コンピュータセキュリティ分野におけるリスクとは、組織が保有する情報資産の「機密性」「完全性」「可用性」を脅かす潜在的な危険性のことである。情報技術リスク、ITリスク、IT関連リスク、サイバーリスクともいわれる。
情報は古くから価値ある重要な資産として認識されてきたが、知識経済の台頭やデジタル革命により、組織は情報、情報処理、特にITへの依存度をますます高めている。そのため、何らかの形でITを危険にさらす様々な事象やインシデントは、組織のビジネスプロセスやミッションに対し、取るに足らないものから壊滅的な規模のものまで、悪影響を及ぼす可能性がある。
様々なタイプの事象・インシデントが発生した場合に予測される影響や結果と、その発生確率や可能性を評価することは、ITリスクを評価・測定する一般的な方法である「リスクとは、危険な事象または暴露の発生の可能性と、その事象または暴露によって引き起こされ得る負傷または疾病の重篤度の組み合わせである」（OHSAS 18001:2007）。 ITリスクの代替的な測定方法には、通常、脅威、脆弱性、暴露、資産価値といった他の寄与要因の評価が含まれる。
定義
ISO
ITリスク： ある脅威が、ある資産または資産グループの脆弱性を利用し、それによって組織に損害を与える可能性。これは、事象の発生確率とその結果の組み合わせによって測定される。ISO/IEC, "Information technology – Security techniques-Information security risk management" ISO/IEC FIDIS 27005:2008
NIST
多くのNIST（米国国立標準技術研究所）の出版物が、ITの文脈におけるリスクを様々に定義している。FISMA（連邦情報セキュリティマネジメント法）専門のFISMApedia の用語集FISMApedia Risk term にはリストがある。その中には以下のものが含まれる： NIST SP 800-30による定義：NIST SP 800-30 Risk Management Guide for Information Technology Systems リスクは、ある脅威源が特定の潜在的脆弱性を利用する可能性と、その不利な事象が組織に及ぼす結果的な影響の関数である。 NIST FIPS 200FIPS Publication 200 Minimum Security Requirements for Federal Information and Information Systems より： リスク – 脅威の潜在的な影響と、その脅威が発生する可能性を考慮した上で、情報システムの運用から生じる、組織の運営（ミッション、機能、イメージ、評判を含む）、組織の資産、または個人への影響のレベル。
NIST SP 800-30 は、以下のように定義している： 以下の点を考慮した正味のミッションへの影響： 特定の脅威源が、特定の情報システムの脆弱性を（偶発的に引き起こす、または意図的に悪用する）確率、および これが起こった場合の結果として生じる影響。IT関連リスクは、以下に起因する法的責任またはミッションの損失から発生する： （悪意または偶発による）情報の不正な開示、変更、または破壊 意図しないエラーや脱漏 自然災害または人為的災害によるITの停止 ITシステムの実装および運用における相当な注意と努力の欠如。
ISACA
ISACAは、ITの利用に関連するすべてのリスクに関するエンドツーエンドの包括的な見解を提供するために、Risk ITフレームワークを発行した。そこでは、ISACA THE RISK IT FRAMEWORK (registration required) ITリスクは次のように定義されている： 企業内におけるITの使用、所有、運用、関与、影響、および導入に関連するビジネスリスク Risk ITによれば 、ITリスクはより広い意味を持つ。それは、組織の価値の破壊または減少をもたらし得る運用およびサービス提供の否定的な影響だけでなく、技術を利用してビジネスを可能にしたり強化したりする機会を逃すことに関連する便益・価値実現リスク、あるいは過剰支出や納期の遅れといったビジネスに悪影響を与える側面に関するITプロジェクト管理リスクも包含する。
ITリスクの測定
リスク測定の基本原則 測定できないものを効果的かつ一貫して管理することはできず、定義していないものを測定することはできない。FAIR: Factor Analysis for Information Risks Technical Standard Risk Taxonomy Document Number: C081 Published by The Open Group, January 2009.
ITリスク（またはサイバーリスク）の測定は、多くのレベルで行われ得る。ビジネスレベルでは、リスクはカテゴリー別に管理される。最前線のIT部門やNOCは、より個別具体的なリスクを測定する傾向がある。これら（訳注：異なるレベルのリスク）の間の関連性を管理することは、現代のCISOにとって重要な役割である。
リスクの4つの基本要素 リスクマネジメントには4つの基本的な力が関わっており、これはサイバーセキュリティにも当てはまる。それらは、資産、影響、脅威、可能性である。価値を持つ有形および無形のものである資産については、内部的な知識があり、かなりの程度コントロールできる。資産の喪失または損害を指す影響についても、ある程度コントロールできる。しかし、敵対者とその攻撃方法を表す脅威は、コントロールの及ばない外部要因である。可能性は、この中ではワイルドカード（予測不能な要因）である。可能性は、脅威がいつ具体化し、成功し、損害を与えるかを決定する。可能性を完全にコントロールすることはできないが、リスクを管理するために、可能性を形成し、影響を与えることはできる。
リスクの計算モデル
一般的な数式モデル 数学的には、リスクを次のような式で表すことができる： https://wikimedia.org/api/rest_v1/media/math/render/svg/aaccb73bd32410e06af19cce9ac55def89fee2f4
ここで、p() は脅威が資産に対して具体化・成功する可能性であり、d() は発生し得る様々なレベルの損害の可能性である。
R = L × I モデル リスク R は、セキュリティインシデントが発生する可能性 L と、そのインシデントによって組織が被る影響 I の積である。 R = L × I
セキュリティインシデント発生の可能性は、脅威が出現する可能性と、その脅威が関連するシステムの脆弱性をうまく利用できる可能性の関数である。セキュリティインシデント発生の結果は、組織の資産が受ける損害の結果として、そのインシデントが組織に与えるであろう影響の関数である。損害は、組織にとっての資産の価値に関連する。同じ資産でも、組織によって価値が異なる場合がある。
したがって、Rは4つの要因の関数となり得る A = 資産の価値 T = 脅威の可能性 V = 脆弱性の性質、すなわち悪用される可能性（攻撃者にとっての潜在的利益に比例し、悪用のコストに反比例する） I = 推定される影響、すなわち損害の程度
もし数値（影響については金額、他の要因については確率）を用いれば、リスクは金額で表すことができ、対策のコストや、セキュリティ管理策を適用した後の残存リスクと比較することが可能である。これらの値を表現することが常に実用的であるとは限らないため、リスク評価の第一段階では、リスクは3段階または5段階の無次元の尺度で格付けされる。
主要な用語の定義 ITリスクマネジメントの分野では、業界固有の多くの用語や技法が生まれている。一部の業界用語は、まだ調整がとれていない。例えば、脆弱性という用語は、発生の可能性と同じ意味で使われることが多く、問題となる可能性がある。よく見られるITリスクマネジメントの用語と技法には、以下のものがある。
情報セキュリティ事象（Information security event） 情報セキュリティポリシーの違反、または保護策の不備の可能性を示す、特定されたシステム、サービス、またはネットワークの状態の発生。あるいは、以前は知られていなかったが、セキュリティに関連する可能性のある状況。
事象は、確実な場合も不確実な場合もある。 事象は、単一の発生、または一連の発生であり得る。（ISO/IEC Guide 73）
情報セキュリティインシデント（Information security incident） 事業運営を危うくし、情報セキュリティを脅かす重大な可能性を持つ、単一または一連の望ましくない情報セキュリティ事象によって示される
システムのセキュリティまたはパフォーマンスに、実際または潜在的に悪影響を及ぼすと評価された事象 [G.11]。
影響（Impact） 望ましくないインシデント [G.17] の結果。(ISO/IEC PDTR 13335-1)
結果（Consequence） 事象 [G.11] の結果である。
1つの事象から複数の結果が生じることがある。 結果は、肯定的なものから否定的なものまであり得る。 結果は、定性的または定量的に表現できる（ISO/IEC Guide 73）
OWASPガイドラインによるリスクの推定 OWASPは、以下に基づく実用的なリスク測定ガイドラインを提案している。それぞれ0～9のスケールで評価する。
可能性（Likelihood）の推定 脅威エージェント要因 スキルレベル： この脅威エージェントのグループは、技術的にどの程度熟練しているか？ 技術スキルなし (1)、いくらかの技術スキル (3)、上級コンピュータユーザー (4)、ネットワークとプログラミングのスキル (6)、セキュリティ侵入スキル (9) 動機： この脅威エージェントのグループは、この脆弱性を見つけて悪用することにどれほど動機付けられているか？ 報酬が低いまたはない (1)、報酬の可能性 (4)、高い報酬 (9) 機会： この脅威エージェントのグループがこの脆弱性を見つけて悪用するには、どのようなリソースと機会が必要か？ 完全なアクセスまたは高価なリソースが必要 (0)、特別なアクセスまたはリソースが必要 (4)、何らかのアクセスまたはリソースが必要 (7)、アクセスやリソースは不要 (9) 規模： この脅威エージェントのグループの規模はどれくらいか？ 開発者 (2)、システム管理者 (2)、イントラネットユーザー (4)、パートナー (5)、認証済みユーザー (6)、匿名のインターネットユーザー (9) 脆弱性要因 発見の容易さ： この脅威エージェントのグループがこの脆弱性を発見するのはどれほど容易か？ 事実上不可能 (1)、困難 (3)、容易 (7)、自動化ツールが利用可能 (9) 悪用の容易さ： この脅威エージェントのグループが実際にこの脆弱性を悪用するのはどれほど容易か？ 理論上 (1)、困難 (3)、容易 (5)、自動化ツールが利用可能 (9) 認知度： この脆弱性は、この脅威エージェントのグループにどれほどよく知られているか？ 不明 (1)、隠されている (4)、明白 (6)、周知の事実 (9) 侵入検知： 悪用が検知される可能性はどれくらいか？ アプリケーションでのアクティブな検知 (1)、ログに記録されレビューされる (3)、レビューなしでログに記録される (8)、ログに記録されない (9)
影響（Impact）の推定 技術的影響要因 機密性の喪失： どれだけのデータが開示される可能性があり、その機密性はどれほどか？ 機密性のない最小限のデータが開示 (2)、機密性の高い最小限のデータが開示 (6)、機密性のない広範なデータが開示 (6)、機密性の高い広範なデータが開示 (7)、すべてのデータが開示 (9) 完全性の喪失： どれだけのデータが破損する可能性があり、その損傷の程度はどれほどか？ わずかに破損した最小限のデータ (1)、深刻に破損した最小限のデータ (3)、わずかに破損した広範なデータ (5)、深刻に破損した広範なデータ (7)、すべてのデータが完全に破損 (9) 可用性の喪失： どれだけのサービスが失われる可能性があり、その重要度はどれほどか？ 二次的な最小限のサービスが中断 (1)、主要な最小限のサービスが中断 (5)、二次的な広範なサービスが中断 (5)、主要な広範なサービスが中断 (7)、すべてのサービスが完全に失われる (9) 説明責任の喪失： 脅威エージェントの行動は個人まで追跡可能か？ 完全に追跡可能 (1)、追跡可能な可能性あり (7)、完全に匿名 (9) ビジネスへの影響要因 経済的損害： 悪用によってどれほどの経済的損害が生じるか？ 脆弱性を修正するコスト未満 (1)、年間利益への軽微な影響 (3)、年間利益への重大な影響 (7)、倒産 (9) 評判への損害： 悪用によって、ビジネスに損害を与えるような評判の低下が生じるか？ 最小限の損害 (1)、主要な取引先の喪失 (4)、信用の失墜 (5)、ブランドイメージの毀損 (9) コンプライアンス違反： コンプライアンス違反によって、どれほどのリスクにさらされるか？ 軽微な違反 (2)、明確な違反 (5)、世間の注目を集める違反 (7) プライバシー侵害： どれほどの個人識別情報が開示される可能性があるか？ 1人 (3)、数百人 (5)、数千人 (7)、数百万人 (9)
総合的なリスク評価 ビジネスへの影響が正確に計算されている場合はそれを以下で使用し、そうでない場合は技術的影響を使用する。 可能性と影響を、3未満を「低（LOW）」、3から6未満を「中（MEDIUM）」、6から9を「高（HIGH）」と仮定して、低・中・高のスケールで評価し、以下の表を使用してリスクを計算する。 全体的なリスクの深刻度 影響 高 中 高 緊急 中 低 中 高 低 なし 低 中 低 中 高 可能性
ITリスクマネジメント
NISTサイバーセキュリティフレームワークは、組織が「特定」（ID）機能の一部としてITリスクを管理することを奨励している：
リスクアセスメント（ID.RA）： 組織は、組織の運営（ミッション、機能、イメージ、評判を含む）、組織の資産、および個人に対するサイバーセキュリティリスクを理解する。 ID.RA-1： 資産の脆弱性が特定され、文書化される ID.RA-2： サイバー脅威インテリジェンスおよび脆弱性に関する情報が、情報共有フォーラムや情報源から受信される ID.RA-3： 内部および外部の脅威が特定され、文書化される ID.RA-4： 潜在的なビジネスへの影響と可能性が特定される ID.RA-5： 脅威、脆弱性、可能性、影響が、リスクを決定するために使用される ID.RA-6： リスク対応が特定され、優先順位付けされる リスクマネジメント戦略（ID.RM）： 組織の優先順位、制約、リスク許容度、および仮定が確立され、オペレーショナル・リスクに関する意思決定をサポートするために使用される。 ID.RM-1： リスクマネジメントプロセスが確立され、管理され、組織の利害関係者によって合意される ID.RM-2： 組織のリスク許容度が決定され、明確に表現される ID.RM-3： 組織のリスク許容度の決定は、重要インフラにおけるその役割およびセクター固有のリスク分析によって情報を得る
ITリスクへの対応 リスク評価を行った後、優先的・重点的に対策が必要な情報資産に対して、ITリスクの対応方法を検討するのが一般的である。リスク対応方法には以下の４つがある。
低減 - 脅威の発生可能性を下げるために、脆弱性への対策を講じること 保有（受容） - リスク評価の結果、リスク対応のコストが損害額を上回るなどリスクが低いとみなした場合、対策を講じず、現状を維持すること 回避 - 脅威発生の根本的な原因を解決し、リスクが発生する可能性を0にすること 移転 - 保険の加入など、補償能力がある他社のサービスなどを利用し、自社の負担を下げること
標準化団体と規格
国際標準化団体： 国際標準化機構 – ISO The Open Group 米国の標準化団体： アメリカ国立標準技術研究所 – NIST 連邦情報処理標準 – FIPS（NISTによる、連邦政府および機関向けの規格） 英国の標準化団体： 英国規格協会
規格の概要
このリストは、主に以下に基づいている：Risk Management / Risk Assessment in European regulation, international guidelines and codes of practice Conducted by the Technical Department of ENISA Section Risk Management in cooperation with: Prof. J. Dumortier and Hans Graux www.lawfort.be June 2007
ISO
ISO/IEC 13335-1:2004 – 情報技術－セキュリティ技術－情報通信技術セキュリティマネジメント－第1部：情報通信技術セキュリティマネジメントの概念及びモデル http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=39066 。 情報通信技術セキュリティマネジメントの概念とモデルに関する一般的に受け入れられている記述を含む規格。この規格は一般的に使用される実施規範であり、セキュリティマネジメント慣行の実施のためのリソースとして、またそのような慣行を監査するための基準として機能する。（参考： http://csrc.nist.gov/publications/secpubs/otherpubs/reviso-faq.pdf ） ISO/IEC TR 15443-1:2005 – 情報技術－セキュリティ技術－ITセキュリティアシュアランスのためのフレームワーク 参照：http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=39733 （注：これは規格を入手できるISOのページへの参照である。ただし、規格は有料であり、その条項は公開されていない。このため、特定の条項を引用することはできない）。 トピック： セキュリティアシュアランス – このテクニカルレポート（TR）には、セキュリティサービス、製品、または環境要因を評価するための適切なアシュアランス手法を決定するために使用できる、一般的に受け入れられているガイドラインが含まれている。 ISO/IEC 15816:2002 – 情報技術－セキュリティ技術－アクセス制御のためのセキュリティ情報オブジェクト 参照：http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=29139 （注：これは規格を入手できるISOのページへの参照である。ただし、規格は有料であり、その条項は公開されていない。このため、特定の条項を引用することはできない）。 トピック： セキュリティマネジメント – アクセス制御。 この規格により、セキュリティ専門家はSIO（セキュリティ情報オブジェクト）に関する特定の構文定義と説明のセットに依拠することができ、他の標準化の取り組みにおける重複や相違を回避できる。 ISO/IEC TR 15947:2002 – 情報技術－セキュリティ技術－IT侵入検知フレームワーク 参照：http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=29580 （注：これは規格を入手できるISOのページへの参照である。ただし、規格は有料であり、その条項は公開されていない。このため、特定の条項を引用することはできない）。 トピック： セキュリティマネジメント – ITシステムにおける侵入検知。 この規格により、セキュリティ専門家は、ITシステムへの潜在的な侵入に関するセキュリティリスクを記述・評価するための、特定の概念と方法論のセットに依拠することができる。これ自体にはRM/RAの義務は含まれておらず、むしろ、影響を受ける分野でのRM/RA活動を促進するためのツールである。 ISO/IEC 15408-1/2/3:2005 – 情報技術－セキュリティ技術－ITセキュリティ評価基準－第1部：イントロダクション及び一般モデル（15408-1） 第2部：セキュリティ機能要件（15408-2） 第3部：セキュリティ保証要件（15408-3） 参照： http://isotc.iso.org/livelink/livelink/fetch/2000/2489/Ittf_Home/PubliclyAvailableStandards.htm トピック： IT製品およびシステムのセキュリティ機能、ならびにセキュリティ評価中にそれらに適用される保証措置に関する共通の要件セットを含む規格。 範囲： 任意に実施可能な、公開されているISO規格。本文書は、IT製品およびシステムのセキュリティを評価するためのリソースであり、したがってRM/RAのためのツールとして使用できる。この規格は、IT製品およびシステムのセキュリティを評価するためのリソースとして一般的に使用されており、特に（とは限らないが）そのような製品に関する調達の意思決定にも使用される。したがって、この規格は、IT製品またはシステムの設計、製造、マーケティング中、あるいは調達前に、そのセキュリティを判断するためのRM/RAツールとして使用できる。 ISO/IEC 17799:2005 – 情報技術－セキュリティ技術－情報セキュリティマネジメントの実践のための規範。 参照： http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=39612&ICS1=35&ICS2=40&ICS3= （注：これは規格を入手できるISOのページへの参照である。ただし、規格は有料であり、その条項は公開されていない。このため、特定の条項を引用することはできない）。 トピック： 事業継続マネジメントを含む、組織における情報セキュリティマネジメントの開始、導入、維持、改善のための、一般的に受け入れられているガイドラインと一般原則を含む規格。この規格は一般的に使用される実施規範であり、情報セキュリティマネジメント慣行の実施のためのリソースとして、またそのような慣行を監査するための基準として機能する。（ISO/IEC 17799も参照） ISO/IEC TR 15446:2004 – 情報技術－セキュリティ技術－プロテクションプロファイル及びセキュリティターゲット作成のための指針。 参照： http://isotc.iso.org/livelink/livelink/fetch/2000/2489/Ittf_Home/PubliclyAvailableStandards.htm トピック： ISO/IEC 15408（「コモンクライテリア」）に準拠することを意図したプロテクションプロファイル（PP）およびセキュリティターゲット（ST）の作成に関するガイドラインを含むテクニカルレポート（TR）。この規格は、主にセキュリティ専門家がPPおよびSTを作成するためのツールとして使用されるが、（TRをその基準が遵守されているかを判断するための基準として使用することにより）それらの妥当性を評価するためにも使用できる。したがって、これはRM/RA慣行の作成と評価のための（拘束力のない）規範的ツールである。 ISO/IEC 18028:2006 – 情報技術－セキュリティ技術－ITネットワークセキュリティ 参照： http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=40008 （注：これは規格を入手できるISOのページへの参照である。ただし、規格は有料であり、その条項は公開されていない。このため、特定の条項を引用することはできない）。 トピック： 情報技術ネットワークの管理、運用、使用のセキュリティ側面に関する一般的に受け入れられているガイドラインを含む、5つのパートからなる規格（ISO/IEC 18028-1から18028-5）。この規格は、ISO/IEC 13335およびISO/IEC 17799で提供されるガイドラインの延長と見なされており、特にネットワークセキュリティリスクに焦点を当てている。この規格は一般的に使用される実施規範であり、セキュリティマネジメント慣行の実施のためのリソースとして、またそのような慣行を監査するための基準として機能する。 ISO/IEC 27001:2005 – 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－要求事項 参照： http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=42103 （注：これは規格を入手できるISOのページへの参照である。ただし、規格は有料であり、その条項は公開されていない。このため、特定の条項を引用することはできない）。 トピック： あらゆる組織内に情報セキュリティマネジメントシステム（ISMS）を導入するための、一般的に受け入れられているガイドラインを含む規格。 範囲： 任意に実施可能な、公開されていないISO規格。法的拘束力はないが、本文書には健全な情報セキュリティ慣行を構築するための直接的なガイドラインが含まれている。この規格は非常に一般的に使用される実施規範であり、情報セキュリティマネジメントシステムの実施のためのリソースとして、またそのようなシステムおよび関連する慣行を監査するための基準として機能する。実際の適用は、ISO/IEC 27001:2005で示された要求事項をサポートするための追加ガイダンスを提供するBS 7799-3:2006などの関連規格と組み合わされることが多い。http://www.bsiglobal.com/en/Shop/Publication-Detail/?pid=000000000030125022&recid=2491 ISO/IEC 27001:2013： 情報セキュリティマネジメントシステムに関する更新版規格。 ISO/IEC TR 18044:2004 – 情報技術－セキュリティ技術－情報セキュリティインシデントマネジメント 参照： http://www.iso.org/iso/en/CatalogueDetailPage.CatalogueDetail?CSNUMBER=35396 （注：これは規格を入手できるISOのページへの参照である。ただし、規格は有料であり、その条項は公開されていない。このため、特定の条項を引用することはできない）。 トピック： 組織における情報セキュリティインシデントマネジメントのための、一般的に受け入れられているガイドラインと一般原則を含むテクニカルレポート（TR）。 範囲： 任意に使用可能な、公開されていないISO TR。法的拘束力はないが、本文書にはインシデントマネジメントに関する直接的なガイドラインが含まれている。この規格は、インシデント対応の分野における基本的な概念と考慮事項を紹介する高レベルのリソースである。そのため、主として、この点に関する意識向上イニシアチブの触媒として有用である。