第６回 情報セキュリティマネージャー
ISACA カンファレンス in Tokyo2018年1月6日

サイバーセキュリティとリスクマネジメント

東京電機大学未来科学部教授
会計検査院最高情報セキュリティアドバイザー
佐々木良一
sasaki@im.dendai.ac.jp

本日の内容１．サイバーセキュリティの最近の動向
２．リスク評価の動向
３．多重リスクコミュニケータの開発
４. IoTを含むシステムへのリスク評価法の考察

５．今後の方向2

インターネットバンキングの被害

http://www.jiji.com/jc/graphics?p=ve_soc_networkbankfuseisoukin

3ランサムウエアの被害動向
トレンドマイクロ調査結果

ランサムウエア
被害報告件数

2810

3000件

法人
ユーザ

3.5倍
2000件

2350

800

1000件
150

650

2015年

個人
ユーザ

460

2016年

https://scan.netsecurity.ne.jp/article/img/2017/03/03/39509/21918.html
4

サイバー攻撃の歴史＜セキュリティにとっての第一のターニングポイント＞
2000年 科学技術庁などのホームページの改ざん事件
2000年
不正アクセス禁止法施行
2000年
JNSA発足（２００１年NPO化）
2001年 Code Red、Sircumによる被害
2001年
電子署名法施行
2001年
ＣＲＹＰＴＲＥＣ（暗号技術検討会）発足＜セキュリティにとっての第二のターニングポイント＞
2010年 Stuxnetの出現(遠心分離機への攻撃)
2011年
ウイルス作成罪施行
2011年 三菱重工などへの標的型メール攻撃
2015年 日本年金機構への攻撃
5

科学技術庁ホームページ改ざん事件

2000年1月
Reference：http://www.kogures.com/hitoshi/webtext/sec-husei-access/homepage.html

6

サイバー攻撃の歴史＜セキュリティにとっての第一のターニングポイント＞
2000年 科学技術庁などのホームページの改ざん事件
2000年
不正アクセス禁止法施行
2000年
JNSA発足（２００１年NPO化）
2001年 Code Red、Sircumによる被害
2001年
電子署名法施行
2001年
ＣＲＹＰＴＲＥＣ（暗号技術検討会）発足＜セキュリティにとっての第二のターニングポイント＞
2010年 Stuxnetの出現(遠心分離機への攻撃)
2011年
ウイルス作成罪施行
2011年 三菱重工などへの標的型メール攻撃
2015年 日本年金機構への攻撃
7

２つのターニングポイントの比較
第一次ターニングポイ
ント（2000年ごろ）

第二次ターニングポイ
ント（2010年以降）

攻撃目的

面白半分

多様化（面白半分、主義主張、
お金儲け、国家の指示）

攻撃者

ハッカー（クラッカー）

ハッカー、ハクティビスト、犯罪者、スパイ、軍人

攻撃対象

WEBなどの一般IT

重要情報インフラも＜Stuxnet＞

攻撃パターン

不特定多数

標的型＜Stuxnet、ソニー、
三菱重工、日本年金機構＞

攻撃技術

低ー中

中ー高 ＜Stuxnet、ソニー、
三菱重工、農林水産省 ＞

従来の攻撃が風邪なら、新しい攻撃は新型インフルエンザ8

目次
１．サイバーセキュリティの最近の動向
２．ITシステムのリスク評価の動向
３．多重リスクコミュニケータの開発
４. IoTを含むシステムへのリスク評価法の考察
５．今後の方向9セキュリティ評価のアプローチ法＜従来＞(i) 脅威を重視したアプローチ(ii) 資産を重視したアプローチ(iii) 脆弱性を重視したアプローチ＜今後＞リスクを重視したアプローチ
リスク＝資産X脆弱性X脅威10

評価のアプローチ法
アプローチ法

長所

欠点

定量的

費用対効果分析を最も効果的に支援得られた数値または結果に関する信頼性の説明が必要半定量的

比較的少ないコストで相互比較が可能に厳密性が不足

定性的分析にコストがか
からない

今後の
方向

経験により結果が異なる場合もある

FIPS SP 800-30を参考に作成
11

文献• Thomas L.
Norman “Risk
Analysis andSecurityCountermeasure” CRC Press,
2016
定量的リスク評価を扱う本は増えてきている。
12

ＩＴシステムの安全の階層化

＊

階
層

対象

扱う事故・障害

従来の学問・
技術分野

指標

３

ＩＴシステムが行うサービスの安全

発券サービスの停止、プライバシーの喪失など

システム工学
リスク学
社会科学などプライバシー、
ユーザビリ
ティ

ＩＴシステムが扱う情報の安全

情報のＣＩＡの喪失セキュリティ

セキュリティ（機密性、完全性、
可用性）

ＩＴシステムそのものの安全

コンピュータや通信
機器の故障

信頼性工学
セキュリティ

リライアビリティ、アベイラビリティ

２

１＊ 従来情報セキュリティが扱っていた範囲
13

ＩＴシステムの安全の階層化

＊

階
層

対象

扱う事故・障害

３

ＩＴシステムが行うサービスの安全

発券サービスの停止、プライバシー
の喪失など
トラスト

ＩＴシステムが扱う情報の安全セキュリティITリスク セキュリティ（機密性、完全性、
可用性）
ニューディペンダ
ビリティ
リライアビリ
信頼性工学
コンピュータや通信
ティ、アベイラ
機器の故障
セキュリティ
ビリティ

２

１

ＩＴシステムそのものの安全

従来の学問・
技術分野

指標

システム工学
リスク学
社会科学などプライバシー、
ユーザビリ
ティ

情報のＣＩＡの喪
失＊ 従来情報セキュリティが扱っていた範囲
14

リスクとは１．リスク とは，英語のRiskの訳であり，危険と訳される場合もある．「将来の帰結に対する現在における予測」という見方が下敷きになっていて常に不確実性を伴う。

２．工学分野の確率論的リスク評価では通常次のように定義することが多い。
リスク＝損害の大きさ ×損害の発生確率
３．「ISO/IEC 27005：2008」ではITのリスクを以下のように定義しているが、結局同じことを表している。
リスク＝資産価値 × 脅威 × 脆弱性（注）英語のRiskが登場するのは1660年代。ハザードや災いを意味する
イタリア語risicoからの転用
15

リスクマネジメントのプロセスの流れ
組織の状況の確定
コ
ミ
ュ
ニ
ケ
ー
シ
ョ
ン
と
協
議

リスク
アセスメント
リスクの特定
リスク分析
リスク評価

モ
ニ
タ
ー
と
レ
ビ
ュ
ー

リスク対応
16

目次
１．サイバーセキュリティの最近の動向
２．ITシステムのリスク評価の動向
３．多重リスクコミュニケータの開発
４. IoTを含むシステムへのリスク評価法の考察
５．今後の方向17代表的ITリスクの現状の調査
１．2000年問題
２．個人情報漏洩リスク
３．暗号の危殆化リスク
４．サイバーテロのリスク
５．大規模情報システム故障のリスク
詳細は、佐々木良一「ITリスクの考え方」岩波新書、2008第2章、第4章参照

18

多重リスクコミュニケータ（MRC）の対応＜背景＞
背景１．多くのリスク（セキュリティリ
スク、プライバシーリスクなど）が存
在＝＞リスク間の対立を回避する手段が必要
背景２．ひとつの対策だけでは目的の達成が困難＝＞対策の最適な組み合わせを求めるシステムが必要

MRCにおける対応①多くのリスクやコストを制約条件とし、残存リスク等を最小化する対策組み合わせ問題として定式化②関与者の合意が得られるまで
制約条件値などの値を変えつつ最適化エンジンを用い求解
専門家

対策案
①②③④

背景３．多くの関与者（経営者・顧客・従業員など）が存在＝＞多くの関与者間の合意が得られるコミュ
ニケーション手段が必要

定式化
結果

多重リス
クコミュニ
ケータ
MRC

Y
END
制約条件などの変更
ファシリテータ 関与者

最適解
対策案
①③の
組合せ
満足
N
19
19

19

MRCの適用①適用対象（組織内合意）（ａ）個人情報漏洩対策（含む：世田谷区役所の個人情報漏洩対策への実適用など）（ｂ）内部統制問題など＝＞参加者が5-6人までの組織内合意形成問題なら基本的有効性を確認
②受賞
日本セキュリティ・マネジメント学会2009年度論文賞受賞など③招待講演
IEEE主催のCFSE２０１２ Keynote Speech など

詳しくは佐々木良一他「多重リスクコミュニケータの開発と適用」情報処理学会
論文誌、Vol49,No9、２００８年９月号
20

MRCに関する最近の研究
１．MRCについて機能の拡張（１）標的型攻撃等多段にわたる攻撃のリスク評価のためのリスク解析法（EDC法）の開発（２）被害発生防止対策と復元対策の両方を考慮した対策案最適組合せ法（InfoSec2014 Best Paper Award受賞）（３）動的リスクを考慮した多重リスクコミュニケータ
（４）経営者とのリスクコミュニケーションも考慮した多重リスクコ
ミュニケータ（５）IoTを含むシステムへの機能拡張
２．合意形成対象者が1000人を超すような問題への適用
Social-MRCを開発し、青少年への情報フィルタリング問題への適用 (情報処理学会DICOMO2010 最優秀論文賞など)

21

目次
１．サイバーセキュリティの最近の動向
２．リスク評価の動向
３．多重リスクコミュニケータの開発
４. IoTを含むシステムへのリスク評価法の考察
５．今後の方向

22

IoTとは• IoT とは”Internet of Things”の略。
• ITU（国際電気通信連合）の勧告（ITU-T Y.2060(Y.4000)）では、「情報社会のために、既存もしくは開発中の相互運用可
能な情報通信技術により、物理的もしくは仮想的なモノを接続し、高度なサービスを実現するグローバルインフラ」• 1999年にケビン・アシュトン（Kevin Ashton）が命名。
ここで「もの」とは、IPア
ドレスを持つ防犯カメラ
や各種センサーなど多様（PCはものだが通常
対象外）

23

接続される主要な「もの」
システムレベル（１）重要インフラの制御システム（２）スマートハウス（３）自動車（４）情報家電（５）複合機（６）電子掲示板（７）防犯カメラ（８）スマートセンサー
部品レベル
24

IoTのセキュリティが重要になった背景
１．IoTが急速に普及していくことが予想される。
２０２０年には５００億個（インテルの予測）
２．IoTの機能喪失の影響が大きい（人命が失われる場合も）

３．IoTシステムが被害にあうだけではなく、IoT装置が踏み台になった攻撃の可能性も大４．現状のシステムでは一般に対策が困難（性能の制約や自動アップ
グレイドの困難性等）

25

接続される主要な「もの」
システムレベル（１）重要インフラの制御システム（２）スマートハウス（３）自動車（４）情報家電（５）複合機（６）電子掲示板（７）防犯カメラ（８）スマートセンサー
部品レベル
26

電力会社へのサイバー攻撃で140万世帯が停電
2015年12月23日に、ウクライナ西部の都市イヴァーノ＝フランキーウシク周辺で140万世帯が停電しました。停電自体は数時間のことでしたが、これが実はサイバー攻撃によるもので、「BlackEnergy」と呼ばれるマルウェアを用いたモノであることが明らかになっています。
これはウクライナのエネルギー省が明かしたもの。以前から、
インフラを狙ったサイバー攻撃については警鐘が鳴らされていましたが、本件はサイバー攻撃が実際に成功した極めて珍しい事例です。
http://gigazine.net/news/20160106-blackenergy-trojan/

27

接続される主要な「もの」
システムレベル（１）重要インフラの制御システム（２）スマートハウス（３）自動車（４）情報家電（５）複合機（６）電子掲示板（７）防犯カメラ（８）スマートセンサー
部品レベル
28

自動車への具体的攻撃例• Blackhat2015でCharlie Miller氏とChris Valasek氏がジープのチェロスキーの遠隔操作法を発表
攻撃者は数マイル
離れた自宅から

ハンドル操作ブレーキの無効化
高速走行中のエンジンの停止など
140万台のリ
コールにhttps://blog.kaspersky.co.jp/blackhat-jeep-cherokee-hack-explained/8480/

29接続される主要な「もの」
システムレベル（１）重要インフラの制御システム（２）スマートハウス（３）自動車（４）情報家電（５）複合機（６）電子掲示板（７）防犯カメラ（８）スマートセンサー
部品レベル
30

無防備な防犯カメラの監視映像＜ Insecam サイト＞

http://animeblog.hatenablog.jp/entry/2016/01/20/084826
31その他のIoTのセキュリティ• 防犯カメラ、家庭用ルータなどがアクセス管理が不十分なため攻撃の踏み台に• 今後は家庭用ロボットなどのハッキングによる被害なども発生か32

IoTを利用したDDoS攻撃＜MiraiによるDDoS攻撃＞

攻撃者①telnetにより脆弱性のあるIoTに侵入（ボット化）③DDoS攻撃

標的
サーバ

②攻撃指示
620Gbps程度
DDoS（Dissributed Denial Of Service）攻撃（サービス不能攻撃ともいう）

33

IoTセキュリティガイドラインの制定
5つの指針・21の要点（１）

IoTセキュリティガイドライン 平成28年7月 座長 佐々木良一
http://www.soumu.go.jp/main_content/000428393.pdf
34

IoTセキュリティガイドラインの制定
5つの指針・21の要点（２）

IoTセキュリティガイドライン 平成28年7月 座長 佐々木良一
http://www.soumu.go.jp/main_content/000428393.pdf
35

IoTセキュリティガイドラインの制定
5つの指針・21の要点（２）
これらは、一般的IoTのセキュリティに関するガイド
個別のIoTシステムの安全対策のためには、個別のリスク評価が必要

IoTセキュリティガイドライン 平成28年7月 座長 佐々木良一
http://www.soumu.go.jp/main_content/000428393.pdf
36

IoTを含むシステムのリスク評価の特徴
１．ITシステムのリスク評価：
情報のCIAからなるSecurityを中心にする評価
IoTを含む場合は制御対象のリスク評価：
Safetyを主にしSecurityを従にする評価が必要に２．IoTの種類によっては、センサー系の異常や制御系の異常への対処も重要になる
３．対策効果の評価まで行う場合は、いろいろなレイヤーでの対策を考慮すべき37

ITのセキュリティ①機密性喪失が重点問題

故意

ソフト＜セキュリティ＞

過失

故障

コンピュータハード＜ディペンダビリティ＞①機密性の喪失（情報の漏えいなど）②完全性の喪失（影響：爆発など）③可用性の喪失（システムダウンなど）

38

IoTのセキュリティとセーフティ①機密性喪失の重要性は低い

故意
過失

故障
①機密性の喪失（情報の漏えいなど）②完全性の喪失（影響：爆発など）③可用性の喪失（システムダウンなど）

ソフト（制御用ソフト）＜セキュリティ＞②出力異常指示③停止指示 ②③

ハード（制御用ハード）＜ディペンダビリティ＞

制御対象（IoT）＜セーフティ＞
健康や環境へ
の影響並びにシステムダウンが重要に39

アプローチ方法の概要（航空機デー
タ通信システムの場合）
受け入れら
れない事象

主

従

乗客の生命にかかわるアクシデント

乗客情報の流出

新しいアプローチ
方法が必要

従来のセキュリ
ティ評価法（アタックツリー法など）

40

アプローチ方法の概要（航空機デー
タ通信システムの場合）
受け入れら
れない事象

乗客の生命にかかわるアクシデント

ハードの故障やヒューマンエラー、制御の異常など

サイバー攻撃など

フォルトツリーアタックツリーhttp://www.jssm.net/wp/wp-content/uploads/2014/04/ITリスク学研究会_
発表資料_2017-08-02-公開用.pdf（産総研田口氏資料）を参考に作成
41

IoTを含むシステムのリスク評価の特徴
１．ITシステムのリスク評価：
情報のCIAからなるSecurityを中心
IoTを含む場合は制御対象のリスク評価：
Safetyを主にしSecurityを従にする評価が必要に２．IoTの種類によっては、センサー系の異常や制御系の異常への対処も重要になる
３．対策効果の評価まで行う場合は、いろいろなレイヤーでの対策を考慮すべき

42

IoT機器の機能による分類
１．ネットワーク側に出力中心のＩｏＴ機器(センサー系)（ａ）速度センシング情報など（部品レベル）（ｂ）自動車の位置情報など（製品レベル）（ｃ）タクシーの稼働状況など（システムレベル）
ネットワーク２．ネットワーク側から入力中心のＩｏＴ機器（ａ）状態表示系
経路ガイドなど（ｂ）制御系
速度制限制御など

（１）

（２）

ＩｏＴ機器

43

アプローチ方法の概要（航空機デー
タ通信システムの場合）
受け入れら
れない事象

乗客の生命にかかわるアクシデント

ハードの故障やヒューマンエラー、制御の異常など

フォルトツリー

STAMP/STPA

サイバー攻撃など

アタックツリー

STAMP/STPAについては
https://www.ipa.go.jp/files/000055009.pdf などを参照
44

STAMP/STPAとは

IPA作成資料
45

STAMP/STPAとは

STAMP/STPAにセキュリティの要素を導入を試みたものとしてSTPA-Secなどがある

情報処理学会CSS2017 3C3-2: 「安全解析手法
STAMP/STPAに対するセキュリティ視点からの脅威分析の拡張提案」○金子 朋子（情報処理推進機構），髙橋 雄志（東京電機大学），大久保 隆夫（情報セキュリティ大学院大学），勅使河原 可海（東京電機大学），佐々木 良一（東京電機大学）
IPA作成資料
46

ＳＴＰＡのセキュリティ対応版

STPA-Secの実施手順
STPA分析手順

STPA-Secの分析内容（赤字がSTPAへの追加部分）

Step 0：（前準備1）
Accident、Hazard、
安全制約の識別対象とするAccident（望ましくない事象）、Hazard（Accidentが潜在している状態）を定義し、Hazardを制御するためのシステム上の安全制約を識別する

Step 0：（前準備2）
Control Structureの構築

セキュアでない状態も考慮して安全制約の実現に関係するコンポーネント（サブシステム、機器、組織等）、及びコンポーネント間の相互作用（指示、フィードバック
データ）を分析し、Control Structureを構築する

Step 1：UCA（Unsafe
Control Action）の抽出

Step 2：HCF（Hazard
Causal factor）の特定

情報のライフサイクルを利用したハザードのコントロー
ルアクションを追跡したうえでControl Structureから
安全制約の実行に必要な指示(Control Action)に4つのガイドワードを適用して、ハザードにつながる非安全なControl Action（UCA）を抽出する
UCA毎に，関係するControl Loop Diagramを抽出し、ガイドワードを適用してハザード要因（HCF）を特定する•セキュアでないコントロールアクションを導くシナリオ
を識別する•D4チャートでよりクリティカルなセキュリティシナリ
オを描く•コントロール戦略に用いるセキュリティシナリオを検討する

最終Step ：対策検討・まとめSTEP2に脅威分析を追加↓
マイクロソフトの脅威モデルSTRIDEと脅威分類Threat Treeを
ヒントワードとして利用↓
セキュリティ誘発要因の洗い出しと対策立案が網羅的にできる↓
適切な脅威シナリオの作成を支援

非安全/セキュアでないシナリオを除去、軽減するための新しい要求、コントロール、設計を開発

Security Tutorial Part 1 A Systems Approach to Security（2016 STAMP WORKSHOP）
より

47

IoTのセキュリティとセーフティ
故意①機密性喪失の重要性は低い
健康や環境への影
響並びにシステム
ソフト（制御用ソフト）
ダウンが重要に＜セキュリティ＞

過失
故障①機密性の喪失（情報の漏えいなど）②完全性の喪失（影響：爆発など）③可用性の喪失（システムダウンなど）②出力異常指示③停止指示 ②③

ハード（制御用ハード）＜ディペンダビリティ＞

制御対象（IoT）＜セーフティ＞

簡単に異常停止になる可能性

緊急停止系機能

センサー機能セキュリティ攻撃48

IoTを含むシステムのリスク評価の特徴
１．ITシステムのリスク評価：
情報のCIAからなるSecurityを中心
IoTを含む場合は制御対象のリスク評価：
Safetyを主にしSecurityを従にする評価が必要に２．IoTの種類によっては、センサー系の異常や制御系の異常への対処も重要になる
３．対策効果の評価まで行う場合は、いろいろなレイヤーでの対策を考慮すべき

49

IoTの階層別のセキュリティ対策＜対象によってセキュリティ
対策が大幅に異なる＞

IoTシステム

ネ
ッ
ト
ワ
|
ク

システム層
Data Centerなど

サブシステム層
Gatewayなど

既存
のIoT
機器

セキュア
ゲートウ
エイ

認証
チップ

種々の対
策の適切
な組み合
わせ

IoT機器層

新規中小規模 新規大規模規模
IoTシステム IoTシステム
50

レイヤー別ガイドラインの策定

51

IoT機器層向け対策

52

多重リスクコミュニケータ（MRC）ベースの方法＜背景＞
背景１．多くのリスク（セキュリティリ
スク、プライバシーリスクなど）が存
在＝＞リスク間の対立を回避する手段が必要
背景２．ひとつの対策だけでは目的の達成が困難＝＞対策の最適な組み合わせを求めるシステムが必要

MRCにおける対応①多くのリスクやコストを制約条件とし、残存リスク等を最小化する対策組み合わせ問題として定式化②関与者の合意が得られるまで
制約条件値などの値を変えつつ最適化エンジンを用い求解
専門家
対策案
①②③④

背景３．多くの関与者（経営者・顧客・従業員など）が存在＝＞多くの関与者間の合意が得られるコミュ
ニケーション手段が必要

定式化
結果

多重リスク
コミュニケ
ータMRC

Y
END
制約条件などの変更
ファシリテータ 関与者

最適解
対策案
①③の
組合せ
満足
N
53
53

53

多重リスクコミュニケータ（MRC）の手順
Start

離散型最適化問題としての定式化

ファシ
リテー
タ

係数や制約条件の設定
求解と結果の表示

No

関与者は解
に満足？
Yes
End

Min F (Xi: i=1,2,----,n ) 残存リスク
subject tonΣ Ci・Xi ≦ Cｔ コスト制約
i=1
ここで
Xi =
１ 対策案iを採用
0 対策案iを不採用
Ci：対策案iのコスト
Ct：コストに関する制約地
F：対策案の採用不採用ごとにリスクを計算するための関数（フォルトツリーやアタックツ
リーを用いる）

関与者
54

残存リスクの計算方法案＜定量的（１）＞
トータルリスク（R:M円） R1+R2

STPAの方式
損害額：M1①受け入れられない事
象のリストア
ップ
②システ
ムハザー
ド抽出
③非安全
なコントロ
ールアク
ション導
出

R1=P1*M1 R2=P2*M2

乗客の生命にかかわる重大な事故発生：P1

H1-1：運航乗務員が航空機の制御操作をできない P11
（UCA1-N）フライト情報が航空機の自動制御装置に入力されない場合、ハザードに至る[SC1-2違反]

損害額：M2

個人情報の漏洩発生：P2

H1-2：航空機制御
装置が正しい動作をしない P12（UCA1-P）誤ったフライト情報が航空機の自動制御装置に入力された場合、ハザードに至る[SC1-2違反]

エンジン
の故障

OR記号

機械系
のFTA
AND記号

１
制御系のFTA
55

残存リスクの計算方法案＜定量的（２）＞④アタックツリーの方式を利用

航空機制御装置からの情報を改ざんすることによる事故

航空機制御装置からの情報を改ざんする（実際よりも高いところを飛んでいると改ざん）１

航空会社の装置からの情報が改ざんされている（実際よりも低く飛ぶよう改ざん）

信号が正しいと思い航空会社の装置
が高度をもっと下げるよう指示

これらのリストアップに
STPA-Secで提案の方法を利用
航空会社ー航空機制御装置間の情報を改ざんする（実際よりも低く飛ぶよう改ざん）

航空乗務員が気付かない＜対策案＞
改ざん検知符号をつけるX1（効果：ｑ１）

対策３ X3 （効果ｑ３）56

アプローチ方法案＜半定量的＞受け入れられない損失／アクシデント（P1）

乗客の生
命にかか
わる重大
な事故発
生

システム
ハザード

脅威

非安全なコント
ロールアクション部位

H1-1：運航乗
務員が航空
機の制御操
作をできないフライト情報が航空機の自動制御装置に入力されない場
合、ハザードに至る

乗務
員

記述

Ｐ２

コンピュータに対し、他のユーザーを装う

３

トータ
ルリス
ク（ｐ３
＝ｐ１ｘ
ｐ２）

１
５

考
慮
対
象 効果ｑ１ P3Xq コスト
1

対策案
１

①

リスク
が
30%
低減

４．
５

リスク
が１
0%低
減

１

２

100
万円

②
H1-2：航空
機制御装
置が正しい
動作をしな
い

１
０

５

（100
万円）

結果表

個人情報
の漏洩発
生

効果

３

小
中

コスト

大

定量化がむつかしい場合にはこのような半定量的方法も考えられる

③

大

対策
2

中
対策
3

小

対策
1

それぞれ5段階の方がよさそう
57

目次
１．はじめに
２．IoTのセキュリティが重要になった背景
３．IoTへの攻撃
４. IoTを含むシステムへのリスク評価法の考察
５．今後の方向58

おわりに
１．IoTシステムのセキュリティ対策は今後ますます重要に

２．IoTシステムのリスク評価・リスクコミュニケーションも大切に
３．IoTシステムは複雑で、しかもセーフティとセキュリティを同時に考えていく必要があり対応は簡単ではない

４．提案方式を適用しつつ改良を図っていく（作業量を減らすための検討も必要）

59

ITリスク参考文献（１）１）佐々木良一「ITリスクの考え方」岩波新書、2008
２）佐々木良一他「多重リスクコミュニケータの開発と適用」情報処理学会論文
誌、Vol49,No9,２００８年９月号
３）谷山 充洋、佐々木良一 他「多重リスクコミュニケータの企業向け個人情報漏洩問題への適用 」日本セキュリティマネジメント学会誌、Vol.23,No.2、
pp34-51４）谷山 充洋、佐々木良一「多重リスクコミュニケータの教育方法の提案と分
析」日本セキュリティマネジメント学会誌、VOL.23,No.2、pp52-64
５）土方広夢、佐々木良一他「デジタル・フォレンジクスを考慮した個人情報漏洩対策に関する合意形成のための多重リスクコミュニケータの適用」日本セキュリティマネジメント学会誌 26巻第1号2012年5月pp3-14
６）佐々木良一「 ITリスク学の動向∸技術と社会と安全とー 」ＩＥＩＣＥ
Fundamental Review Vol.4 No.3(電子通信学会)

60

ITリスク参考文献（２）７）佐々木良一他「ＩＴリスク対策に関する社会的合意形成支援システムＳｏｃ
ial-MRCの開発構想」情報処理学会論文誌VOL.52,No.9、pp 2562-2574
８） Ryoichi Sasaki et al., “ Proposal for Social-MRC: Social Consensus
Formation Support System Concerning IT Risk Countermeasures”,
International Journal of Information Processing and Management（2012）Vol.2,No.2 pp48-58
９）Ryoichi Sasaki,” Consideration on Risk Communication for IT
Systems and Development of Support Systems” Journal of Information
Processing Vo.20（2012）-4, pp814-822 (Invited Paper)
10）大河原優、佐々木良一他「ITリスク対策に関する社会的合意形成支援
システムSocial-MRCの情報フィルタリング問題への試摘用と考察」日本セキュリティマネジメント学会誌 25巻第3号2012年1月pp15-23
11) 佐々木良一編著「ITリスク学 情報セキュリティを超えて」共立出版，２０
１３

61

END

62