サイバーリスク定量化とは？情報セキュリティリスクを金額で評価する手法

サイバーリスク定量化とは

サイバーリスク定量化とは、情報セキュリティ上の脅威が実現した場合の潜在的損失を、金額（または確率分布）として定量的に評価する分析手法です。

従来のリスク評価は「高・中・低」の定性的な尺度が主流でしたが、経営層への説明責任やセキュリティ投資の優先順位づけには不十分です。サイバーリスク定量化は、リスクをビジネス用語（金額、確率）で表現することで、経営判断に直結する情報を提供します。

構成要素

FAIRモデルの構造

FAIRモデルでは、リスクを以下の要素に分解します。

要素	説明
損失事象頻度（LEF）	脅威が資産に損失を与える年間発生回数
脅威事象頻度（TEF）	脅威行為者が資産に接触を試みる頻度
脆弱性（Vuln）	脅威が成功する確率
一次損失（PLM）	直接的な損失の大きさ
二次損失（SLM）	二次的な影響（規制対応、訴訟、信用毀損）の大きさ

損失カテゴリ

• 生産性損失: 業務停止による機会損失
• 対応コスト: インシデント対応、フォレンジック調査
• 資産毀損: データの破壊・改ざんによる直接損害
• 罰金・制裁: 規制違反に伴う罰金
• 競争優位の喪失: 知的財産の漏洩
• 評判毀損: ブランド価値の低下、顧客離脱

確率分布による推定

各パラメータは点推定ではなく、確率分布（最小値、最頻値、最大値）で入力します。モンテカルロシミュレーションにより、年間期待損失額（ALE）の分布を算出します。

実践的な使い方

ステップ1: リスクシナリオを定義する

「脅威行為者」「脅威行動」「対象資産」「影響」を組み合わせてシナリオを記述します。例えば「外部攻撃者がランサムウェアにより基幹システムを暗号化し、業務が停止する」のように具体的に定義します。

ステップ2: パラメータを推定する

各要素の確率分布を、過去のインシデントデータ、業界統計、専門家の判断を組み合わせて推定します。データが不足する場合は、ベイズ推定で事前知識を活用することも有効です。

ステップ3: シミュレーションを実行する

モンテカルロシミュレーションを実行し、年間期待損失額の分布を算出します。「95%確率で年間損失は○○万円以下」のような確率的な表現でリスクを伝えます。

ステップ4: 対策の費用対効果を評価する

セキュリティ対策の導入により、損失分布がどう変化するかをシミュレーションします。対策コストと期待損失の削減額を比較し、投資対効果を定量的に提示します。

活用場面

• サイバーセキュリティ投資の優先順位づけ
• 取締役会へのリスク報告と予算獲得
• サイバー保険の付保額の決定
• M&Aにおけるサイバーデューデリジェンス
• サプライチェーンリスクの第三者評価

注意点

パラメータ推定の不確実性を隠さない

定性評価との併用を怠らない

定量化はすべてのリスクに適用できるわけではありません。レピュテーションリスクや規制環境の変化など、数値化が難しいリスクについては定性的な評価と組み合わせて総合的に判断する必要があります。

まとめ

サイバーリスク定量化は、情報セキュリティリスクを「高・中・低」の定性尺度から金額と確率の定量表現に変換し、経営判断を支援する手法です。FAIRモデルとモンテカルロシミュレーションを活用し、パラメータの不確実性を透明に示すことで、根拠のあるセキュリティ投資の意思決定を可能にします。