JP2011018361A - 情報技術危機管理システム及びその方法 - Google Patents

Abstract

【課題】コンサルティングの効率性を極大化する情報技術危険管理システム及びその方法を提供する。
【解決手段】統制政策を最小単位に分解後、それぞれの統制要素から一つの統制項目、統制行為、統制別遂行者及び順守者を定義して保存する統制データベース構築過程、組織の統制成熟度現況に対して分析する現況分析過程、組織が管理すべき情報資産を識別し、重要度を評価する資産評価過程、統制要素を逆方向に定義して脆弱点を抽出し、統制要素、情報資産及び脅威との間の相関関係に基いて危険を評価する危険評価過程、危険度を基準に危険の統制保証水準を決定して危険を緩和するための統制要素を選択し、危険処理計画を樹立した後、政策を改定する危険処理過程及び、上記危険処理計画に対する経営者の経営検討を実施し、内部統制構造と国際／国内標準との適用性に関する報告書を生成して、統制施行のための使用者教育を実施する統制履行過程を含む。
【選択図】図１

Description

本発明は、ITリスクマネジメントシステム（ＩＴＲＭＳ：IT Risk Management System）及びその方法に関し、特に、コンサルティングの効率性を極大化するためのITリスクマネジメントシステム及びそのシステムを利用したITリスクマネジメントの方法に関する。

一般に、大多数の組織は、遵守しようとする或いは遵守しなければならない数多くの統制を政策書及び規定書の形で保有している。また、上記各組織は、国内及び国際規格（ＩＳＯ ９０００、ＩＳＯ １４０００、ＩＳＯ ２７００１など）の認証を受けるために、数多くの標準、指針、手続書などを量産している。しかし、各組織は、原則無しに定義された構成項目（業務規則及び統制項目）で定義されたハードコピー形態の文書（例えば、政策書、規定書及び手続書など）を保管／管理している。

例えば、各組織は、上記政策書、規定書及び手続書などを慣習的な複文形態の文章で定義してハードコピーの形態で保管／管理している。これに因り、政策書、規定書及び手続書などの有効性と準拠性（Compliance）が低下して、統制（又は政策）と履行とが分離される結果が発生している。即ち、組織内の全ての使用者が曖昧かつ膨大な指針と規定を使用及び適用するために、たくさんの時間と資源を費やしており、実質的に政策（統制）は存在するが、これを遵守しない現象に逢着しているのである。

このように、慣習的な複文形態の文章で定義して保管／管理しているのは、組織の政策書、規定書及び手続書だけでなく、国内外の標準及び法令等も同様である。即ち、上記国内外の標準及び法令等もこのような前提条件を無視し、統制項目を羅列している。これにより、統制項目の可読性、認知度、履行可能性、測定可能性及び完成度が低下する結果を齎している。例えば、統制項目（法律及び政策書では“条”、“項”という）を構成するに当たって、複数の遂行者と複数の統制項目と統制行為から構成するため、その解釈が容易でない。従って、より明確で厳密であるべき法令、政策及び国際標準などにおいても上記の問題点が発生する。

そこで、本発明は、上記の問題点を解決するために、統制の可読性、準拠性、効率性と効果性、測定可能性を現実化し、政策の実行可能性を極大化するためのITリスクマネジメントシステム及びその方法を提供しようとする。

また、本発明は、政策／指針／規定／規範／標準／法令（以下、“統制”という）をＮＶＡＭ（Noun-Verb-Atomic-Measurable）タイプに分解及び定義してＤＢ化することによって、標準化された政策情報を提供するITリスクマネジメントシステム及びその方法を提供しようとする。

従って、本発明は実質的には、低費用でＩＳＯ ２７００１はもちろん、ＩＳＯ ９０００、ＩＳＯ １４０００などの認証を受けると同時に、そのレベルを持続的に維持して、プロセスの成熟度を向上させることを可能とするITリスクマネジメントシステムを提供しようとする。

上記の目的を達成するために本発明が提供するITリスクマネジメントシステムは、統制政策を統制可能な最小単位に分解した後、分解された統制要素のそれぞれから一つの統制項目、一つの統制行為、統制別の遂行者及び遵守者を定義して保存する統制マスターデータベース；上記統制マスターデータベースで定義された統制要素を管理するポリシー管理部；上記統制マスターデータベースで定義された統制要素を逆方向に定義して脆弱点を抽出し、その脆弱点と統制要素、情報資産及び脅威との間の相関関係を明示するリスクシナリオ管理部；上記統制要素のうち、統制行為を管理生命周期によって時系列的に配列してそれぞれの統制行為の存否を判断することによって組織の統制行為の成熟度（maturity）を測定し、設定された遵守統制に対する各組織構成員の統制履行度（compliance）を測定するレベル管理部；上記レベル管理部で測定された統制保証レベルを利用して統制改善類型に対する意思決定を支援するリスク対策部；及び、上記統制保証レベル及び統制改善類型によって統制に対する作業を指示及び管理する統制作業管理部；を含むことを特徴とする。

ここで、上記ポリシー管理部は、上記統制マスターデータベースに基づいて遂行者類型別／資産類型別／政策類型別の統制要素の照会及び管理を行うことが望ましい。

また、上記ポリシー管理部は、上記統制マスターデータベースに基づいて国際規格及び自体規格の細部的な統制要素を検索することが望ましい。

また、上記ポリシー管理部は、上記統制マスターデータベースに基づいて各統制要素の施行日及び改定日に対する統制要素別バージョンを管理することが望ましい。

また、上記ポリシー管理部は、上記統制マスターデータベースに基いて自体規定と国際規格との連関性を示すＳＯＡ（Service Of Applicability）の生成及び照会管理を行うことが望ましい。

また、上記ポリシー管理部は、上記統制マスターデータベースに基づいて統制要素別に必要な書式及び様式の連関関係を管理することが望ましい。

また、上記リスクシナリオ管理部は、統制要素と脆弱点との相関関係の正確度を確保するために、最下位レベル（leaf level）の統制要素と脆弱点との１：１の関係を設定することが望ましい。

また、上記リスクシナリオ管理部は、資産類型別に脅威別の脆弱点に対するリスク度を算定して、リスク度の高い脆弱点に対する統制対策の既存統制レベルを把握することが望ましい。

また、上記リスクシナリオ管理部は、リスク緩和のために除去しなければならない脆弱点と、これに対する統制対策を自動マッチングすることが望ましい。

特に、脅威は存在するが必要な統制がない場合や統制が実行されていない場合に脆弱点が存在すると言えるので、上記リスクシナリオ管理部は、統制要素の定義時に脆弱点の追加事項を反映することが望ましい。

また、上記レベル管理部は、計画（Plan）、履行（Do）、検討（Check）及び改善（Act）を含む管理生命周期（ＰＤＣＡ）によって、上記統制行為を時系列的に配列することが望ましい。この時、上記計画は、政策標準化、担当者の指定及び権限の委任、資源の割当、教育及び伝播、そして自動化支援道具の割当を含むことが望ましい。この時、上記履行は、計画段階で定義され委任された統制対策の遵守及び統制行為の記録を含むことが望ましく、上記検討は、検討、評価、分析、測定、報告及び監査を含むことが望ましい。また、上記改善は、リスク分析、報告された問題点に対する解決代案の選択、統制費用の算定、保証レベルの決定、機会費用の算定、そして、政策及びプロセスの改善を含むことが望ましい。

また、上記リスク対策部は、上記統制マスターデータベースに基づきリスクを分析して、リスク度の高い脆弱点に対する統制要素を識別し、識別された統制要素に対する統制費用に基づいて該当統制要素を行うときの機会費用を自動に算定した後、機会費用の高い統制要素から統制を実施できるように意思決定を支援することが望ましい。

また、上記リスク対策部は、上記統制改善類型を短期／長期及び緊急／通常に区分し、作業管理のための統制改善指示とプロジェクト性統制改善指示とを分類して支援することが望ましい。

また、上記統制作業管理部は、上記統制マスターデータベースに基づいて遂行者及び統制項目別に作業指示をした後、それに対する作業完了率を追跡し、まだ行われていない統制に対しては再作業指示をすることが望ましい。

また、上記統制作業管理部は、各部署別の作業履行率を分析することが望ましい。

一方、上記目的を達成するために、本発明で提供するITリスクマネジメント方法は、統制政策を統制可能な最小単位に分解した後、分解された統制要素のそれぞれから一つの統制項目、一つの統制行為、統制別の遂行者及び遵守者を定義して保存する統制データベース構築過程；組織の統制成熟度現況に対して分析する現況分析過程；組織が管理すべき情報資産を識別して、その情報資産に対する重要度を評価する資産評価過程；上記統制データベースで定義された統制要素を逆方向に定義して脆弱点を抽出し、その脆弱点と統制要素、情報資産及び脅威との間の相関関係に基づいてリスクを評価するリスク評価過程；上記リスク評価過程で評価されたリスク度を基準にリスクの統制保証レベルを決定し、リスクを緩和するための統制要素を選択し、選択された統制要素に対するリスク対策計画を樹立した後に政策を改定するリスク対策過程；及び、上記リスク対策計画に対する経営者の経営検討を実施し、内部統制構造と国際／国内標準との適用性に関する報告書を生成し、統制施行のための使用者教育を実施する統制履行過程；を含むことを特徴とする。

特に、上記方法は、上記統制データベースに各統制別の測定指標を設定して統制効果及びレベル測定を実施し、内部監査と使用者部署の自己診断を実施するモニタリング過程をさらに含み、上記モニタリング過程は、上記各統制要素のうち重点的に管理すべき統制項目に対して核心リスク指標を定義及び管理することが望ましい。

また、上記方法は、上記モニタリングの結果及びリスク対策の結果に応じた脆弱点の除去と統制改善及び履行度の向上のための作業を指示し、その履行結果を報告する作業管理過程をさらに含み、上記作業管理過程は、遂行者別の作業指示をシステムを通して伝達する段階；統制項目別に作業指示に対する作業完了率を追跡する段階；上記追跡結果を利用して部署別作業履行率を分析する段階；及び、上記追跡の結果、まだ行われていない統制項目に対しては再作業を指示する段階；を含むことが望ましい。

また、上記統制データベース構築過程は、統制政策を意味を有する最小単位の統制要素に分解する段階；上記統制要素のそれぞれにコードを付与する段階；上記統制要素のそれぞれに対する行為者を抽出する段階；上記統制要素が統制項目を有する遵守統制である場合、統制対策を抽出する段階；統制項目を測定する段階；統制行為を抽出する段階；及び、上記統制項目及び統制行為を含む統制要素を上記統制データベースに登録する段階；を含むことが望ましい。

また、上記分解段階は、形態素分析によって上記統制政策を分解することが望ましい。

また、上記現況分析過程は、情報セキュリティ管理システム（ＩＳＭＳ）の情報セキュリティ範囲を選定する段階；上記統制データベースを利用して、上記選定された情報セキュリティ範囲に対する政策を定義する段階；政策保護現況を調べる段階；及び、上記現況調査の結果に基づいてリスク評価方法を決定する段階；を含むことが望ましい。

また、上記資産評価過程は、資産現況を集合して資産を識別する段階；上記識別された各資産に対するモデリング及びグループ化を行う段階；及び、上記各資産に対する重要度を評価する段階；を含むことが望ましい。

また、上記資産評価過程は、上記統制データベースで定義された統制要素を管理する政策管理段階をさらに含むことが望ましい。

また、上記政策管理段階は、上記統制データベースに基いて遂行者類型別／資産類型別／政策類型別の統制要素の照会及び管理を行うことが望ましい。

また、上記政策管理段階は、上記統制データベースに基いて国際規格の細部的な統制要素を検索することが望ましい。

また、上記政策管理段階は、上記統制データベースに基いて各統制要素の施行日及び改定日に対する統制要素別バージョンを管理することが望ましい。

また、上記政策管理段階は、上記統制データベースに基いて自体規定と国際規格との連関性を示すＳＯＡ（Service Of Applicability）の生成及び照会管理を行うことが望ましい。

また、上記政策管理段階は、上記統制データベースに基いて統制要素別に必要な書式及び様式の連関関係を管理することが望ましい。

また、上記リスク評価過程は、上記統制データベースで定義された統制要素を逆方向に定義して脆弱点を抽出し、その脆弱点と統制要素、情報資産及び脅威との間の相関関係に基づいてシナリオを構成する段階；上記脅威に対する影響度を評価する段階；上記脅威の発生可能性を評価する段階；及び、上記脅威発生時のリスク度を評価する段階；を含むことが望ましい。

また、上記シナリオ構成段階は、統制要素と脆弱点との相関関係の正確度を確保するために、最下位レベルの統制要素と脆弱点との１：１の関係を設定することが望ましい。

また、上記シナリオ構成段階は、リスク緩和のために除去すべき脆弱点とこれに対する統制対策を自動マッチングすることが望ましい。

また、上記リスク度評価段階は、資産類型別に脅威別脆弱点に対するリスク度を算定して、リスク度の高い脆弱点に対する統制対策の既存統制レベル（例えば、成熟度レベルと履行度レベル）を把握することが望ましい。

また、上記リスク対策過程は、上記リスク度を基準に緊急／優先改善、通常改善、リスク観察、リスク回避を含む保証レベルを算定する統制保証レベル算定段階；上記保証レベルに応じて該当リスクを緩和するための統制要素を選択する段階；予め設定された統制改善類型によって上記選択された統制要素に対するリスク対策計画を樹立する段階；及び、リスク対策の結果によってセキュリティ政策及びプロセス手続を改定する段階；を含むことが望ましい。

また、上記保証レベル算定段階は、上記統制要素のうち統制行為を管理生命周期によって時系列的に配列する段階；それぞれの統制行為の存否を判断する段階；上記統制行為の存否によって組織の統制行為の成熟度を測定する段階；及び、設定された遵守統制に対する各組織構成員の統制履行を測定する段階；を含むことが望ましい。

また、上記統制行為の時系列的配列段階は、計画、履行、検討及び改善を含む管理生命周期（ＰＤＣＡ）によって、上記統制行為を時系列的に配列することが望ましい。

また、上記統制要素選択段階は、上記統制データベースに基づきリスクを分析して、リスク度の高い脆弱点を有する統制要素を選択することが望ましい。

また、上記リスク対策計画樹立段階は、上記統制改善類型を短期／長期及び緊急／通常に区分して、意思決定を支援する段階をさらに含むことが望ましい。

また、上記統制履行過程は、統制要素に対して、直接所要人員、プロジェクト費用を含む統制費用を利用した機会費用を自動に算定する段階；及び、機会費用の高い統制要素から統制を実施できるように意思決定を支援する段階；をさらに含むことが望ましい。

上記のように本発明は、情報技術関連の統制要素（例えば、政策、指針、規定、標準、手続及び規範など）を、一定の原則によって意味を有する（統制可能な）最小単位に分解（Atomic）した後、その統制要素を一つの名詞（Noun:統制項目）に一つの動詞（Verb:統制行為）となるように分割／定義して、統制別の遂行者（Actor）及び遵守者を定義する。また、各遵守統制に対する測定指標を定義する。

本明細書では、統制要素をこのように分割／定義して構築したＤＢを‘ＮＶＡＭタイプの統制ＤＢ’と言い、このＮＶＡＭタイプの統制ＤＢに基づいてＩＴＲＭＳを構築し、これを通して組織の情報技術に対するリスク管理を全般的に行うことを特徴とする。

上記のように、本発明によれば、既存の政策書及び法律、国際／国内標準書等のような全ての規範書に対する遂行者を明確に指定及び測定できるようになるので（ＫＰＩ、ＫＲＩを統制項目別に割当／定義するので）、組織の政策履行度及び成熟度を実質的に増進させることができる。

また、本発明は、各使用者の類型別に、自分に該当する規定及び指針情報（統制情報）を、常に最新の状態で使用（入力・修正・削除）できるように支援する。

また、本発明は、規範及び政策の使用者及び遂行者（Actor）類型別（一般使用者、一般使用者部署のセキュリティ担当者、サーバー担当者、ネットワーク担当者、応用システム開発担当者、データベース担当者、品質保証担当者、外注開発プロジェクト担当者、全社セキュリティ管理担当者、全社ＩＴセキュリティ担当者、監査人、ＩＴ監査人等〔図１５に例示した使用者類型及び遂行者リスト参照〕）に、自分が認知及び遵守すべきセキュリティ関連条項と統制要素だけを区分して照会及び遵守できるようになるので、品質／サービス経営及び情報保護経営の最も重要な要素である統制（品質／セキュリティ／サービス）マインドの拡散と理解度を急速に増進させることができる。

また、本発明は、これまで死角地帯であった管理的、物理的セキュリティに対する定型化されたリスク分析技法の統合適用が可能である。

また、本発明は、個別的に管理されてきた各種情報技術資源に対するセキュリティ管理を全社的に統合して管理することができる。

また、本発明は、ＩＳＯ ２７００１、ＩＳＯ ９０００、ＩＳＯ １４０００の認証支援及び認証レベル維持を自動化して管理することによって、人的、物的資源の効率的な運営が画期的に向上される。

また、本発明は、持続的にセキュリティ関連コンサルティングの結果（脅威シナリオＤＢ）を最新の状態で維持でき、コンサルティングの効率性を極大化することができる。また、セキュリティ管理プロセスを持続的に改善し得る改善体系の構築（CMM 5 level支援）を支援する。

また、本発明は、企業及び組織内に散在した政策書、指針書、標準書、手続書などの統制関連情報を一貫した原則の下で分類し、体系的にＤＢ化して管理することができる。

以下、本発明の望ましい実施例を添付図面を参照しながら詳しく説明する。添付図面において、同一の構成要素については可及的同一の符号を使用していることに留意されたい。また、本発明の要旨を不明瞭にする恐れがある公知の機能及び構成に対する詳細な説明は省略する。

図１は、本発明の一実施例によるITリスクマネジメントシステムに対するシステム構成図である。ここで図１は、ＩＳＯ ２７００１で定義しているＩＳＭＳ（Information Security Management System）要件（Requirements）に基づいてリスク管理を行うためのシステムの構成例を示している。図１によれば、本発明の一実施例によるITリスクマネジメントシステム１００は、統制マスターＤＢ１１０、ポリシー管理部１２０、リスクシナリオ管理部１３０、レベル管理部１４０、リスク対策部１５０及び統制作業管理部１６０を含む。

統制マスターＤＢ１１０は、統制政策を統制可能な最小単位である統制要素に（例えば、原子的（atomic）に）分解した後、分解された統制要素のそれぞれから一つの統制項目（例えば、名詞（Noun））、一つの統制行為（例えば、動詞（Verb））、統制別遂行者（Actor）（担当者）及び遵守者（責任者）を定義して保存する。即ち、統制マスターＤＢ１１０は、ＮＶＡＭタイプの統制ＤＢである。

このように、原子的（Atomic）に分解された各種統制要素から、誰が何をすべきかを明確に把握することができる。従って、統制政策をＮＶＡＭタイプに転換するために、統制マスターＤＢ１１０管理部（図示省略）は、優先的に統制条項を単文に分解した後、その各統制を分類する。ここで、宣言統制は宣言的な性格の統制で、遵守統制は統制と関連した人々が遵守しなければならない統制であり、上記のようにＮＶＡＭタイプに転換して管理するのは遵守統制である。即ち、上記宣言統制は自体的に意味を有する形態であり、遵守統制は後述される原則と手続を経てＮＶＡＭタイプで定義される形態である。従って、統制マスターＤＢ１１０管理部は、上記分解された単文が宣言統制であるか遵守統制であるかを確認した後、宣言統制の場合は単文形態でＤＢに保存し、遵守統制の場合はＮＶＡＭタイプで定義してＤＢに保存する。

このように統制政策を分解した一例が、図１１に示されている。図１１は、情報保護分野の国際規格であるＩＳＯ ２７００１の統制政策を単文に分解した例を示している。図１１によれば、複文で作成されたＩＳＯ ２７００１の保護政策（ａ）、資産管理（ｂ）及び接近統制政策（ｃ）が、それぞれ２つの単文に分解されていることが分かる。

一方、上記遵守統制をＮＶＡＭタイプで定義するための原則と手続は、次の通りである。

１．統制は、単文（一つの主語、一つの目的語、一つの動詞）に分解されなければならない。

２．遵守統制は、統制を履行又は遵守しなければならない一人の遂行者（Actor）を有しなければならない。

３．遵守統制は、一つの統制項目（名詞形態:Noun Type）（例えば、パスワード）を有しなければならない。

４．遵守統制は、一つの統制行為（動詞形態:Verb Type）（例えば、標準化、教育、遵守、報告など）を有しなければならない。

５．統制行為（ＩＳＯ ９０００、ＩＳＯ １４０００、ＩＳＯ ２７００１及びＣＭＭなどでは、“プロセス”と称する）は、管理生命周期を構成する要素である。かかる統制行為（プロセス）は、統制対策の管理周期（例えば、Plan→Do→Check→Act）で大別される。このような管理生命周期は、レベル管理部１４０で統制行為を分析する時に参照する。従って、統制対策管理周期に対しては、レベル管理部１４０を説明する部分で具体的に言及することにする。

６．各統制項目は、測定可能でなければならない。即ち、上記の手続を経たＮＶＡＭタイプの統制行為は、ＰＤＣＡ管理周期によって成熟度（Maturity）を測定することができ、また、遵守可否を管理するために履行度を測定することができる。従って、成熟度測定統制項目と履行度測定項目とに分類して、統制項目を測定することができる。

７．このように定義された統制項目を逆方向（reverse）に定義する場合、脆弱点となる。例えば、必要な統制が存在しないか、必要な程度に理解及び遵守されない状態であるため、統制定義に否定詞（無い、存在しない、不在、欠如など）を付加（又は、添加）するか、完全に履行されない状態（例えば、不十分、不備など）を叙述すれば脆弱点となるのである。

８．各統制項目は、適用可能性を考慮しなければならない。全ての統制項目を同時に全ての人に適用することは不可能なことである。従って、統制政策を樹立する場合、ＮＶＡＭタイプで構築された統制に対し、そのリスク度と統制費用を考慮して、優先順位を区分する必要がある。従って、組織が現時点で必ず履行又は遵守すべき統制項目を選択して適用することができる。

かかる特性を有する遵守統制を管理する統制マスターＤＢ１１０を利用した各装置の動作を説明すれば、次の通りである。

まず、ポリシー管理部１２０は、統制マスターＤＢ１１０で定義された統制要素を管理する。特に、ポリシー管理部１２０は、統制マスターＤＢ１１０に基づいて遂行者類型別／資産類型別／政策類型別の統制要素の照会及び管理、国際規格（例えば、ＩＳＯ ２７００１、ＩＳＯ ９０００、ＩＳＯ １４０００など）及び自体規格の細部的な統制要素を検索することが望ましい。また、ポリシー管理部１２０は、統制マスターＤＢ１１０に基いて各統制要素の施行日及び改定日に対する統制別バージョン（version）管理、自体規定と国際規格との連関性を示すＳＯＡ（Service of Applicability）生成及び照会管理、各統制別の必要書式及び様式の連関関係管理（文書及び記録管理）を行う。

このようなポリシー管理部１２０の画面例が、図１８に例示されている。図１８は、本発明の一実施例によるＮＶＡＭタイプＤＢに基づいたＩＴＲＭＳの多様な政策及び統制検索画面の例を示した図である。上記各事項は、図１８に例示された画面から検証が可能である。

リスクシナリオ管理部１３０は、統制マスターＤＢ１１０で定義された統制要素を逆方向に定義して脆弱点を抽出し、その脆弱点と統制要素、情報資産及び脅威との間の相関関係を明示する。

特に、リスクシナリオ管理部１３０は、統制要素と脆弱点との相関関係の正確度を確保するために、最下位レベルの統制要素と脆弱点との１：１の関係を設定する。また、リスクシナリオ管理部１３０は、資産類型別に脅威別脆弱点に対するリスク度を算定し、リスク度の高い脆弱点に対する統制対策の既存レベルを把握して、リスク緩和のために除去しなければならない脆弱点と、これに対する統制対策を自動マッチングする。

レベル管理部１４０は、統制要素のうち統制行為を管理生命周期によって時系列的に配列し、それぞれの統制行為の存否を判断することによって、組織の統制行為の成熟度を測定し、設定された遵守統制に対する各組織構成員の統制履行度を測定する。特に、レベル管理部１４０は、計画、履行、検討及び改善を含む管理生命周期（ＰＤＣＡ）によって上記統制行為を時系列的に配列する。

ここで、上記計画は、政策標準化（Standardization）、担当者の役割及び責任（Roles and Responsibilities）、資源の割当（resourcing）、教育及びトレーニング（Education and Training）、そして、自動化支援道具の割当（system and logging）を含み、上記履行（Do）は、計画段階で定義され委任された統制対策のコンプライアンス（compliance）及び統制行為の記録及びログ（record and logging）を含み、上記検討（Check）は、検討（review）、評価（assessment）、分析（analysis）、測定（measurement）、報告及び監査を含む。また、上記改善（Act）は、リスク分析（risk analysis）、報告された問題点に対する解決代案の選択（alternative control selection）、統制費用の算定（control cost assignment）、保証レベル決定（degree of acceptance decision）、機会費用の算定（opportunity cost assignment）、そして、政策及びプロセスの改善（policy and process improvement）を含む。

リスク対策部１５０は、統制改善類型に対する意思決定を支援する。特に、リスク対策部１５０は、統制マスターＤＢ１１０に基づきリスクを分析して、リスク度の高い脆弱点に対する統制要素を識別し、識別された統制要素に対する統制費用に基づき該当統制要素を行うときの機会費用を自動に算定した後、機会費用の高い統制要素から統制を実施できるように意思決定を支援する。また、リスク対策部１５０は、上記統制改善類型を短期／長期及び緊急／通常に区分し、作業管理のための統制改善指示とプロジェクト性統制改善指示とを分類して支援する。

統制作業管理部１６０は、上記統制保証レベル及び統制改善類型によって、統制に対する作業を指示及び管理する。特に、統制作業管理部１６０は、統制マスターＤＢ１１０に基いて遂行者及び統制項目別に作業指示をした後、それに対する作業完了率を追跡して、まだ行われていない統制に対しては再作業指示をする。また、統制作業管理部１６０は各部署別の作業履行率を分析する。

図２は、本発明の一実施例によるITリスクマネジメント方法に対する処理流れ図である。図２によれば、図１のITリスクマネジメントシステム１００を利用したITリスクマネジメント方法は、次の通りである。まず、本発明は、図１に示されたような統制マスターＤＢ（図１の“１１０”）を構築する（Ｓ１００）。その具体的な処理過程の例は、図３に例示されている。

そして、組織の統制成熟度現況に対して分析した後（Ｓ２００）、組織が管理すべき情報資産を識別して、その情報資産に対する重要度を評価する（Ｓ３００）。

このように、組織の統制成熟度分析及び情報資産の重要度評価が完了すれば、上記ITリスクマネジメントシステム１００は、上記構築された統制マスターＤＢから脆弱点を抽出し、その脆弱点と統制要素、情報資産及び脅威との間の相関関係に基づいてリスクを評価する（Ｓ４００）。ここで、脆弱点の抽出は、統制マスターＤＢで定義された統制要素を逆方向に定義することによって可能である。

そして、リスク評価過程（Ｓ４００）で評価されたリスク度を基準にリスクの統制保証レベルを決定し、リスクを緩和するための統制要素を選択し、選択された統制要素に対するリスク対策計画を樹立した後、政策を改定するリスク対策過程を行う（Ｓ５００）。

また、上記リスク対策計画に対する経営者の経営検討を実施し、内部統制構造と国際／国内標準との適用性に関する報告書を生成し、統制施行のための使用者教育を実施する統制履行過程を行う（Ｓ６００）。

上記のような統制の履行が完了すれば、統制マスターＤＢに各統制別の測定指標を設定し、統制効果及びレベル測定を実施し、内部監査と使用者部署の自己診断を実施するモニタリング過程を行い（Ｓ７００）、そのモニタリング結果及びリスク対策結果による脆弱点の除去と統制の改善及び履行度の向上のための作業を指示し、その履行結果を報告する作業管理過程を行う（Ｓ８００）。

図３は、図２のITリスクマネジメント方法の統制マスターＤＢ構築過程に対する一例を示した流れ図である。図３によれば、統制マスターＤＢを構築するために、まず、統制政策を意味を有する最小単位の統制要素に分解する（Ｓ１０５）。ここで、分解段階（Ｓ１０５）は、“形態素分析”によって上記統制政策を分解することが望ましい。“形態素”とは、一定の音声と意味や機能を持つ単語の最小単位をいう。即ち、形態素は、これ以上に別個の意味や機能に分離出来ない最小限の言語要素である。

このように、各種の統制政策を分解した例が、図１２〜図１４に示されている。図１２は本発明の一実施例によってパスワード管理規定をＮＶＡＭタイプに分解した例を示した図で、図１３は本発明の一実施例によって特定会社のパスワード管理政策条項をＮＶＡＭタイプに分解してＤＢタイプで定義した例を示した図で、図１４は本発明の一実施例によって基盤保護法をＮＶＡＭタイプに分解した例を示した図である。

即ち、図１２は上記パスワード管理規定を５つの項目（例えば、行為者、条件節、統制項目、統制行為及び適用範囲）に分離した例を示しており、図１３はテキスト形態で構成された既存の規定をＮＶＡＭタイプに分解した例を示しており、図１４は上記基盤保護法の分解前の状態と、その基盤保護法を行為者（Actor）、統制項目（Noun type）及び統制行為（Verb type）に分解した例を一つの表として示している。

一方、図１５は本発明の一実施例によって抽出された使用者類型と遂行者（Actor）リストの例を、図１６は本発明の一実施例によって統制行為を管理生命周期（ＰＤＣＡ）で分解した例とこれに基づいた成熟度測定の例を、図１７は本発明の一実施例によってＮＶＡＭタイプに分解された統制要素別の測定指標の定義例を、それぞれ示している。

図１２〜図１７を参照するに、本発明の実施例によって各政策を分解した例を把握することができる。

一方、上記のように統制政策を統制要素に分解する作業が完了したら、それぞれの統制要素にコードを付与した後（Ｓ１１０）、上記それぞれの統制要素に対して行為者を抽出する（Ｓ１１５）。

そして、上記統制要素が統制項目であるか否かを判断して（Ｓ１２０）、統制項目である場合（即ち、統制項目を有する遵守統制の場合）は、統制対策を抽出し（Ｓ１２５）、その統制項目に対する測定可能方法（例えば、自動測定又は手作業など）を利用して統制項目を測定する（Ｓ１３０、Ｓ１３５、Ｓ１４０）。例えば、統制項目が手作業で測定可能な場合は、手作業による測定を行い（Ｓ１３５）、自動測定が可能な場合は自動化測定を行う（Ｓ１４０）。また、統制行為を抽出する（Ｓ１４５）。

一方、上記判断（Ｓ１２０）の結果、統制項目でない場合（即ち、統制項目を有しない宣言統制の場合）は、その分解された単文状態を利用して定義及び宣言をする（Ｓ１５０）。

そして、上記一連の過程（Ｓ１２５〜Ｓ１５０）で得られた統制項目及び統制行為を含む統制要素を含む統制マスターＤＢを構築する（Ｓ１５５）。

図４は、図２のITリスクマネジメント方法の現況分析過程（Ｓ２００）に対する一例を示した流れ図である。図４によれば、上記現況分析過程（Ｓ２００）は、情報セキュリティ管理システム（ＩＳＭＳ）の情報セキュリティ範囲を選定する段階（Ｓ２０５）、上記過程（Ｓ１００）で生成された統制マスターＤＢを利用して上記選定された情報セキュリティ範囲に対する政策を定義する段階（即ち、ＮＶＡＭ ＩＳＭＳ政策定義段階；Ｓ２１０）、政策保護現況を調べる段階（Ｓ２１５）及び上記現況調査の結果に基づいてリスク評価方法を決定する段階（Ｓ２２０）を含む。

図５は、図２のITリスクマネジメント方法の資産評価過程（Ｓ３００）に対する一例を示した流れ図である。図５によれば、上記資産評価過程（Ｓ３００）は、資産現況を集合するためのワークショップを行う段階（Ｓ３０５）、その結果集合された資産現況を分析して資産を識別する段階（Ｓ３１０）、識別された各資産に対するモデリング及びグループ化を行う段階（Ｓ３１５）、及び上記各資産に対する重要度を評価する段階（Ｓ３２０）を含む。

上記資産の重要度を決定するための方法の例が、図２４に例示されている。図２４は本発明の一実施例による資産重要度決定方法の例を示した図であり、同図によれば、本発明は各項目別に質問及び答弁類型を設定し、それに応じた答弁内容によって資産の重要度を決定する。

また、資産を正確に評価するためには、上記過程（Ｓ１００）で生成された統制マスターＤＢで定義された統制要素を管理する政策管理段階（図示省略）をさらに含むことが望ましい。上記“政策管理段階”は、図１に示されたポリシー管理部１２０で行われるものであり、その具体的な対策内容は、ポリシー管理部１２０の動作例と類似している。

図６は、図２のITリスクマネジメント方法のリスク評価過程（Ｓ４００）に対する一例を示した流れ図である。図６によれば、上記リスク評価過程（Ｓ４００）は、上記過程（Ｓ１００）で生成された統制マスターＤＢ１１０で定義された統制要素を利用して、ＮＡＶＭ脅威シナリオを構成する（Ｓ４０５）。このために、上記統制要素を逆方向に定義して脆弱点を抽出し、その脆弱点と統制要素、情報資産及び脅威との間の相関関係に基いてシナリオを構成するのが望ましい。特に、上記段階（Ｓ４０５）では、統制要素と脆弱点との相関関係の正確度を確保するために、最下位レベルの統制要素と脆弱点との１：１の関係を設定するのが望ましい。また、上記段階（Ｓ４０５）は、リスク緩和のために除去すべき脆弱点とこれに対する統制対策とを自動マッチングするのが望ましい。

上記のように、脅威シナリオの構成が完了したら、本発明のITリスクマネジメントシステム１００は、その脅威に対する影響度を評価し（Ｓ４１０）、上記脅威の発生可能性を評価した後（Ｓ４１５）、上記脅威発生時のリスク度を評価する（Ｓ４２０）。

ここで、上記リスク度評価段階（Ｓ４２０）は、資産類型別に脅威別脆弱点に対するリスク度を算定し、リスク度の高い脆弱点に対する統制対策の既存レベルを把握するのが望ましい。

図７は、図２のITリスクマネジメント方法のリスク対策過程（Ｓ５００）に対する一例を示した流れ図である。図７によれば上記リスク対策過程（Ｓ５００）は、上記リスク度を基準に緊急／優先改善、通常改善、リスク観察、リスク回避を含む保証レベルを算定する（Ｓ５０５）。ここで上記段階（Ｓ５０５）は、上記統制要素のうち統制行為を管理生命周期によって時系列的に配列する段階；それぞれの統制行為の存否を判断する段階；上記統制行為の存否によって組織の統制行為の成熟度を測定する段階；及び、設定された遵守統制に対する各組織構成員の統制履行を測定する段階；を含むことが望ましい。特に、上記統制行為の時系列的配列段階は、計画、履行、検討及び改善を含む管理生命周期によって上記統制行為を時系列的に配列するのが望ましい。上記管理生命周期に対しては、図１を参照した説明の際に言及した通りである。

このように保証レベルの算定が完了したら、本発明のITリスクマネジメントシステムは、上記保証レベルによって該当リスクを緩和するための統制要素を選択する（Ｓ５１０）。このために、上記ITリスクマネジメントシステムは、上記統制データベースに基いてリスクを分析し、リスク度の高い脆弱点を有する統制要素を選択するのが望ましい。

また、ITリスクマネジメントシステムは、予め設定された統制改善類型に応じて上記選択された統制要素に対するリスク対策計画を樹立する（Ｓ５１５）。このために、上記ITリスクマネジメントシステムは、上記統制改善類型を短期／長期及び緊急／通常に区分し、作業管理のための統制改善指示とプロジェクト性統制改善指示とを分類して支援する段階を含むことが望ましい。

このようにリスク対策計画を樹立したITリスクマネジメントシステムは、リスク対策の結果に応じてセキュリティ政策及びプロセス手続を改定する（Ｓ５２０）。

図８は、図２のITリスクマネジメント方法の統制履行過程（Ｓ６００）に対する一例を示した流れ図である。図８によれば、上記統制履行過程（Ｓ６００）は、まず経営方式を検討した後、その経営方式に基づいて統制を具現する（Ｓ６０５）。そして、適用性に関する報告書（ＳＯＡ）を生成した後（Ｓ６１０）、それに基づき使用者教育を実施することによって（Ｓ６１５）、使用者が
上記統制を履行（logging）するようにする（Ｓ６２０）。このために、本発明のITリスクマネジメントシステムは、統制要素に対して、直接所要人員、プロジェクト費用を含む統制費用を利用した機会費用を自動に算定した後、機会費用の高い統制要素から統制を実施できるように意思決定を支援することが望ましい。

図９は、図２のITリスクマネジメント方法のモニタリング過程（Ｓ７００）に対する一例を示した流れ図である。図９によれば、上記モニタリング過程（Ｓ７００）は、上記統制要素のうち重点的に管理すべき統制項目に対して核心リスク指標（ＫＲＩ）を導出し（Ｓ７０５）、その核心リスク指標を利用して統制効果及びレベルを測定した後（Ｓ７１０）、内部監査（Ｓ７１５）及び国際認証審査（Ｓ７２０）を行うことが望ましい。

図１０は、図２のITリスクマネジメント方法の作業管理過程（Ｓ８００）に対する一例を示した流れ図である。図１０によれば、上記作業管理過程（Ｓ８００）は、審査結果を検討した後（Ｓ８０５）、その結果に基づき是正措置計画を樹立して（Ｓ８１０）、是正及び改善措置を行うこと（Ｓ８１５）が望ましい。
このために、本発明のITリスクマネジメントシステムは、遂行者別の作業指示をシステムを通して伝達し、統制項目別に作業指示に対する作業完了率を追跡した後、上記追跡結果を利用して部署別の作業履行率を分析し、上記追跡の結果、まだ行われていない統制項目に対しては再作業を指示するようにする、一連の処理過程を行うことが望ましい。

図１９〜図２３は、本発明の一実施例によるITリスクマネジメントシステムの処理手続による画面の例を示している。即ち、図１９は本発明の一実施例によるＮＶＡＭタイプＤＢに基づいたＩＴＲＭＳのポリシー管理部の統制詳細項目検索画面の例を、図２０は本発明の一実施例によるＩＴＲＭＳの資産重要度決定画面の例を、図２１は本発明の一実施例によるＮＶＡＭタイプＤＢに基づいた脅威シナリオ照会画面の例を、図２２は本発明の一実施例によって算定されたリスク度に基づき、ＩＴＲＭＳで保証レベル（ＤＯＡ:Degree of Acceptance）の決定、機会費用の算定及び改善統制類型の決定を行うための画面の例を、そして、図２３は本発明の一実施例によるＮＶＡＭタイプＤＢに基づいたＩＴＲＭＳのリスク対策後の作業管理画面の例を、それぞれ示している。

このような本発明のシステム及び方法は、次のような特徴がある。

１．本発明は、情報資産の統合リスク管理を行う。

既存のセキュリティソリューションは、技術的な脆弱点と統制に集中されている。しかし、本発明は、既存のソリューションが管理する情報技術資産（例えば、応用サーバー資産、ネットワークなど）の以外にも情報資産（例えば、電子情報、紙文書情報、移動式保存媒体資産、ファイルサーバー資産、ＰＣ資産、位置資産など）を管理する。構築された情報資産に対し、全ての統制分野を統合してリスク分析を実施した後、その結果によって資産に対する脆弱点及び統制対策の管理が行えるように支援する。これは、全ての統制をＮＶＡＭタイプでＤＢとして構築したからこそ可能なのである。例えば、ＩＳＯ ２７００１の１１個のドメイン全体に対する統合リスク分析及びリスク管理を行うことができる。これは、未だ試みられたことのない統合技術である。即ち、全ての統制は、統制の意味を有する文章で構成されており、このような統制の定義上、模倣性を解決して明確に（ＮＶＡＭタイプで定義）して統制ＤＢとして構築することで、全ての統制の統合管理が可能になる。

現在の技術的統合セキュリティツール（ＥＳＭ、ＴＲＭなど）は、ＩＳＯ ２７００１の一つの統制（A.12.Information systems acquisition, development and maintenance／情報システムの購入、開発及びメンテナンス−A.12.6.Technical Vulnerability Management／技術脆弱点の管理）に局限されたリスク分析だけが可能な状態である。しかし本発明は、ＮＶＡＭタイプで定義された統制要素を逆方向に定義すれば、脆弱点が自動に生成される。こうして生成された脆弱点に基づき脅威シナリオの正確度を向上させ、これを通してリスク分析を実施することにより、管理／物理／技術的セキュリティ、統制管理、品質経営、情報技術サービス経営に対する統合リスク分析及び管理が可能である。即ち、本発明は、統制要素を逆方向に定義することによって脆弱点を生成できるので、信頼性のある脅威シナリオＤＢの構築が可能なため、統合セキュリティリスク管理が可能である。

２．本発明は統制レベル（モニタリング）管理を行う。

本発明は、まず、上記にて言及したＮＶＡＭタイプの統制ＤＢを通して統制要素を管理することによって、各統制要素を原子的に分割し測定可能な状態で定義するため、最小単位統制（leaf level control）別の測定が可能となる。従って、統制要素標準化定義率、統制要素Ｒ＆Ｒ（Roles and Responsibility）割当率、統制要素教育施行率、統制要素履行及び遵守率、統制履行結果報告率などをそれぞれ測定することができ、これは各組織のセキュリティ管理レベルの成熟度を測定するための土台となる。また、統制項目の成熟度以外にも各統制を遵守しなければならない各組織員の履行レベル（目標対比実際遵守率）を測定できるので、成熟度と履行度を共に測定して規範及び統制（情報保護、品質経営など）の成熟度レベルと履行度レベルを共に測定管理することができる。このような統制レベルの管理は、図１６に例示されている。

３．本発明は、ＫＲＩ概念を導入している。

組織は、数多くの脆弱点と統制対策に対する選択と集中をしなければならないが、本発明は統制要素のうち重点的な管理を要する（リスク度の高い）統制項目に対するＫＲＩ（核心リスク指標）を定義及び管理することによって、重要な資産に加えられる重大な脆弱点を集中的に管理し得るように支援する。各統制項目別のＫＰＩ及びＫＲＩを定義した例は、図１７に示されている。

４．本発明は、脅威シナリオＤＢを構築する。

脆弱点と統制対策とが連動（Correlation）する、資産vs脅威vs脆弱点vs統制対策の連関関係を脅威シナリオＤＢと言うが、本発明はこれをＮＶＡＭタイプで構築してシステムに適用することによって、脅威シナリオＤＢの完成度及び正確度を高めることができる。また、ＮＶＡＭタイプで定義された統制要素を逆方向に定義して、成熟度関連の脆弱点と履行度関連の脆弱点を生成できるので、リスク分析の基本データとなる脅威シナリオの正確度と、脅威vs脆弱点vs統制間の連動関係の正確度を確保することができる。これにより、使用者に、現在の資産に加えられる脅威の把握、同脅威と関連した脆弱点の識別、各脆弱点別に行われている既存統制対策の識別を連動して提供することによって、正確なリスク分析のための土台を提供することができる。

一方、図２５〜図２７は、本発明の一実施例によるITリスクマネジメントシステムを利用したＣＳＯ（最高セキュリティ管理者）のビュー画面の例を示した図である。図２５は全社の情報資産現況を示すＣＳＯビューの例を、図２６は全社の技術セキュリティリスク対策現況を示すＣＳＯビューの例を、そして、図２７は全社の管理セキュリティリスク対策現況を示すＣＳＯビューの例を、それぞれ図示している。

以上では、本発明の特定の望ましい実施例について図示及び説明したが、本発明は上述した実施例に限定されるものではなく、本発明の属する技術分野における通常の知識を有する者ならば、特許請求の範囲に記載された本発明の要旨を逸脱しない範囲内で多様な変形実施が可能である。

本発明の一実施例によるITリスクマネジメントシステムのシステム構成図である。 本発明の一実施例によるITリスクマネジメント方法に対する処理流れ図である。 図２のITリスクマネジメント方法の統制マスターＤＢ構築過程に対する一例を示した流れ図である。 図２のITリスクマネジメント方法の現況分析過程に対する一例を示した流れ図である。 図２のITリスクマネジメント方法の資産評価過程に対する一例を示した流れ図である。 図２のITリスクマネジメント方法のリスク評価過程に対する一例を示した流れ図である。 図２のITリスクマネジメント方法のリスク対策過程に対する一例を示した流れ図である。 図２のITリスクマネジメント方法の統制履行過程に対する一例を示した流れ図である。 図２のITリスクマネジメント方法のモニタリング過程に対する一例を示した流れ図である。 図２のITリスクマネジメント方法の作業管理過程に対する一例を示した流れ図である。 本発明の一実施例によって韓国情報保護振興院が告示した情報保護認証基準の一部条項（複文で記述されている）を単文に分解した例を示した図である。 本発明の一実施例によって複文で記述されたパスワード管理規定を単文に分解した後、それぞれの単文をＮＶＡＭタイプの構成に分解した例を示した図である。 本発明の一実施例によって特定会社のパスワード管理規定をＮＶＡＭタイプに分解してその分解によって得られたものをＤＢタイプで定義した例を示した図である。 本発明の一実施例によって基盤保護法をＮＶＡＭタイプに分解した例を示した図である。 本発明の一実施例によって抽出された使用者類型と遂行者（Actor）リストを示した図である。 本発明の一実施例によって統制行為を管理生命周期（ＰＤＣＡサイクル）に分解して表示した例、及びこれに基づいて成熟度測定の例を示した図である。 本発明の一実施例によってISO規格をＮＶＡＭタイプに分解して得られたれた統制要素別の測定指標の例を示した図である。 本発明の一実施例によってISO規格をＮＶＡＭタイプに分解して得られたものを有する統制マスターデータベースに基づいたＩＴＲＭＳ（ITリスクマネジメントシステム）における多様な政策及び統制検索画面の例を示した図である。 本発明の一実施例によってISO規格をＮＶＡＭタイプに分解して得られたものを有する統制マスターデータベースに基づいたＩＴＲＭＳ（ITリスクマネジメントシステム）におけるポリシー管理部統制詳細項目検索画面の例を示した図である。 本発明の一実施例によるＩＴＲＭＳ（ITリスクマネジメントシステム）における資産重要度決定画面の例を示した図である。 本発明の一実施例によってISO規格をＮＶＡＭタイプに分解して得られたものを有する統制マスターデータベースに基づいて脅威シナリオ照会画面の例を示した図である。 本発明の一実施例によって算定されたリスク度に基づいてＩＴＲＭＳ（ITリスクマネジメントシステム）における保証レベル（ＤＯＡ: Degree of Acceptance）の決定、機会費用の算定及び改善統制類型の決定のための画面の例を示した図である。 本発明の一実施例によってISO規格をＮＶＡＭタイプに分解して得られたものを有する統制マスターデータベースに基づいたＩＴＲＭＳ（ITリスクマネジメントシステム）におけるリスク対策後の作業管理画面の例を示した図である。 本発明の一実施例による資産重要度決定方法の例を示した図である。 本発明の一実施例によるＩＴＲＭＳ（ITリスクマネジメントシステム）を利用したＣＳＯ（セキュリティ最高責任者）のビュー画面の例を示した図である。 本発明の一実施例によるＩＴＲＭＳ（ITリスクマネジメントシステム）を利用したＣＳＯ（セキュリティ最高責任者）のビュー画面の例を示した図である。 本発明の一実施例によるＩＴＲＭＳ（ITリスクマネジメントシステム）を利用したＣＳＯ（セキュリティ最高責任者）のビュー画面の例を示した図である。

１００：ITリスクマネジメントシステム
１１０：統制マスターＤＢ
１２０：ポリシー管理部
１３０：リスクシナリオ管理部
１４０：レベル管理部
１５０：リスク対策部
１６０：統制作業管理部

Claims (1)

1. ITリスクマネジメント方法において、
   統制マスターデータベース部に、統制ポリシーを統制可能な最小単位に分解した後、分解された統制要素のそれぞれから一つの統制項目、一つの統制行為、統制別の遂行者（担当者又は使用者）及び遵守者（責任者）を定義して保存する統制マスターデータベース構築過程；
   ポリシー管理部が、組織の現在の統制成熟度について分析する現況分析過程；
   リスクシナリオ管理部が、組織が管理すべき情報資産を識別して、その情報資産に対する重要度を評価する資産評価過程；
   レベル管理部が、上記統制マスターデータベース部で定義された統制要素を逆方向に定義して脆弱点（vulnerability）を抽出し、その脆弱点と統制要素、情報資産及び脅威との間の相関関係に基いてリスクを評価するリスク評価過程；
   リスク対策部が、上記リスク評価過程で評価されたリスク度を基準にリスクの統制保証レベルを決定し、リスクを緩和するための統制要素を選択し、選択された統制要素に対するリスク対策計画を樹立した後にポリシーを改定するリスク対策過程；及び、
   統計作業管理部が、上記リスク対策計画に対する経営者の経営検討を実施し、内部統制構造と国際／国内規格に規定された統制構造との適用性に関する報告書を生成し、統制遂行のための使用者教育を実施する統制コンプライアンス過程；
   を含むことを特徴とするITリスクマネジメント方法。

Images