第１回（平成２５年度第１回）CRCフォーラム（平成２５年７月４日（木）開催）「ITシステムの利用者に安全安心をもたらすための研究開発」

ITシステムを取り巻く安全上の課題とITリスク学の提案
佐々木 良一 教授
未来科学部情報メディア学科

東京電機大学第一回CRCフォーラム

２０１３年７月４日

ITシステムを取り巻く安全上の課題とITリスク学の提案
東京電機大学未来科学部教授
佐々木良一
sasaki@im.dendai.ac.jp
1

目次
１．なぜ今ITリスクか
２．リスクとは
３．ITリスクの特徴
４．ITリスク学研究の経過と現状
５．今後の展開2

サイバー攻撃の激化

3

社会のITシステムへの依存

経済活動

国民生活

＜重要インフラ（Critical Infrastructure） ＞
情報通信、金融、航空、鉄道、電力、ガス、政府・行政サービス、医療、水道、物流 など＜ITシステム＞
重要情報インフラ（Critical Information Infrastructure）
社会全体のITシステムへの依存増大
ITシステムの安全の問題が重要に

4

ITリスク問題が重要になった背景
社会全体のITシステムへの依存の増大によりITシステムの安全が重要に従来よりも広い範囲のアプローチが必要に
故意の不正天災・故障・ヒューマンエラー①ITシステムの扱う情報の安全②ITシステムそのものの安全③ITシステムが行うサービスの安全新しいアプローチ法の名称例①トラスト②ニューディペン
ダビリティ など

採用した名称
Security
Privacy・Reliability
Safety・Usability等

工学的アプローチ
心理学的・社会科学的アプローチ

ITリスク（学）＜確率論的扱いが不可欠＞

ITリスク問題の統一的扱いが必要な理由の例

システムの信頼性をあげるためにデータを2重化して保持2重化に伴う攻撃箇所の増加によるセキュリティの低下

6ITリスク問題が重要になった背景
社会全体のITシステムへの依存の増大によりITシステムの安全が重要に従来よりも広い範囲のアプローチが必要に
故意の不正天災・故障・ヒューマンエラー①ITシステムの扱う情報の安全②ITシステムそのものの安全③ITシステムが行うサービスの安全新しいアプローチ法の名称例①トラスト②ニューディペン
ダビリティ など

採用した名称
Security
Privacy・ReliabilitySafety・Usability等

工学的アプローチ
心理学的・社会科学的アプローチ

ITリスク（学）＜確率論的扱いが不可欠＞

ＩＴシステムの安全の階層化＊階層

対象扱う事故・障害

従来の学問・技術分野

指標

３

ＩＴシステムが行うサービスの安全発券サービスの停止、プライバシーの喪失など

システム工学
リスク学
社会科学などプライバ
シー、ユーザビリティ

情報のＣＩＡの喪失

セキュリティ

２

ＩＴシステムが扱う情報の安全

セキュリティ
（機密性、完全性、可用性）

ＩＴシステムそのものの安全コンピュータや通信機器の故障

信頼性工学
セキュリティ

リライアビリティ、アベイラビリティ

１＊ 従来情報セキュリティが扱っていた範囲

8インターネット社会の脅威
直接的攻撃
不正アクセス（侵入）インターネット間接的攻撃
コンピュータウイルス（ソフトウエアを媒介)

最近では直接的攻撃と間接的攻撃を組み合わせた統合型攻撃が増加

9

インターネット社会の脅威
脅威の分類(情報のCIA)

不正侵入（１）機密性（Confidentiality）の喪失：情報を不当に見られインターネットる（２）完全性（Integrity）の喪
失：情報を不当に破壊、改ざんされる（３）可用性（Availability）の不正侵入
コンピュータウイルス
喪失：不当な利用によりデータやコンピュータパワーが使えな
くなる コンピュータウイルス
10

インターネット社会の脅威
直接的攻撃
不正アクセス（侵入）１．部外者（ａ）クラッカー
インターネット（ｂ）スパイ（ｃ）テロリスト（ｄ）犯罪者等
２．部内者
間接的攻撃
コンピュータウイルス（ａ） 従業員（ソフトウエアを媒介)（ｂ）派遣社員等
11ITリスク問題が重要になった背景
社会全体のITシステムへの依存の増大によりITシステムの安全が重要に
従来よりも広い範囲のアプローチが必要に
故意の不正天災・故障・ヒューマンエラー①ITシステムの扱う情報の安全②ITシステムそのものの安全③ITシステムが行うサービスの安全

新しいアプローチ法の名称例①トラスト②ニューディペン
ダビリティ など

採用した名称
Security
Privacy・Reliability
Safety・Usability等

工学的アプローチ
心理学的・社会科学的アプローチ

ITリスク（学）＜確率論的扱いが不可欠＞

目次
１．なぜ今ITリスクか
２．リスクとは
３．ITリスクの特徴
４．ITリスク学研究の経過と現状
５．今後の展開13

リスクとは１．リスク とは，英語のRiskの訳であり，危険と訳される場合もある．「将来の帰結に対する現在における予測」という見方が下敷きになっていて常に不確実性を伴う。
２．工学分野の確率論的リスク評価では通常次のように定義することが多い。
リスク＝損害の大きさ ×損害の発生確率
３．「ISO/IEC 27005：2008」ではITのリスクを以下のように定義しているが、結局同じことを表している。
リスク＝資産価値 × 脅威 × 脆弱性（注）英語のRiskが登場するのは1660年代。ハザードや災いを意味するイタリ
14
ア語risicoからの転用

リスク社会
ドイツの社会学者ウルリヒ・ベック「かつて人類は地震などの自然災害や病気などを恐れていたが，現在ではそれらのリスクをコントロールするために開発した科学技術そのものが新たなリスクとして問題になってきている．」と指摘．
「このような新たなリスクに覆われた社会を「リスク社会（翻訳では危険社会）」」と呼んだ．
ウルリヒ・ベック（東廉／伊藤美登里訳）「危険社会 新しい近代への道」法政大学出版局，1998年

15リスクははたして制御可能か
三上剛史は，原発や新型インフルエンザなどの新しいリスクが損害の深刻さ，補償不可能性ゆえに損失を最小限に抑え保障するというアプローチではなく，潜在的リスクを洗い出し，あらかじめ排除する「警戒」型アプローチが必要となるという．
そして，その「警戒」の行為ゆえにリスクと向かいあわざるを得ず，リスク恐怖症を招きがちであり，さらにそれが監視社会を作り出すと指摘する．

私たちへの問いかけ：リスクは果たして制御可能か？
16

リスク分析・リスク評価とリスク対応
リスクアセスメント

リスクマネジメント
JIS Q 2001より

リスク発見
リスク分析

リスク特定
リスク算定

リスク基準

リスク評価

リスク対策の選択

リスク対応
影響
大リスク移
転（保険等）

小リスク
許容
小

リスク回避
（根本的対策）

リスク低減
大発生確率
17

誤ったリスク認識の例
2001年の９．１１後、飛行機が危険という認識から１年間自動車の利用者が増えた。
それによって1年間で米国で1595人の自動車事故の死亡者が増加（これは９．１１の不幸なフライトの総死亡者の約6倍）
ベルリンのマックス・ブランク研究所の心理学者ゲルド・ギレンザーの調査結果
ダン・ガードナー「リスクにあなたは騙される」早川書房、2009、p11
18

犯罪の発生頻度推定
1年間で警察に届けられている強盗の件数はおよそ6千件です。
（１）人質立てこもり事件 （（２）空き巣 （件／年）

件／年）（３）自動車の盗難 （（４）薬物常用者による殺人 （件／年）
件／年）
19どちらが安全か
１．パスワードが合致した場合本人だと認める個人認証システム
２．指紋かパスワードかのいずれかが一致した場合、本人だと認める個人認証システム

20日本人のリスク感の特徴＜特徴＞①リスクに極めて敏感でゼロリスクを求める傾向②安全よりも安心を重視する傾向③リスクに対しあきらめてしまう傾向①②と③は矛盾するがこのようなリスク感を形成する要因として、日本人は不可実性を回避する傾向が高い、現状肯定的心情があるとしている。
奈良由美子「生活とリスク」放送大学教育振興会、2007 （林ほ21
か「セキュリティ経営」勁草書房、2011より）

私たちの基本スタンス
リスク社会学者などが指摘するようにリスクを制御するのは限りなく難しい。
しかし、そこにリスクがある以上、当事者は万全の注意を払ってリスクに対応し続けるしかないと思う。
そのためITリスクに応じてどう対応すべきかを明確化していく。

22

目次
１．なぜ今ITリスクか
２．リスクとは
３．ITリスクの特徴
４．ITリスク学研究の経過と現状
５．今後の展開23

代表的ITリスクの現状の調査
１．2000年問題
２．個人情報漏洩リスク
３．暗号の危殆化リスク
４．サイバーテロのリスク
５．大規模情報システム故障のリスク
詳細は、佐々木良一「ITリスクの考え方」岩波新書、2008第2章、第4章参照
24

調査・分析によるITリスクの特徴＜リスクの一般的特徴＞（１）ゼロリスクはない．
（２）定量的リスク評価が必要である．
（３） 「リスク対リスク」「多重リスク」への考慮が不可欠である．
（４）多くの関与者とのリスクコミュニケーションが大切である．
＜ITリスクの特徴＞（１） ITリスク対策は１つの対策だけで対応するのは困難であり，いろいろな対策の組み合わせが不可欠である．
（２）動的リスクへの対応が必要である．

25

ITリスクの対応法
小不確
実性

定量的評価

直観・定性的評価
格言・行動原理

大小

説明責任大
26

調査・分析によるITリスクの特徴＜リスクの一般的特徴＞（１）ゼロリスクはない．
（２）定量的リスク評価が必要である．
（３） 「リスク対リスク」「多重リスク」への考慮が不可欠である．
（４）多くの関与者とのリスクコミュニケーションが大切である．
＜ITリスクの特徴＞（１） ITリスク対策は１つの対策だけで対応するのは困難であり，いろいろな対策の組み合わせが不可欠である．
（２）動的リスクへの対応が必要である．

27

リスクｖｓリスクの時代（その１）（１） エネルギー問題解決のためのバイオエタノールの利用が食糧問題に（２） ９．１１後のテロ対策とプライバシー・人権問題
ブルース・シュナイアーの考え「どんな対策をとってもテロを完全になくすることは不可能であり、その対策によって生じる新たなリスクとテロのリスクとの間で真剣な比較検討が必要であり、バランスを欠いた対策は、プライバシーや人権の問題を引き起こす。 」「リスク対リスク」 あるいは「多重リスク」 の時代に

28

ITリスクに関する対立する概念の例
概念

対策

技術

セキュリティ
（機密性、完全性、可用性など）

セキュリティ対策
侵入防止
データ秘匿など

セキュリティ技術
暗号
デジタル署名アクセス制御など

プライバシー
個人情報保護両立
対立

個人情報保護対策
個人情報流失防止
匿名性維持

個人情報保護技術
匿名通信路、リング署名など

Ｐ３Ｐ
29

リスクｖｓリスクの時代（その３）セキュリティ

関与者の選好
○関与者の選好技術による解決○○○＜例＞
公開鍵証明書の利用
技術

プライバシー

属性証明書の利用など

コスト

多くの関与者が異なる選好を持つ（リスクコミュニケーションが重要に）

30

調査・分析によるITリスクの特徴＜リスクの一般的特徴＞（１）ゼロリスクはない．
（２）定量的リスク評価が必要である．
（３） 「リスク対リスク」「多重リスク」への考慮が不可欠である．
（４）多くの関与者とのリスクコミュニケーションが大切である．
＜ITリスクの特徴＞（１） ITリスク対策は１つの対策だけで対応するのは困難であり，いろいろな対策の組み合わせが不可欠である．
（２）動的リスクへの対応が必要である．

31

リスク・コミュニケーションとはリスク・コミュニケーションの定義（U.S.NRC,1997）
リスク・コミュニケーションは、個人とグループ、そして組織の間で情報や意見を交換する相互作用的過程である。

民主主義を支える公民権、自己決定権、知る権利
説明責任、インフォームドコンセント、情報公開 と同じ根を持つもの
http://web.sfc.keio.ac.jp/~hfukui/class/riskmg/risk5_23.files/frame.htm

リスクコミュニケーションが必要になった背景＜リスク対応の困難性＞（１）人はリスクの存在そのものを認識できないのではないか．

（２）リスクの存在を認識できたとしてもフランク・ナイトが指摘するようにその事象の発生確率は測定できない場合が多い．

（３）事象の発生確率やその損害の大きさを推定できたとしてもそれらの値そのものに不確実性が残る．

（ａ）人はリスクに直面し判断せざるを得ない場合は少なくないが人知を超える判断はいずれにしろできない。
①従って、人知を集める手段としてのリスクコミュ
ニケーションが大切に（リスクコミュニケーション
ベースアプローチ）（b）ナシーム・タレブが指摘するようにすべての確率は主観確率。よって、各人の主観を明確にしそれらのあいだの合意形成を図るしかない33

ITリスクコミュニケーション対象の分類
ITに関するリスクコミュニケーション例

目的①個
人的選択
目的②組
織内合意
目的③社
会的合意

ITシステ
ム自体

ITシステムが扱う情報

自己PCのセキュ
リティホー
ル対策
BCPのためのITのバッ
クアップ対策ウイルス作成罪の可否SNSにおける自己情報の秘匿対策

ITシステ
ムが行う
サービス

支援システム

他分野のリスクコミュニ
ケーションの例

Eネット
禁煙の実施
ショッピン Learning
インフルエンザ
グのリテラ 支援ツール ワクチン接種
ELSEC
シーネットショッ 多重リス
工場の環境対オフィスに策おける個人 ピング対象 クコミュニ
オフィスの省エ
情報漏洩対 の品質維持 ケータ
MRC対策
ネ対策策
情報フィル
薬のネッ 社会的合意 原発再稼働のタリングのト販売の 形成支援シ 可否
BSE対策のたステム
可否
可否
Social-MRC めの全頭検査

調査・分析によるITリスクの特徴＜リスクの一般的特徴＞（１）ゼロリスクはない．
（２）定量的リスク評価が必要である．
（３） 「リスク対リスク」「多重リスク」への考慮が不可欠である．
（４）多くの関与者とのリスクコミュニケーションが大切である．
＜ITリスクの特徴＞（１） ITリスク対策は１つの対策だけで対応するのは困難であり，いろいろな対策の組み合わせが不可欠である．
（２）動的リスクへの対応が必要である．

35

ITリスクに多くの対策が必要になる理由① ITシステムはソフトウェアにより多様な機能を実現されているため，障害時の影響も多様である．
② ITリスクには意図的な不正も含むため，不正の高度化により，脅威がどんどん大きくなり，対応が難しくなっていく．

したがって，１つの対策だけで防止するのは困難であり，いろいろな対策の組み合わせが不可欠である．
36

調査・分析によるITリスクの特徴＜リスクの一般的特徴＞（１）ゼロリスクはない．
（２）定量的リスク評価が必要である．
（３） 「リスク対リスク」「多重リスク」への考慮が不可欠である．
（４）多くの関与者とのリスクコミュニケーションが大切である．
＜ITリスクの特徴＞（１） ITリスク対策は１つの対策だけで対応するのは困難であり，いろいろな対策の組み合わせが不可欠である．
（２）動的リスクへの対応が必要である．

37

ITシステムにおける動的リスク
ITリスクには意図的な不正も含むため，防御側の対策や状況の変化により攻撃方法が動的に変化する

したがって，動的なリスク対応が必要
今後の重要な研究課題

38

目次
１．なぜ今ITリスクか
２．リスクとは
３．ITリスクの特徴
４．ITリスク学研究の経過と現状
５．今後の展開39

ITリスク学の確立に向けての活動① 2008年5月に日本セキュリティ・マネジメン
ト学会の中に「ＩＴリスク学」研究会を立ち上げ② ITリスク学の定義③ ITリスク学の全体像と構成要素の明確化④ 構成要素の概要と研究課題の明確化⑤ 研究課題の解決に向けての活動⑥ 本の出版（２０１3年２月）
40

ITリスク学の確立に向けての活動① 2008年5月に日本セキュリティ・マネジメン
ト学会の中に「ＩＴリスク学」研究会を立ち上げ② ITリスク学の定義③ ITリスク学の全体像と構成要素の明確化④ 構成要素の概要と研究課題の明確化⑤ 研究課題の解決に向けての活動⑥ 本の出版（２０１3年２月）
41

ITリスク学の確立に向けての活動① 2008年5月に日本セキュリティ・マネジメン
ト学会の中に「ＩＴリスク学」研究会を立ち上げ② ITリスク学の定義③ ITリスク学の全体像と構成要素の明確化④ 構成要素の概要と研究課題の明確化⑤ 研究課題の解決に向けての活動⑥ 本の出版（２０１3年２月）
42学問分野誕生の２つのタイプ（１）分離独立型：ある学問分野の一部が大きくなって独立する場合．たとえば物理学の中から素粒子物理学が誕生するような場合である．情報セキュリティと情報セキュリティ会計学の関係もここに属する．
（２）統合・融合型：個別の学問分野の成果を統合的に扱うことにより個別のアプローチでは解決できなかったものの解決を図ろうとするものである．たとえば，脳生理学，心理学，精神医学，病蹟学，人工知能学などを脳科学として統合した例がある．
43

ITリスク学を取り巻く環境（１）リスクそのものに関する研究は国内外で広く行われている。
（２）しかし、ITリスクに関する研究は少なく，それをITリスク学として確立しようという試みは海外にもなかった。
（３）そのため，海外の類似のアプローチを調査し，それを日本に適合するようにしていくというアプローチができず独自に確立していく必要があった。

44

ITリスク学の定義「不正によるものだけでなく，天災や故障ならびにヒューマンエラーによって生ずるITシステムのリスクならびにITシステムが扱う情報やサービスに関連して発生するリスクを，リスク対策の不確実性や，リスク対リスクの対立，関与者間の対立などを考慮しつつ学際的に対処していくための手段に関する学問」（注１）ITシステムのサービスに関するリスクを含むので、セキュリティだけでなく，プライバシーユーザビリティなども含む（注２）一般的に扱うとあまりにも広くなるので，ITリスクの特徴である「リスク対リスクの対立，関与者間の対立を考慮しつつ」を入れることにより研究範囲を明確にした（注３）「制御する」ではなく「対処していく」にしたのはリスクの完全な制御は不可能であるとの認識に基づく（注４）「手段に関する学問」としたが，手段を考える上での前提となるとなる周辺の学問も含むものとする
45

ITリスク学の確立に向けての活動① 2008年5月に日本セキュリティ・マネジメン
ト学会の中に「ＩＴリスク学」研究会を立ち上げ② ITリスク学の定義③ ITリスク学の全体像と構成要素の明確化④ 構成要素の概要と研究課題の明確化⑤ 研究課題の解決に向けての活動⑥ 本の出版（２０１3年1月）
46

ＩＴリスク学の構成（Version3）
ＩＴリスク学①ITリスクマネジメント技術

応用②リスク社会②ＩＴリスク
科学的接近
社会学③リスク心理③ＩＴリスク学的接近
心理学

基礎

ITリスク
基礎技術

基盤となる学
問心理学
リスク学 社会学
経済学
安全学

ＩＴリスクアセスメント

ＩＴリスクコミュ
ニケーション

⑥危機管理技術

ＩＴリスクマネジメント（狭義）④ITリスクの考え方⑤リスク工学的接近

信頼性・安全性工学

情報セキュリティ

情報工学・
ソフトウェ
ア工学

多重リ
スクコ
ミュニケータITリスク学の確立に向けての活動① 2008年5月に日本セキュリティ・マネジメン
ト学会の中に「ＩＴリスク学」研究会を立ち上げ② ITリスク学の定義③ ITリスク学の全体像と構成要素の明確化④ 構成要素の概要と研究課題の明確化⑤ 研究課題の解決に向けての活動⑥ 本の出版（２０１3年２月）
48

ＩＴリスク学の構成（Version3）
ＩＴリスク学①ITリスクマネジメント技術

応用②リスク社会②ＩＴリスク
科学的接近
社会学③リスク心理③ＩＴリスク学的接近
心理学

基礎

ITリスク基礎技術基盤となる学
問

心理学
リスク学 社会学
経済学
安全学

ＩＴリスクアセスメント

ＩＴリスクコミュ
ニケーション

⑥危機管理技術

ＩＴリスクマネジメント（狭義）④ITリスクの考え方⑤リスク工学的接近

信頼性・安全性工学

情報セ
キュリティ

情報工学・
ソフトウェ
ア工学

多重リ
スクコ
ミュニケータリスクマネジメントのプロセスの流れ

リスクアセスメント
リスクの特定リスク分析リスク評価
リスク対応

モニターとレビュー

コミュニケーションと協議

組織の状況の確定

リスクコミュニケーションの目的と主要実施項目
リスクコミュニケーションの目的

リスクコミュニケーションの実施項目

目的①個人的選択
・禁煙の実施・インフルエンザワクチ
ン接種（実施項目１）
そのリスクに関連する情報の提供

目的②組織内合意形成
・工場の環境対策
・オフィスの省エネ対策（実施項目２）
対象となる事象や対象システムが受け入れられうるものかどうかの検討のための情報交換

目的③社会的合意形成
・原発再稼働の可否
・BSE対策のための全頭検査（実施項目３）
そのままでは受け入れられないとすればどのような対策をとるべきかの決定のための情報交換

主要な対象

補助的な対象ITリスクコミュニケーション対象の分類
ITに関するリスクコミュニケーション例

目的①個
人的選択
目的②組
織内合意
目的③社
会的合意

ITシステ
ム自体

ITシステムが扱う情報

自己PCのセキュ
リティホー
ル対策
BCPのためのITのバッ
クアップ対策
ウイルス作
成罪の可否SNSにおける自己情報の秘匿対策

ITシステ
ムが行う
サービス

支援システム

他分野のリスクコミュニ
ケーションの例

Eネット
禁煙の実施
ショッピン Learning
インフルエンザ
グのリテラ 支援ツール ワクチン接種
ELSEC
シー工場の環境対
ネットショッ 多重リス
オフィスに策おける個人 ピング対象 クコミュニ
オフィスの省エ
情報漏洩対 の品質維持 ケータ
MRC
ネ対策
対策
策
情報フィル
薬のネッ 社会的合意 原発再稼働のタリングのト販売の 形成支援シ 可否
BSE対策のたステム
可否
可否
Social-MRC めの全頭検査

多重リスクコミュニケータ（MRC）の対応＜背景＞
背景１．多くのリスク（セキュリティリスク、プライバシーリスクなど）が存
在＝＞リスク間の対立を回避する手段が必要
背景２．ひとつの対策だけでは目的の達成が困難＝＞対策の最適な組み合わせを求めるシステムが必要
背景３．多くの関与者（経営者・顧客・従業員など）が存在＝＞多くの関与者間の合意が得られるコミュ
ニケーション手段が必要

MRCにおける対応①多くのリスクやコストを制約条件とする組み合わせ最適化問題
として定式化
②関与者の合意が得られるまでパラメータの値や制約条件値を変えつつ最適化エンジンを用い求解
専門家
対策案
①②③④

多重リス
クコミュニ
ケータ
MRC

最適解
対策案
①③の組合せ

定式化
Y
結果
END
満足
制約条件などの変更
N
ファシリテータ 関与者
53 53
53

MRCの適用①適用対象（ａ）個人情報漏洩対策（含む：世田谷区役所の個人情報漏洩対策への実適用など）（ｂ）内部統制問題など＝＞参加者が5-6人までなら基本的有効性を確認②受賞（ａ）日本セキュリティ・マネジメント学会2009年度論文賞受賞（ｂ）情報処理学会DICOMO2010最優秀論文賞受賞（c） IEEEのCFSE２０１２での招待講演

詳しくは佐々木良一他「多重リスクコミュニケータの開発と適用」情報処
理学会論文誌、Vol49,No9、２００８年９月号

54新たなニーズ
社会的合意形成が必要な問題の存在

関与者の数が数千人を超える社会的合意形成の問題(情報フィルタリング問題など)に適用する必要
55

ITリスクコミュニケーション対象の分類
ITに関するリスクコミュニケーション例
ITシステ
ム自体

目的①個
人的選択目的②組
織内合意
目的③社
会的合意

ITシステム
が扱う情報

ITシステ
ムが行う
サービス

支援システム他分野のリ
スクコミュニケーションの例

E自己PC
SNSにおけ ネット
禁煙の実施のセキュる自己情報 ショッピン Learning
インフルエンザ
リティホー
グのリテラ
支援ツールの秘匿対策
ワクチン接種ELSEC
ル対策
シー
BCPのため オフィスにお ネットショッ 多重リス
工場の環境対のITのバッ ける個人情報 ピング対象 クコミュニ策
クアップ対 漏洩対策
オフィスの省エの品質維持 ケータ
MRC
策
ネ対策
対策
ウイルス作 情報フィル
薬のネッ 社会的合意 原発再稼働の成罪の可否 タリングのト販売の 形成支援シ 可否
BSE対策のたステム
可否
可否
Social-MRC めの全頭検査

Social-MRCの概要
会議の中継

オピニ
オン
リーダ
ファシリテータ
MRCの専門家

ビデオカメラSocial-MRC支援サーバ

Social-MRC＜第１階層＞

一般関与者＜第２階層＞MRC-Studio

MRC-Plaza①オピニオンリーダ間の合意形成支援①会議の中継やMRCStudioの出力表示②一般関与者の意
見の反映支援②一般関与者の意見の（半）自動分析によるファシリテータへの情報提供（新規開発）（MRCの拡張）対象問題

青少年のための情報フィルタリング
国民ID問題、監視カメラの設置問題など

利用場面

WEB利用公聴会、コンセンサス会議、テレビ討論番組など

Social-MRCの出力画面の一例
Ustream表示部

58

Social-MRC固有部

Twitter用入力部

実験概要• 情報フィルタリング問題への合意形成の手順
１．オピニオンリーダの主張と各最適解の説明
２．支持するオピニオンリーダへの投票＝＞規制反対派を選出
３．支持するオピニオンリーダの最適解をベースに改良案の議論 ＜＝一般関与者の意見
４．暫定合意解の導出＝＞2回目の最適解でオピニオンリーダ間で暫定合意
５．暫定合意会への投票＝＞８６％支持
59

基本的有効性を確認。個別には処理速度など解決すべき課題もリスクコミュニケーションの困難性と対応関与者困難性①

専門家 送り手 受け手

リスク管理者への不信（情報を正確に発信か）

専門家の知識や中立性② への疑問◎◎③

リスクアセスメントの評価
基準への疑問◎④

客観確率への不信（今後も同じかなど）◎⑤ 情報の受け手のバイアス（非自発的なリスクなど）

備考○

不誠実な行いが発覚した場合には致命的な処分を自らに課す公約の実施○

複数の専門家の参加と一般関与者による観察方式の開発

○
○
○

対策案

◎

すべては主観確率であるとしての対応バイアスを修正する過程の導入
詳しくは佐々木ほか「ITリスク学」
１３章参照

ＩＴリスク学の構成（Version3）
ＩＴリスク学①ITリスクマネジメント技術

応用②リスク社会②ＩＴリスク
科学的接近
社会学③リスク心理③ＩＴリスク学的接近
心理学

基礎

ITリスク
基礎技術

基盤となる学
問心理学
リスク学 社会学
経済学
安全学

ＩＴリスクアセスメント

ＩＴリスクコミュ
ニケーション

⑥危機管理技術

ＩＴリスクマネジメント（狭義）④ITリスクの考え方⑤リスク工学的接近

信頼性・安全性工学

情報セ
キュリティ

情報工学・
ソフトウェ
ア工学

多重リスクコ
ミュニケータITリスクに対する接近法の対象＜対象＞

リスク心理学的接近

レイヤー３
ITシステムの扱うサービスの安全性

リスク社会科学的接近

レイヤー２
ITシステムの扱う情報（データ）の安全性
レイヤー１ ITシステムの安全性

工学的接近
プロジェクトマネジメント
情報セキュリティ対策技術

ソフトウェアハードウエア

主要な対象

ソフトウェア工学
ITシステムの信頼性・安全性工学
補助的な対象⑤ リスク工学的接近
ＩＴシステムのリスクへの工学的接近の基本技術（ａ）情報セキュリティ技術（ｂ）安全性・信頼性技術のうちITシステムに関連が深いもの（ｃ）ソフトウェア工学のうち信頼性に関連する技術（ｄ）ITシステムのプロジェクト管理技術
これらの技術を、広く理解するとともに、これらをITリスク向けに発展させた技術（（ａ）と（b）、（ａ）と（c）の組み合わせ技術など）の開発が必要
宮保教授「超分散技術を応用したディザスタリカバリシステムの研究実用化」
桧垣教授「安全安心のための通信基盤 無線マルチホップネットワーク」もリスク工学的接近と考えることも可能。
63

ＩＴリスク学の構成（Version3）
ＩＴリスク学①ITリスクマネジメント技術

応用②リスク社会②ＩＴリスク
科学的接近社会学③リスク心理③ＩＴリスク
心理学
学的接近基礎ITリスク
基礎技術基盤となる学
問心理学
リスク学 社会学
経済学
安全学

ＩＴリスク
アセスメントＩＴリスクコミュ
ニケーション

⑥危機管理技術

ＩＴリスクマネジメント（狭義）④ITリスクの考え方⑤リスク工学的接近

信頼性・安
全性工学

情報セ
キュリティ

情報工学・
ソフトウェ
ア工学

多重リ
スクコ
ミュニ
ケータ

③ リスク心理学的接近
ＩＴリスクへのリスク心理学的接近の基本（イ）リスクの認知（ロ）リスクと受容（ハ）リスクの定量化（プロスペクト理論）など
これらの接近法を、広く理解するとともに、ITリスクに適した接近法の開発と適用が必要
先行的研究をIPAの小松らが実施① Ayako Komatsu, Tsutomu Matsumoto，"Empirical Study on
Privacy Concerns and the Acceptance of e-Money in Japan”, Journal ofInformation Processing, Vol.19,pp307-316, 2011.7② 花村，竹村，小松，情報セキュリティインシデント被害者の属性に関する考察，暗号と情報セキュリティシンポジウム2012 論文集，2012/05/31
65

② リスク社会科学的接近
ＩＴリスクへの社会科学的接近の基本（イ）リスクへの経済学的接近（ロ）リスクへの経営学的接近（ハ）リスクへの法学的接近（二）リスクへの社会学的接近など
これらの接近法を、広く理解するとともに、ITリスクに適した接近法の開発と適用が必要① 東大の松浦らが情報セキュリティに関する経済学的接近を実施② 情報セキュリティ大学院大学の林がITリスクへの経済学・経営学・法学の統合的接近法を提案
66

⑥ 危機管理技術
危機管理技術はリスク対策がうまくいかなかった場合に備えるためのもの．
障害時に事業を継続するためのBCP（Business ContinuityPlan）やBCM（Business Continuity management）などがここに含まれる．
天災や機器故障、バグ、不正侵入などにより障害が発生した場合の自律的復旧ともいうべきレジリエンスの実現などが重要な技術となる研究会としてはまだ調査段階で、独自の技術を開発する段階には至っていない。世の中では研究が進みつつあるが今後さらに強化が必要。
67

ＩＴリスク学の構成（Version3）
ＩＴリスク学①ITリスクマネジメント技術

応用②リスク社会②ＩＴリスク
科学的接近社会学③リスク心理③ＩＴリスク学的接近心理学

基礎

ITリスク
基礎技術

基盤となる学
問心理学
リスク学 社会学
経済学
安全学

ＩＴリスク
アセスメントＩＴリスクコミュ
ニケーション

⑥危機管理技術

ＩＴリスクマネジメント（狭義）

多重リ
スクコ
ミュニ
ケータ

④ITリスクの考え方
今まで述べてきたようなこと⑤リスク工学的接近

信頼性・安
全性工学

情報セ
キュリティ

情報工学・
ソフトウェ
ア工学

ITリスク学の確立に向けての活動① 2008年5月に日本セキュリティ・マネジメン
ト学会の中に「ＩＴリスク学」研究会を立ち上げ② ITリスク学の定義③ ITリスク学の全体像と構成要素の明確化④ 構成要素の概要と研究課題の明確化⑤ 研究課題の解決に向けての活動⑥ 本の出版（２０１3年２月）
69

目次
１．なぜ今ITリスクか
２．リスクとは
３．ITリスクの特徴
４．ITリスク学研究の経過と現状
５．今後の展望70

今後の展望社会のITシステ
ムへの依存度の増大
サイバー攻撃の激化

ITリスク問題がますます重要にITリスク学＊
研究がさらに重要に
特にITリスクマネジ
メント技術は大切に＊「ITリスクに関する理論から実務までの体系化」という名で内閣官房の情報セキュリティセンターの「情報セキュリティ研究開発戦略」において１２の重要なテーマの１つに（内閣官房情報セキュリティセンター「情報セキュリティ研究開発戦略」(2011年7月8日)
http://www.nisc.go.jp/active/kihon/pdf/kenkyu2011.pdf ）71

ITリスクマネジメント技術の研究① 太田敏澄らは，ゲーム理論や社会心理学などに基づく「モデル・ベースド・アプローチ」（太田敏澄，諏訪博彦、「モデル・ベースド・アプローチに基づくセキュリティ・マネジメント」，日本セキュリティ・マネジメント学会，第27巻，第1号，
pp27-33）② 佐々木良一ら「リスクコミュニケーションベースアプローチ」（ａ）もっと簡単にリスクアセスメントを行い，合意形成を行って行く方法の確立（ｂ）今回開発したツールはPlan用のものであるが，DoCheck-Actと連携したツールの開発も72

ITリスク関連基礎技術の充実（a）リスク心理学的接近法：内部犯罪対策などにおいて対策の犯罪者に与える心理的効果の推定法の確立など（b）リスク社会科学的接近法：経済学・経営学・法学などを総合的に組み合わせた対策案の創出法の確立など（c）リスク工学的接近：セキュリティ技術と安全性工学やソフトウエ
ア高額を組み合わせた対策案の創出と評価方法の確立など（d）危機管理技術：障害が発生した場合の自律的復旧ともいうべきレジリエンス対策の明確化と評価手法の確立など
73

終わりに（a）ITリスクへの対策が必要な背景や，ITリスクの特徴，必要となる対応方法に関する考察を行うとともに，ITリスク学の提案を行い，その定義や，ITリスク学を構成する要素技術などの明確化や一部開発を行ってきた．
（b）しかし，ITリスク学がさらに充実したものになるためには，技術開発と適用を相互に繰り返しながら発展していく必要があり，やらなければならないことはまだまだ多く残されている．
（c）この分野の研究に多くの方々が参加いただくことを期待する．
74

ITリスク参考文献（１）１）佐々木良一「ITリスクの考え方」岩波新書、2008
２）佐々木良一他「多重リスクコミュニケータの開発と適用」情報処理学会論文
誌、Vol49,No9,２００８年９月号
３）谷山 充洋、佐々木良一 他「多重リスクコミュニケータの企業向け個人情報漏洩問題への適用 」日本セキュリティマネジメント学会誌、Vol.23,No.2、
pp34-51４）谷山 充洋、佐々木良一「多重リスクコミュニケータの教育方法の提案と分
析」日本セキュリティマネジメント学会誌、VOL.23,No.2、pp52-64
５）土方広夢、佐々木良一他「デジタル・フォレンジクスを考慮した個人情報漏洩対策に関する合意形成のための多重リスクコミュニケータの適用」日本セキュリティマネジメント学会誌 26巻第1号2012年5月pp3-14
６）佐々木良一「 ITリスク学の動向∸技術と社会と安全とー 」ＩＥＩＣＥ
Fundamental Review Vol.4 No.3(電子通信学会)

75

ITリスク参考文献（２）７）佐々木良一他「ＩＴリスク対策に関する社会的合意形成支援システムＳｏｃ
ial-MRCの開発構想」情報処理学会論文誌VOL.52,No.9、pp 2562-2574
８） Ryoichi Sasaki et al., “ Proposal for Social-MRC: Social Consensus
Formation Support System Concerning IT Risk Countermeasures”,
International Journal of Information Processing and Management（2012）Vol.2,No.2 pp48-58
９）Ryoichi Sasaki,” Consideration on Risk Communication for IT
Systems and Development of Support Systems” Journal of Information
Processing Vo.20（2012）-4, pp814-822
１０）大河原優、佐々木良一他「ITリスク対策に関する社会的合意形成支援
システムSocial-MRCの情報フィルタリング問題への試摘用と考察」日本セキュリティマネジメント学会誌 25巻第3号2012年1月pp15-2376

END77