「リスク分析・管理」再考（その１） - セキュリティコンサルタントの日誌から

セキュリティの世界にいると、「リスク分析」や「リスクベースアプローチ」という単語を非常によく耳にします。「リスク」という概念は、セキュリティに限らず様々な局面において登場しますが、意外とその定義は難しく、明確なイメージを持っている人は少ないと思います。 今回は、様々な学術的知見や各種標準をみながら、「リスク」への理解を深めたいと思います。 リスクの定義 まず、リスクの定義について探ってみましょう。ISO/IEC 27005 Information Security RIsk Managementによれば、Information Security Riskによると、以下のように定義されています。 The potential that a given threat will exploit vulnerabilities of an asset or group of assets and t

[efcl]

リスク = 発生確率 × 影響度 = 脅威 × 脆弱性 × 資産