攻撃者のねらいと守るもの

大阪の物流会社で、営業担当の方が会社のノートPCを電車に置き忘れました。

中には取引先の住所と、来月の配送予定が入っています。翌朝、PCは駅で見つかりました。

では、何も問題はなかったのでしょうか。このレッスンでは、何を守るべきだったのかを整理します。

攻撃者の目的で一番多いのは、お金です。

顧客の情報を盗んで売ったり、システムを止めて身代金を求めたりします。恨みや、いたずらが理由のこともあります。

ただし、脅威は人の悪意だけではありません。地震や停電、うっかりミスも脅威です。冒頭の置き忘れも、ミスによる脅威の一つです。

情報を守るとは、三つの性質を守ることです。

機密性は、許された人だけが見られることです。名簿が外に漏れると、これが失われます。

完全性は、中身が正しいことです。だれかが値段を書き換えると、これが失われます。

可用性は、使いたいときに使えることです。システムが止まると、これが失われます。

すべての脅威に同じ力で備えることはできません。そこでリスクの大きさを比べます。

よく使うのは、起こりやすさと影響の大きさを 1 から 3 で決め、掛け合わせる方法です。

数字が大きいものから対策します。置き忘れは起こりやすさ 2、影響 3 なので、リスクは 6 です。

# 大阪の物流会社で見つけた心配ごと
# 起こりやすさと影響は、どちらも 1(小)から 3(大)
risks = [
    ["ノートPCの置き忘れ", 2, 3],
    ["配送システムの停止", 1, 3],
    ["共有フォルダの消し忘れ", 3, 1],
]

for risk in risks:
    name = risk[0]
    score = risk[1] * risk[2]
    print(name, "のリスク:", score)

# 「共有フォルダの消し忘れ」の影響を 3 に変えて、もう一度実行してください。