあるか？
• 影響：起きた場合、どれほど深刻になるか？

そして、リスク = 起こりやすさ × 影響です。それぞれのリスクを5 × 5のグリッド（リスクマトリクス）に配置すると、右上の角に最も緊急性の高い問題が集まります。架空の例を見てみましょう。

これらの点数は順序尺度での判断です（順序はありますが、正確な値ではありません）。12というスコアは、6の「2倍現実的」という意味ではありません。このグリッドは、整理して話し合うための方法であり、物理量の測定ではありません。話し合いを始めるきっかけとして活用し、その極限については正直に考えましょう。

リスクに対して何ができる？ 標準的な答えは4つあります：

• 減らす：発生する可能性や影響、またはその両方を小さくする対策を追加する（更新、バックアップ、ロック、トレーニングなど）。
• 受け入れる：十分に小さい、または対処するには費用がかかりすぎると判断し、リスクを知ったうえで受け入れる。
• 移転する：保険や信頼できるサービス提供者などを通じて、費用の一部をほかの人に負担してもらう。
• 避ける：リスクのあることをやめる（必要のないデータは集めない）。

追加する対策は管理策と呼ばれます。どの管理策にもコスト（お金、時間、便利さ）があるため、防御側の本当の仕事は、予算内でリスクを最も大きく減らすことです。

零リスクは存在しません。 鍵のかかった部屋で電源を切ったコンピューターでさえ、盗まれたり故障したりする可能性があります。目標は零ではなく、理解され、受け入れられるリスクです。