一部手法を見直した「制御システムのセキュリティリスク分析ガイド」第2版（IPA）

IPAは、「制御システムのセキュリティリスク分析ガイド第2版」を公開したと発表した。

調査・レポート・白書・ガイドラインブックレビュー

2018.10.16 Tue 8:00

独立行政法人情報処理推進機構（IPA）は10月15日、「制御システムのセキュリティリスク分析ガイド第2版」を公開したと発表した。同ガイドは、自組織でリスクアセスメントを実施し、セキュリティ対策を向上するための実践的な分析手法を解説したもの。第1版は2017年10月に発行しており、IPAの産業サイバーセキュリティセンターの中核人材育成プログラムでも講義資料として活用されている。

第2版では、第1版で紹介した「資産ベース」および「事業被害ベース」の2種類のリスクアセスメントにおいて、手法を見直している。資産ベースのリスク分析では、「事前準備段階で資産のグループ化を一括実施するとともに、資産種別のみを基に各々の資産に対する脅威と対策候補を抽出する」とし、事業被害ベースのリスク分析では、「攻撃が成功した場合の事業被害が大きく、攻撃者に狙われる可能性が高い重要な攻撃ツリーを選定して、優先的に分析を行う」とした。これにより、2～3割程度の工数削減が期待できるという。

《吉澤亨史（ Kouji Yoshizawa ）》