セキュリティアセスメントとは？評価項目・脆弱性診断やASMとの違い

セキュリティアセスメントとは、システム・設定・運用の手順が自社の目標をどこまで満たすかを、試験・検査・聞き取りで評価し、対策の順番を決める作業だ。

業務への影響を踏まえて対策の順番を決めたいなら、アセスメントが合う。外から見える資産の把握はASM、特定のシステムの弱点は脆弱性診断で確かめる。

ISMSの文脈では、情報資産ごとのリスクを評価する「リスクアセスメント」を指すこともある。NISTは『リスクアセスメントの実施の手引き（SP 800-30 Rev.1）』で、管理策のアセスメントで見つかった脆弱性をリスクアセスメントの材料に使えるとしている。ここでは、その材料を試験・検査・聞き取りで作る作業を扱う。

セキュリティアセスメントとは？脆弱性診断・ASMとの違い

セキュリティアセスメントは、対象が目標をどれだけ満たすかを評価する作業で、脆弱性診断はその方法の一つ（試験）、ASMは外から届く資産を見つけ続ける取り組みだ。

NISTは『情報セキュリティのテストと評価の技術ガイド（SP 800-115）』で、アセスメントを、ホスト・システム・ネットワーク・手順・人といった評価の対象が、定めたセキュリティの目標をどれだけ満たしているかを判断する過程と定義している。方法は3つある。条件を決めて対象を動かし、期待どおりに振る舞うかを比べる「試験」、文書や設定を点検・分析する「検査」、担当者と話して状況を確かめ、証拠のありかを特定する「聞き取り」だ。

脆弱性診断とセキュリティアセスメントの目的

経済産業省の『ASM導入ガイダンス』は、脆弱性診断を、指定した資産に攻撃を模したパケットを送り、応答から脆弱性を特定する検査と説明している。脆弱性診断が答えるのは「このシステムのどこに弱点があるか」だ。

アセスメントは、その弱点が業務にとってどれだけ問題かまで評価する。SP 800-30は、リスクアセスメントの目的を、脅威、組織の内外の脆弱性、脆弱性が悪用されたときの影響、被害が起きる可能性を特定し、意思決定者に情報を渡すことだとしている。同じ脆弱性でも、どの業務やデータにつながるかで対策の順番が変わる。SP 800-115も、一つの手法ではシステムの安全性の全体像は分からないとして、手法を組み合わせるよう勧めている。

ASMとアセスメントの対象

ガイダンスはASMを「組織の外部（インターネット）からアクセス可能なIT資産を発見し、それらに存在する脆弱性などのリスクを継続的に検出・評価する一連のプロセス」と定義している。情報システム部門が把握していないキャンペーン用のWebサイトや、設定の誤りで公開された社内システムを見つけられる。

ASMが使うのは外部から確認できる情報だけで、脆弱性は存在する可能性の検知にとどまる。社内の端末、外部から確認できないクラウドの設定、運用の手順は対象に入らない。

アセスメントでは、ASMの結果を外部公開資産の一覧として使い、内部の設定や運用と合わせて評価できる。

外部に公開したサーバーへの接続がBotかAIエージェントかを、サーバーのログから見分けられるかは、おとりサーバーで調べた記事で扱っている。

セキュリティアセスメントの評価項目と未確認の範囲

評価項目は評価する対象と、その対象に使う方法の組み合わせで決まり、報告書では確かめていない項目を未確認の範囲として分けて書く。SP 800-115の計画・実行・実行後と、SP 800-30の準備・実施・伝達・保守の段階を合わせると、進め方は次の順になる。

1. 目的と範囲を決める。対象外と、結果が有効な期間も決める
2. 評価する資産の一覧を作る
3. 対象ごとに試験・検査・聞き取りで脆弱性を見つける
4. 影響と起きる可能性で評価し、根本原因を分析する
5. 報告書にまとめ、前提が変わったら評価を更新する

編集上の想定例で考える。ある会社は毎年、顧客向けWebアプリの脆弱性診断だけを続けている。重大な指摘がなくても、クラウドのストレージの公開設定、社員の端末、パッチ適用の手順は誰も確かめていない。これを「診断済み」と説明すると、範囲の外の弱点が残る。

セキュリティアセスメントの構成・設定・運用の評価項目

SP 800-115は検査の手法として、文書・ログ・ルールセット・システム設定のレビューを挙げている。対象ごとに方法と見る点を割り付けると、依頼する範囲を一覧にできる。

規程・手順・体制の行のうち、パッチ管理とインシデント対応は、SP 800-115が脆弱性の根本原因として挙げるものに対応する。同書が挙げる根本原因は、パッチ管理の不足、同じ種類のシステムで設定がそろわない基準の欠如、インシデント対応手順の不備、利用者と管理者の教育の不足などだ。同書は、根本原因の特定が組織全体の安全性の改善につながるとしている。

未調査の範囲と追加確認の条件

SP 800-115は、アセスメントはある時点の安全性を切り取ったものだとしている。

そこで報告書では、「確かめて問題がなかった項目」と「確かめていない項目」を分けて書く。確かめていない項目には、資料が出てこなかった手順、試験の対象外にした環境、聞き取りだけで設定を見ていない機器が入る。ASMで脆弱性が表示されなかった資産も、バナー情報を隠す設定などで見落とす（偽陰性）ことがあるとガイダンスは注意している。

追加の確認を考えるのは、次のような場合だ。

• ASMで、診断の対象一覧にない資産が見つかった。ガイダンスは、詳しく調べる方法（脆弱性診断の活用など）を運用で決めておくよう挙げている
• クラウドへの移行や大きな更新で、評価の前提だった構成が変わった
• 確かめていない項目が、守るべき情報を扱うシステムにある

セキュリティアセスメントの成果物と費用条件

成果物は指摘の一覧から誰がいつ何を直すかまで決められる形で受け取り、費用は対象の規模・複雑さと方法の深さで変わる。

アセスメントの成果物と改善順位

SP 800-115は、試験は対策の方針が作られ実行されてこそ価値が高まるとし、指摘ごとに根本原因の分析を含む対策案を作るよう勧めている。対策案には、パッチの適用のような技術的なものと、パッチ管理の手順の見直しのような手順のものがある。報告から改善へは、次の順で進める。

順位の付け方と、軽減しない項目を許容・回避・共有・移転のどれにするかはSP 800-30による。対策が不要または難しいと判断したものは、サイバーセキュリティ経営ガイドラインが求めるように残留リスクとして識別し、報告書に残す。

順位はスコアだけで決めない。ガイダンスは、CVSSのスコアが高くても悪用が確認されていなければ、スコアどおりの優先度にならない場合があるとしている。

セキュリティアセスメントの費用を変える条件

SP 800-115は、評価の範囲と必要な資源を左右する要素として次を挙げている。

• 規模：構成要素の数（一つのデータベースか、全体の構成か）、ネットワークの広さ、現地で接続する拠点の数
• 複雑さ：種類の違う機器やシステムが混ざるほど、必要な技能と道具が増える
• 抽出：同じ設定で管理された端末なら、一部だけを調べる方法が使えるか

ASMでは、調査対象を自社・グループ企業・取引先のどこまでにするかが、ツールの費用と人手に影響するとガイダンスは書いている。各社の見積もりは、対象の数、方法、報告の深さ、再確認の有無をそろえてから比べる。

セキュリティアセスメントの依頼先への確認項目

依頼先には、目的・範囲・基準・方法・業務への影響・報告書と再確認を確かめる。同じ質問を各社に送り、回答を一つの表に並べる。経済産業省とIPAの『サイバーセキュリティ経営ガイドライン Ver3.0』は、目的に応じて脆弱性診断・ペネトレーションテスト・情報セキュリティ監査などの外部サービスで問題点を見つけて改善することを挙げ、選ぶ際にIPAの「情報セキュリティサービス基準適合サービスリスト」を使えるとしている。

セキュリティアセスメントは、診断やASMの結果も材料に、どこまで確かめたかと、どの順に直すかを決める評価だ。まず、今ある診断・ASM・社内の点検の対象を一つの表に並べ、どの方法でも見ていない行を書き出す。その行が、アセスメントの範囲の候補になる。