# リスク分析とハザード分析手法 ## 定義 リスク分析とハザード分析手法とは、システムに何が起こりうるかを体系的に洗い出し、優先順位づけと対処方針の決定に使う一群の工学的手法である。『Security Engineering』第3版第27章は、これらを大きく3種類に整理する。(1) **リスク登録簿(risk register)**方式——起こりうる事象に深刻度と発生確率をそれぞれ1〜5で採点し、積算して優先順位づけする定性的な手法(大学のガバナンス機関や英国国家リスク登録簿で使われる)。(2) **ALE(annualized loss expectancy、年間予想損失額)**方式——「予想損失額 × 年間発生予想件数」で各損失シナリオを定量化する手法(NISTが米国政府調達で標準化、英国政府はCRAMMというツールを使用)。(3) 安全工学由来の**ハザード分析**手法群——ハザード除去(hazard elimination)・フォールトツリー分析(トップダウン)・FMEA(Failure Modes and Effects Analysis、ボトムアップ)・脅威モデリング(出会い頭型)。いずれも「何が起こりうるか」を体系的に洗い出す点で共通するが、対象が定性的な優先順位づけか、定量的な金額評価か、個別の因果連鎖の追跡かで手法を使い分ける。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 27 Secure Systems Development]] ch.27 §27.2, §27.3) 安全工学からセキュリティ工学への転用にあたっては、故障モデルの違いに注意が必要である。安全工学はランダムな故障(Murphyの法則)を前提とするのに対し、セキュリティ工学は「最も都合の悪いタイミングで、最も損害の大きい形で」故障を引き起こそうとする敵対的な相手(Satanのコンピュータ)を前提とする。フォールトツリーは脅威ツリーとして、FMEAは「攻撃者を追加した」形で転用され、Microsoftが2003年に採用した脅威モデリングは、守るべき資産と攻撃者が利用できる資産の双方を列挙し、なりすまし・改ざん・否認・情報漏洩・サービス拒否・権限昇格という攻撃カテゴリで攻撃経路を追跡する「出会い頭(meet-in-the-middle)」型の手法として、トップダウン(フォールトツリー)ともボトムアップ(FMEA)とも異なる第3の道を提供する。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 27 Secure Systems Development]] ch.27 §27.3.5, §27.3.6) ## 横断的知見 - 現時点では本章(Security Engineering 3e 第27章)が唯一のソースであり、横断的な突き合わせはまだ行えていない。ただし本章自身が、ハザード除去の具体例としてSWIFTのTCB最小化設計(第12章、本wiki未取り込み)を挙げており、[[セキュリティ設計原則]]が扱うSaltzer & SchroederのEconomy of mechanism(機構が少ないほど正しく作れる)・Minimize secrets原則と同根の発想であることが本章記述だけから読み取れる。TCBを縮小するという設計判断が、[[セキュリティ設計原則]]では「原則」として、本概念では「ハザード除去という分析手法の産物」として異なる角度から扱われており、両概念は同じ現象(TCB最小化)を「規範(原則)」と「手法(分析プロセスの帰結)」という異なるレイヤーで説明していると整理できる。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 27 Secure Systems Development]] ch.27 §27.3.2, [[セキュリティ設計原則]]) ## 未解決の問い - 本章が挙げるリスク登録簿・ALE・ハザード分析という3方式は、実務でどのように使い分けられているか(併用されるのか、業界・組織の成熟度で選択が変わるのか)は本章単独では体系的に示されていない。 - Nancy Levesonが提唱するSTPA(Systems-Theoretic Process Analysis、[[Nancy G. Leveson]]参照)は本章でも「ハザードから出発してトップダウンでコントロールを設計する」代替手法として言及されるが、フォールトツリー・FMEA・脅威モデリングとの具体的な使い分け基準や優劣は本章では踏み込まれていない。他ソース(Levesonの原著等)と突き合わせる必要がある。 - ALEの「発生確率」欄が低確率高リスクの損失については実質的に推測(guesswork)に頼らざるを得ないという本章の指摘は、Nassim Talebのテールリスク論(本wiki未取り込み)とどう接続するか。 - 脅威モデリングのSTRIDE的な6分類(なりすまし・改ざん・否認・情報漏洩・サービス拒否・権限昇格)は、本書の他章(第2章「敵対者は誰か」等)で提示される脅威モデルの分類法とどこまで整合するか、他章ingest後に確認する必要がある。 ## 関連 - 概念: [[セキュリティ設計原則]](ハザード除去とEconomy of mechanism・TCB最小化の同型性) / [[信頼計算基盤（TCB）]] - source: [[@2020__Wiley__Security Engineering 3e - Chapter 27 Secure Systems Development]] — リスク登録簿・ALE・ハザード分析・脅威モデリングを体系的に扱う一次資料 - 実体: [[Nancy G. Leveson]](STPA) / [[James Reason]](Human Errorの安全工学的知見) ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 27, §27.2, §27.3.