ストーリー

リスクの基本概念

リスクの定義

リスク = 脅威 × 脆弱性 × 影響度

リスクマトリクス

リスクマトリクスは、発生可能性と影響度の2軸でリスクを可視化するツールです。

5段階リスクマトリクス

リスクレベルと対応方針

DREADスコアリング

DREADは、各脅威を5つの観点から1-10のスコアで評価するモデルです。

スコアリング基準

// DREADスコアリングの実装例
interface DreadScore {
  damage: number;          // 1-10
  reproducibility: number; // 1-10
  exploitability: number;  // 1-10
  affectedUsers: number;   // 1-10
  discoverability: number; // 1-10
}

interface RiskAssessment {
  threatId: string;
  threatName: string;
  dread: DreadScore;
  totalScore: number;
  riskLevel: 'Critical' | 'High' | 'Medium' | 'Low';
}

function calculateDreadScore(dread: DreadScore): number {
  const { damage, reproducibility, exploitability, affectedUsers, discoverability } = dread;
  return (damage + reproducibility + exploitability + affectedUsers + discoverability) / 5;
}

function classifyRisk(score: number): RiskAssessment['riskLevel'] {
  if (score >= 8) return 'Critical';
  if (score >= 6) return 'High';
  if (score >= 4) return 'Medium';
  return 'Low';
}

// 実際のリスク評価例
const assessments: RiskAssessment[] = [
  {
    threatId: 'T-001',
    threatName: 'SQLインジェクションによるデータ漏洩',
    dread: {
      damage: 9,          // 全顧客データが漏洩
      reproducibility: 8,  // 入力フォームから再現可能
      exploitability: 6,   // SQLiの知識が必要
      affectedUsers: 10,   // 全ユーザーが影響
      discoverability: 7,  // 自動スキャンで発見可能
    },
    totalScore: 8.0,
    riskLevel: 'Critical',
  },
  {
    threatId: 'T-002',
    threatName: 'CSRF攻撃による不正操作',
    dread: {
      damage: 5,          // 個別ユーザーの操作
      reproducibility: 7,  // 悪意のあるサイト経由で再現
      exploitability: 5,   // HTMLの知識で実行可能
      affectedUsers: 3,    // 攻撃を受けたユーザーのみ
      discoverability: 6,  // コードレビューで発見可能
    },
    totalScore: 5.2,
    riskLevel: 'Medium',
  },
];

リスク優先順位の決定

リスクの4つの処理戦略

// リスク処理計画の構造
interface RiskTreatmentPlan {
  riskId: string;
  strategy: 'Mitigate' | 'Accept' | 'Transfer' | 'Avoid';
  actions: TreatmentAction[];
  residualRisk: RiskAssessment['riskLevel'];  // 対策後の残留リスク
  owner: string;
  deadline: string;
}

interface TreatmentAction {
  description: string;
  effort: 'Low' | 'Medium' | 'High';
  cost: number;                               // 推定コスト（人日）
  effectiveness: number;                       // リスク低減率（%）
}

// リスク処理計画の例
const treatmentPlans: RiskTreatmentPlan[] = [
  {
    riskId: 'T-001',
    strategy: 'Mitigate',
    actions: [
      {
        description: 'ORMへの移行（パラメータ化クエリの強制）',
        effort: 'Medium',
        cost: 5,
        effectiveness: 90,
      },
      {
        description: 'WAFルールの追加',
        effort: 'Low',
        cost: 1,
        effectiveness: 70,
      },
      {
        description: 'SQLインジェクション検出のSASTルール追加',
        effort: 'Low',
        cost: 0.5,
        effectiveness: 80,
      },
    ],
    residualRisk: 'Low',
    owner: 'セキュリティチーム',
    deadline: '2024-04-30',
  },
];

リスクアセスメントの実施手順

実施フロー

1. 資産の特定
   │  「何を守るべきか」を明確にする
   ▼
2. 脅威の特定（STRIDE）
   │  各資産に対する脅威を洗い出す
   ▼
3. 脆弱性の特定
   │  現在の対策の弱点を評価する
   ▼
4. リスクの評価（DREAD / リスクマトリクス）
   │  発生可能性 × 影響度でスコアリング
   ▼
5. リスクの優先順位付け
   │  スコアに基づいてランキング
   ▼
6. リスク処理計画の策定
   │  緩和・受容・移転・回避を決定
   ▼
7. 残留リスクの評価
   │  対策後のリスクレベルを再評価
   ▼
8. 定期的なレビュー
      環境変化に応じてリスク評価を更新

まとめ

チェックリスト

• リスクの基本概念（脅威・脆弱性・影響度）を説明できる
• リスクマトリクスを使ってリスクを分類できる
• DREADスコアリングで脅威を定量評価できる
• 4つのリスク処理戦略を適切に選択できる
• リスクアセスメントの実施手順を理解した

次のステップへ

次は「セキュリティアーキテクチャの原則」を学びます。多層防御や最小権限の原則など、セキュアなシステムを設計するための根本原則を身につけましょう。

推定読了時間: 30分