修士論文等審査会【特定課題研究】

業務の電子化におけるガイドワードを利用したリスク特定手法の提案
2023/2/18
後藤研究室
博士前期課程1年（1年制）
5524701 稲田 陽一

概要◼ 取り組んだ課題⚫ 企業での業務電子化において，「リスクおよび情報システムの非専門家」によるリスク特定が行われているが，網羅性に欠けるため運用段階において想定しないリスクが顕在化している◼ 成果⚫ リスクおよび情報システムの非専門家でも実施できるリスク特定手法
を提案した⚫ 提案手法をツール化し，非専門家が実際に利用できるようにした⚫ 従来手法およびリスク専門家によるリスク特定との比較を実施し，提案手法の検証を行った⚫ 検証の結果，従来手法と比してリスク特定の網羅性向上が示唆された
2

目次
1. 企業におけるリスク特定の課題
2. 非専門家によるリスク特定/網羅的なリスク特定の先行研究
3. ガイドワードを利用した網羅的なリスク特定手法の提案
4. Excelを利用した提案手法のツール化
5. 従来手法及び専門家との比較による提案手法の検証
6. 明らかになった効果/課題と今後の展望
3

①業務の電子化におけるリスク特定の課題【網羅性の欠如】• 業務所管部署の役職員が実施→知識や体系的な特定手法の不在••••【本提案が想定する業務の電子化の例】
対象業務例：
社内研修への対象者アサイン
企画者：
社内での当該業務所管部署の要員
予算/プロセス：部内or本部内で完結
利用ツール：
RPAなど※業務所管部署：組織において業務を担い，その業務を所管する部署※リスク特定：ハザードおよびそれによって引き起こされる望ましくない動作の特定※ハザード：望ましくない動作を引き起こしうる現象

4

②先行研究① 非専門家によるリスク特定に関する先行研究⚫
⚫

特定の軸（ものさし）が必要（土井ほか）
自動化（ツール化）が必要（宍戸ほか）② 網羅的なリスク特定に関する先行研究⚫

⚫

既存電子化プロセスに適用可能であること→プロセス図を利用し相互作用に対し意図した動作とのズレを特定（Catmurほか）
網羅的なリスク特定であること→ガイドワードを利用したハザード特定（Wintherほか）

5③提案手法の概要◼ 提案手法プロジェクト情報の収集
• 入力：
プロセス図
（定型）

意図した動作とのズレの特定• ものさし：動作類型
CIA

ハザードの特定• ものさし：ガイドワード定型のインプット
定型のものさし→ブレないリスク特定

ツール◼ 従来手法プロジェクト情報の収集• 入力：
プロジェクト資料（不定形）

ハザードの特定• ものさし：過去の経験則特定者の知識（いつもあるとは限らない）

不定形のインプット
不定形のものさし→網羅性のブレ6

③意図した動作とのズレの特定⚫ 動作種別ごとの機密性/完全性/可用性の喪失
意図した動作とのズレの特定

動作の類型
動作の類型
読み込み
書き込み
作成
保存
制御
移動
削除

定義
既存ファイルに変更を加えず，その内容を読み取ること
既存ファイルに編集を行うこと
新たにファイルを作成すること書き込みを行ったファイルを保存し，更新すること
対象システム以外のシステムを動作せしめること
既存ファイルを元の場所から別の場所に移動すること
既存ファイルを削除すること

7

③意図した動作とのズレを引き起こすハザードの特定⚫ Wintherらの先行研究で編み出されたガイドワードの利用
ハザードの特定8

③意図した動作とのズレを引き起こすハザードの特定⚫ Wintherらの先行研究で編み出されたガイドワードの利用
PreGuideword

Attribute（手段）Post-Guideword（要因）

意図的に意図せずしてDisclosure（暴露）Manipulation（操作）Disconnection（切断）Fabrication（偽造）Delay（遅延）Corruption（欠落）Deletion（消去）Removal（持ち去り）
Stopping（停止）Destabilization（不安定化）
Capacity Reduction（許容量の減少）
Destruction（破壊）Denial（拒否）Insider（内部者）
Outsider（外部者）
Technical failure（技術的故障）
Virus（マルウェア）
Ignorance（無知）Fire（火災）
Faulty Auxiliary Equipment（予備機器の故障）
Sabotage（怠業）
Broken cable（ケーブル故障）
Logical problems（ロジック問題）
Logical attack（論理攻撃）
Planned work（計画作業）
Configuration fault（設定ミス）
Spamming（スパム）Social manipulation（ソーシャルエンジニアリング）

動作を受ける対象

Winther他より作成

9

③ハザード候補の絞り込み⚫ 他と重複するハザードの排除（例：火災による持ち去り→持去主体は内部者/外部者のため重複）
AttributeとPost-Guidewordの組み合わせ195種→163種⚫ 当該の動作で発生し得ないハザードを排除（例：削除した情報の消去→意図した動作とのズレではない）
19意図した動作とのズレ×163ハザード=3097種→2476種⚫ ハザード発生を抑止する要因によるハザード候補の排除（例：予備機器がない→予備機器に起因するハザードの除外）
システム構成や要件上発生し得ないハザードの除外⚫ システム重要度に応じた特定ハザードの絞り込み
機密性/完全性/可用性への対策有無に応じたハザード候補の絞り込み◆システムが停止した場合の代替手段の有無，データバックアップの有無，
扱う情報の重要性→デフォルトの重要度「3」→代替手段orデータバックアップが存在→重要度「-1」→扱う情報が公開情報or社外秘→重要度「-1」
10

③実施フェーズと実施者◼ 提案手法の実施フェーズ
システム要件がある程度明確&竣工前である「設計」段階で実施◼ 実施者

モデル企業での申請プロセスにおける本提案手法の実施タイミング⚫ 電子化企画部署（業務所管部署）の役職員
11

④提案手法のツール化◼ Excelツールにて実装⚫ 事前質問シートに「システムが有する動作」，「ハザード抑止要因の有無」，「システムの重要性」を入力．
◆ハザード抑止要因の有無→存在しない動作に起因するハザードを除外→システム構成や要件上発生し得ないハザードの除外（e.g.予備機器がない→予備機器に起因するハザードの除外）⚫ システムにおいて起こり得る「意図した動作とのズレ」およびハザードの表示

12

④提案手法の実装-画面イメージ①◼ 事前質問シート

13

④提案手法の実装-画面イメージ②◼ 意図した動作とのズレ
一覧シート

14

④提案手法の実装-画面イメージ③◼ ハザード一覧シート

15

⑤検証と結果
特定手法

特定された
ハザード要因特定されたハザード手段提案手法（業務部署）

13

13

従来手法（業務部署）

8

8

専門家

8

15

ハザード要因ハザード手段提案手法：13

提案手法：13

5

5

4

3

1

1

1
従来手法：8

1

6

3
0

3

0

3

1
専門家：8

従来手法：8※従来手法と提案手法のリスク特定は業務部署役職員により2時間で実施

7
専門家：1516

⑤検証と結果◼ 提案手法でのハザード特定の特性⚫ 提案手法で特定されたハザードは従来手法で特定された，手段&要因をおおむね含み，従来手法より網羅的であった．
→提案手法により利用者の事前知識を補完できることが示唆された⚫ 提案手法と専門家によるハザード特定では，相互に特定されない手段，要因が存在した．
→ツールの特定分野に課題があることが示唆された
ハ ザ ー ド 特 手段（Attribute）
定の特性
提案手法
可用性に影響を及ぼす手段を多く特定
専門家
意図せぬ誤りについて多く特定要因（Post-Guideword）
外部的/偶発的な要因を多く特定
内発的な要因を多く特定

17

⑥提案手法で実現できたこと◼ 従来手法と比して網羅性が向上した⚫ 2段階での特定により「意図した動作とのズレ」とハザードの紐づけが容易になった（従来手法では1つのズレに一つのハザードが対応）⚫ Wintherらの具体的なガイドワードを利用することによりリスク特定者の知識と想像力を補完できた（従来手法では提案手法と比較してより少ない手段および要因の特定に留まる）◼ リスク特定粒度が均一化できた⚫ 「意図した動作とのズレ」にCIAを用いることにより一定粒度のズレの抽出を実現した（従来手法および専門家ではCIAの全てを包含するズレが散見）◼ 非専門家でも容易に利用が可能であった⚫ 9種の動作類型の採用により情報システムの非専門家にも比較的理解しやすい⚫ 提示するハザードの絞り込みにより単純な組み合わせと比してリスク特定者の負担軽減を実現した⚫ Excelの利用により容易な操作を実現した◼ ツール化が容易であった⚫ 組合せ件数がハザード件数の大枠となるため，ツール化が容易であった

18

⑥検証で明らかになった課題◼ CIAで測りづらい「意図した動作とのズレ」が特定されない◼ ガイドワードに記載されていない事柄のハザード特定は手薄になる◼ ガイドワードを用いる他のリスク特定手法（STPA/STRIDEなど）との優位性が不明◼ 動作類型に重複および抜けもれが存在

19

動作種別
動作の類型
読み込み
書き込み
作成
保存
制御
移動
削除

⚫

⚫

⚫

⚫

⚫

⚫

⚫

定義
既存ファイルに変更を加えず，その内容を読み取ること
既存ファイルに編集を行うこと
新たにファイルを作成すること書き込みを行ったファイルを保存し，更新すること
対象システム以外のシステムを動作せしめること
既存ファイルを元の場所から別の場所に移動すること
既存ファイルを削除すること

読み込みにおける喪失
機密性：情報の移動に伴う意図せざる開示
可用性：読み込めない
完全性：正しい情報が読み込めない
書き込みにおける喪失
機密性：情報の移動に伴う意図せざる開示
可用性：書き込めない
完全性：正しい情報が書き込めない
作成における喪失
機密性：作成物の意図せざる開示
可用性：作成されない
完全性：作成された情報が欠損/改変する/される
保存における喪失
機密性：保存した情報の意図せざる開示
可用性：保存されない
完全性：保存したデータが欠損/改変する/される制御における喪失
機密性：（存在しない）
可用性：制御対象が動作しない
完全性：制御対象が不正な動作をする
移動における喪失
機密性：情報の移動に伴う意図せざる開示
可用性：情報が移動しない
完全性：移動した情報が改変される
削除における喪失
機密性：削除した情報の意図しない開示
可用性：削除されない
完全性：（存在しない）

20

Wintherらによるガイドワードの解釈①
ハザード種別説明
Disclosure（暴露）利用者の意図に反して機密情報が公開されること
Manipulation（操作） 悪意ある操作によってCIAの喪失が起こされること
Disconnection（切断） システム内/間の通信が切断され，意図する操作が行えないこと
Fabrication（偽造）Delay（遅延）Corruption（欠落）Deletion（消去）システム内/間の入出力が偽装され，正しくないデータになること
システム内/間の応答が想定より遅延すること
システム内/間の入出力/保存データが一部欠落すること
人為的な要因によりデータが消去されること

Removal（持ち去り） 悪意ある操作によって外部へのデータの移動が行われること
Stopping（停止）利用者の意図に反してシステムが停止すること
Destabilization（不安 システムの応答が不安定になり，利用者の意図に応じたり応じなかったりする
定化）こと
Capacity Reduction（ システムが毀損され，処理能力が平時より減少すること
許容量の減少）Destruction（破壊）Denial（拒否）利用者の意図に反してシステムが破壊され機能を果たさなくなること
利用者の意図に反してシステムが利用を拒否すること
21

Wintherらによるガイドワードの解釈②
主体
Insider（内部者）
Outsider（外部者）
Technical failure（技術的故障）
Virus（マルウェア）
Ignorance（無知）Fire（火災）
Faulty Auxiliary Equipment（予備機器の故障）
Sabotage（怠業）
Broken cable（ケーブル故障）

CIAへの該当
全てに該当
全てに該当
全てに該当
全てに該当
全てに該当
完全性/可用性
可用性
完全性/可用性
可用性

Logical problems（ロジック問題）

全てに該当

Logical attack（論理攻撃）
Planned work（計画作業）
Configuration fault（設定ミス）
Spamming（スパム）

全てに該当
全てに該当
全てに該当
全てに該当

Social manipulation（ソーシャルエンジニアリング） 機密性/完全性/可用性に該当

22

ハザード発生の抑止要因①
抑止する要因内部者が操作できない

外部からアクセスできない
予備機器が存在しない
内部者による設定変更ができない

物理筐体が存在しない

メールを利用しない
内部者と外部者がデータ量を制御できない

排除するハザード
要因：内部者
手段：暴露，操作，偽造，欠落，消去，不安定化，許容量の減少
要因：無知
手段：暴露，操作，欠落，消去，不安定化，許容量の減少，破壊
要因：怠業
手段：暴露，操作，遅延，欠落，消去，許容量の減少
要因：外部者
手段：暴露，操作，偽造，欠落，消去，停止，不安定化，許容量の減少
要因：予備機器の故障
手段：暴露，切断，遅延，欠落，消去，停止，不安定化，許容量の減少，破壊，拒否
要因：設定ミス
手段：暴露，操作，切断，遅延，欠落，停止，不安定化，許容量の減少，拒否
要因：怠業
手段：不安定化，拒否要因：ソーシャルエンジニアリング
手段：不安定化，拒否
要因：無知
手段：拒否
要因：ケーブル故障
手段：切断，遅延，欠落，停止，不安定化，許容量の減少，拒否
要因：火災
手段：不安定化，許容量の減少，破壊，拒否要因：スパム
手段：切断，遅延，欠落，停止，不安定化，許容量の減少，拒否
要因：内部者
手段：遅延
要因：外部者
手段：遅延
要因：無知
手段：遅延
要因：ソーシャルエンジニアリング
手段：遅延

23

ハザード発生の抑止要因②
抑止する要因データの抽出ができない&
データの送信が制限されている

内部者による停止が制限されている

内部者が操作できない&
外部からアクセスできない
外部からアクセスできない&外部者が設置個所に立ち入りできない物理筐体が存在しない&
バックアップが行われている
物理筐体が存在しないor
予備機器が存在する

排除するハザード
要因：内部者
手段：持ち去り
要因：外部者
手段：持ち去り要因：マルウェア
手段：持ち去り
要因：無知
手段：持ち去り
要因：論理攻撃
手段：持ち去り要因：ソーシャルエンジニアリング
手段：持ち去り
要因：内部者
手段：停止
要因：無知
手段：停止
要因：怠業
手段：停止
要因：ソーシャルエンジニアリング
手段：停止
要因：ソーシャルエンジニアリング
手段：暴露，操作，消去
要因：外部者
手段：切断，破壊，拒否
要因：火災
手段：消去
要因：火災
手段：停止

24

検証実施事項＠検証説明資料より◼ 本稿に記載されているモデルケースを読んで，当該システムについて考えられる
リスクと，それを引き起こす要因（ハザード）をすべて記載してください．
（実際のリスク対応においては頻度・影響に応じた評価を行いますが，今回は頻度&影響の多寡に関わらず，なるべく多くのリスクと要因を特定します．）⚫ リスクはシステムが本来の意図と離れた動作を行うことを示します．
（例：書き込んだデータが意図せず開示される）⚫ ハザードは「○○による△△」という形で，○○に原因となる主体を，△△に主体によって起こる事象を記載します．
（例：内部者の持出（により書き込んだデータが意図せず開示される））原因となる主体（天災等も含む）

×

主体が起こす事象=

意図した動作との乖離（リスク）25

モデルケース
システム連携フロー①
RPA

人事システム研修システム

ファイルサーバ

人開担当者
開始

RPAの起動

人事情報の抽出依頼

人事情報の送信

人
事
情
報
の
抽
出

抽出した人事情報の保存完了

CSV抽出した人事情報の保存

抽
出
（し
た
人
フ事
ァ情
イ
ル報
）の
格
納

26

モデルケース
システム連携フロー②
RPA

人事システム研修システム

前回抽出した人事情報の読み取り

前回抽出した人事情報の送信

人開担当者

前
回
人
事
情
報
の
抽
出

/

差前
分回
抽今
出回
人
事
情
報
の

ファイルサーバ

研修対象者条件の読み取り

研修対象者条件の送信

研
修
対
象
者
の
抽
出

の研
抽修
出対
象
者
条
件

27

モデルケース
システム連携フロー③
RPA

研修システム人事システム

研修対象者の保存完了

研修対象者抽出完了メールの送信

研修対象者の確認完了

研修対象者の登録完了通知

人開担当者

研
修
対
象
者
の
格
納

研修対象者の保存

研修対象者の書込み

ファイルサーバ

研
修
対
象
者
の
確
認

研
修
対
象
者
の
登
録

28

モデルケース
システム連携フロー④
RPA

人事システム研修システム

ファイルサーバ

人開担当者

登
録
完
了
メ
ー
ル
の
作
成
登録完了メールの送信完了

29

検証における特定結果
従来手法によるリスク特定①
特定されたリスク
想定外のデータ抽出・登録されてしまう
意図しない人や場所へ情報が開示されてしまう
意図しない人でも共有サーバーが見えてしまう
関係者に情報を持ち出されてしまう
ウイルスに感染させられる
手動アサインを間違ってしまう
RPA改修などによって意図しない動作が発生してしまう
担当者変更時に引継ぎが困難になる
CSVファイル破損，文字化けして意図しないデータ抽出が発生する
Eメールが意図しない人に送信されてしまう
第三者からリモートアクセスされてしまう
サーバーが破損してしまう
データが消失してしまう
特定されたリスクを引き起こす要因（ハザード）
データのご登録により想定外のデータ登録・抽出関係者のミスにより情報開示をしてはいけないところに開示をしてしまった．
サーバー閲覧権限の設定ミスにより共有サーバーが見えてしまった
関係者の個人情報を持ち出しによる漏洩リスク
第三者のサイバー攻撃による感染リスク（DDoS攻撃）
関係者のヒューマンエラーによる手動アサインリスク
設計・開発担当者の設計・開発ミスにより誤作動・登録
人事異動や退職による運用パフォーマンスの低下
関係者のCSVファイル破損を認知できなかったことによるファイルサーバーへの誤作動リスク
情報登録担当者の通知先emlご登録による情報漏洩
BEC攻撃によりリモートアクセス権限を乗っ取られる
ソフトウェアの不具合やハードウェアの故障によるサーバー障害リスク
災害によるデータの消失リスク30

検証における特定結果
リスク特定支援ツールによるリスク特定①
特定されたリスク情報の読込みに伴う意図せざる開示
読み込むデータの欠損/改変
読み込めない読み込みが遅い/一部読み込まれない情報の書込みに伴う意図せざる開示
書き込まれたデータの欠損/改変
書き込めない書き込みが遅い/一部書き込まれない作成物の意図せざる開示作成されたデータの欠損/改変
作成されない作成が遅い/一部作成されない
保存した情報の意図せざる開示
保存したデータの欠損/改変
保存されない保存が遅い/一部保存されない
削除した情報の意図せざる開示
削除されない削除が遅い/一部削除されない

特定されたリスクを引き起こす要因（ハザード）
Insider（内部者）によるDisclosure（暴露）Technical failure（技術的故障）によるDisclosure（暴露）Virus（マルウェア）によるDisclosure（暴露）Ignorance（無知）によるDisclosure（暴露）Sabotage（怠業）によるDisclosure（暴露）31検証における特定結果
リスク特定支援ツールによるリスク特定②
Logical problems（ロジック問題）によるDisclosure（暴露）
Logical attack（論理攻撃）によるDisclosure（暴露）Social manipulation（ソーシャルエンジニアリング）によるDisclosure（暴露）Insider（内部者）によるManipulation（操作）Virus（マルウェア）によるManipulation（操作）Ignorance（無知）によるManipulation（操作）Sabotage（怠業）によるManipulation（操作）Logical problems（ロジック問題）によるManipulation（操作）Logical attack（論理攻撃）によるManipulation（操作）Planned work（計画作業）によるManipulation（操作）Social manipulation（ソーシャルエンジニアリング）によるManipulation（操作）Insider（内部者）によるRemoval（持ち去り）Outsider（外部者）によるRemoval（持ち去り）
Virus（マルウェア）によるRemoval（持ち去り）
Ignorance（無知）によるRemoval（持ち去り）
Logical attack（論理攻撃）によるRemoval（持ち去り）
Social manipulation（ソーシャルエンジニアリング）によるRemoval（持ち去り）
Insider（内部者）によるDisconnection（切断）Technical failure（技術的故障）によるDisconnection（切断）Virus（マルウェア）によるDisconnection（切断）Ignorance（無知）によるDisconnection（切断）Fire（火災）によるDisconnection（切断）Sabotage（怠業）によるDisconnection（切断）Logical problems（ロジック問題）によるDisconnection（切断）Logical attack（論理攻撃）によるDisconnection（切断）32検証における特定結果
リスク特定支援ツールによるリスク特定③
Planned work（計画作業）によるDisconnection（切断）Spamming（スパム）によるDisconnection（切断）Social manipulation（ソーシャルエンジニアリング）によるDisconnection（切断）Insider（内部者）によるFabrication（偽造）Virus（マルウェア）によるFabrication（偽造）Logical problems（ロジック問題）によるFabrication（偽造）Social manipulation（ソーシャルエンジニアリング）による
Fabrication（偽造）Insider（内部者）によるDelay（遅延）Outsider（外部者）によるDelay（遅延）Technical failure（技術的故障）によるDelay（遅延）Virus（マルウェア）によるDelay（遅延）Ignorance（無知）によるDelay（遅延）Fire（火災）によるDelay（遅延）Sabotage（怠業）によるDelay（遅延）Logical problems（ロジック問題）によるDelay（遅延）Logical attack（論理攻撃）によるDelay（遅延）Planned work（計画作業）によるDelay（遅延）Spamming（スパム）によるDelay（遅延）Social manipulation（ソーシャルエンジニアリング）によるDelay（遅延）Insider（内部者）によるCorruption（欠落）Technical failure（技術的故障）によるCorruption（欠落）Virus（マルウェア）によるCorruption（欠落）Ignorance（無知）によるCorruption（欠落）Fire（火災）によるCorruption（欠落）Sabotage（怠業）によるCorruption（欠落）Logical problems（ロジック問題）によるCorruption（欠落）33検証における特定結果
リスク特定支援ツールによるリスク特定④
Logical attack（論理攻撃）によるCorruption（欠落）Planned work（計画作業）によるCorruption（欠落）Spamming（スパム）によるCorruption（欠落）Social manipulation（ソーシャルエンジニアリング）による
Corruption（欠落）Insider（内部者）によるDeletion（消去）Technical failure（技術的故障）によるDeletion（消去）Virus（マルウェア）によるDeletion（消去）Ignorance（無知）によるDeletion（消去）Sabotage（怠業）によるDeletion（消去）Broken cable（ケーブル故障）によるDeletion（消去）Logical problems（ロジック問題）によるDeletion（消去）Logical attack（論理攻撃）によるDeletion（消去）Planned work（計画作業）によるDeletion（消去）Social manipulation（ソーシャルエンジニアリング）によるDeletion（消去）
Technical failure（技術的故障）によるStopping（停止）Virus（マルウェア）によるStopping（停止）Logical problems（ロジック問題）によるStopping（停止）Logical attack（論理攻撃）によるStopping（停止）Planned work（計画作業）によるStopping（停止）Spamming（スパム）によるStopping（停止）Insider（内部者）によるDestabilization（不安定化）
Technical failure（技術的故障）によるDestabilization（不安定化）
Virus（マルウェア）によるDestabilization（不安定化）
Ignorance（無知）によるDestabilization（不安定化）
Logical problems（ロジック問題）によるDestabilization（不安定化）
Logical attack（論理攻撃）によるDestabilization（不安定化）
Planned work（計画作業）によるDestabilization（不安定化）
Spamming（スパム）によるDestabilization（不安定化）

34

検証における特定結果
リスク特定支援ツールによるリスク特定⑤
Insider（内部者）によるDestruction（破壊）Technical failure（技術的故障）によるDestruction（破壊）Virus（マルウェア）によるDestruction（破壊）Ignorance（無知）によるDestruction（破壊）Sabotage（怠業）によるDestruction（破壊）Logical problems（ロジック問題）によるDestruction（破壊）Logical attack（論理攻撃）によるDestruction（破壊）Planned work（計画作業）によるDestruction（破壊）Social manipulation（ソーシャルエンジニアリング）によるDestruction（破壊）Technical failure（技術的故障）によるDenial（拒否）Virus（マルウェア）によるDenial（拒否）Logical problems（ロジック問題）によるDenial（拒否）Logical attack（論理攻撃）によるDenial（拒否）Planned work（計画作業）によるDenial（拒否）Spamming（スパム）によるDenial（拒否）Insider（内部者）によるCapacity Reduction（許容量の減少）
Technical failure（技術的故障）によるCapacity Reduction（許容量の減少）
Virus（マルウェア）によるCapacity Reduction（許容量の減少）
Ignorance（無知）によるCapacity Reduction（許容量の減少）
Sabotage（怠業）によるCapacity Reduction（許容量の減少）
Logical problems（ロジック問題）によるCapacity Reduction（許容量の減少）
Logical attack（論理攻撃）によるCapacity Reduction（許容量の減少）Planned work（計画作業）によるCapacity Reduction（許容量の減少）Spamming（スパム）によるCapacity Reduction（許容量の減少）

35

検証における特定結果
専門家によるリスク特定①
特定されたリスク共有サーバのリソースが枯渇する
共有サーバの更新（バージョンアップ、脆弱性対応）が遅れる
旧担当者からのID/PWの漏えい
連携システム経由での侵害
連携システムを侵害（担当者PC、研修システム、ファイルサーバ）
人事情報が漏えいする
研修対象条件の漏えい、改ざん
研修対象者の漏えい、改ざん
抽出完了メールの誤送信
登録完了メールの誤送信プログラムに不備が多い
障害に気づけない
障害対応に時間がかかる
セキュリティ侵害に気づけない
RDPによる仮想PCへの不正アクセス
バックアップからの復旧ができない
重複受講依頼特定されたリスクを引き起こす要因（ハザード）
共有サーバのリソース管理ができていないことにより、仮想PCを立ち上げ過ぎる
一部の仮想PCがリソースを消費する（利用量増、バグ等）
仮想PCの停止調整がうまくいかず、メンテナンススケジュールが決められない
業務変更、異動、退職により、担当が外れた際にPW変更を実施しない
ファイルサーバ（共有用）、担当者利用PC等にID/PWが残される担当者PCがマルウェアに感染している36

検証における特定結果
専門家によるリスク特定①
人事システムがマルウェアに感染している
ファイルサーバがマルウェアに感染している
仮想PCがマルウェアに感染している
仮想PCのアクセス権が適切でない
ファイルサーバのアクセス権が適切でない
特権管理が適切でない
仮想PCに人事情報が保存される（永続、一時）
ファイルサーバに人事情報が保存される
ファイルサーバ上に前回抽出した人事情報が保存されている
仮想PCに前回抽出した人事情報が保存される（永続、一時）
ファイルサーバのアクセス権が適切でない
ファイルサーバ上に研修対象条件が保存されている
特権管理が適切でない
仮想PCに研修対象条件が保存される
ファイルサーバのアクセス権が適切でない
ファイルサーバ上に研修対象者が保存される
仮想PCに研修対象者が保存される
送信先が適切に管理されていない（担当者変更）
MLメンバが適切に管理されていない（メンバ変更）
送信先が適切に管理されていない（担当者変更）
開発担当者のスキル不足（不十分な開発（特に例外処理））運用担当者のスキル不足
運用担当者のスキル不足
運用担当者のスキル不足
運用担当者による監視が不十分
アクセス制御の不備
ログが適切に取得・保存されていない復旧試験を定期的に実施していない
過去の受講履歴を確認していない

37