サイバーリスクの定量化は、世界経済フォーラムのワーキンググループが取り組んだ難題でした。さまざまなパートナー企業との度重なる議論や意見交換を経て、この課題に対応する堅牢な枠組みが2015年のダボスで発表されました。サイバーリスク定量化のバリュー・アット・リスク（VaR）モデルは、サイバーセキュリティを技術的な問題ではなく、企業の標準的なリスク登録簿に記載される重要な事業リスクとして捉える議論へと転換することを目指しています。この考え方は非常に重要であり、取締役会での議論のあり方を変え、経営幹部の審議を促すはずですが、意義ある活用のためには、その微妙な点を理解することが極めて重要です。
確実性ではなく、確率： 詳しく見ていく前に、バリュー・アット・リスク（VaR）が実際に何を意味するのかを理解しておくとよいでしょう。これは金融の世界から生まれた概念で、一定の信頼水準のもと、所定の期間に生じ得る損失の最大額を示します。最後の「信頼水準」という表現は重要です。不確実な世界では（偶発的な、予想外の事象が起こり得るため）、モデルに完全に織り込めないまれな事象が常に存在します。そのため、そうした事象については1％または0.1％のリスクを許容し、それ以外のすべてのシナリオ（たとえば残りの99％または99.9％）では、リスクが定められたしきい値を下回るように努めます。予想されるとおり、確実性の水準を高めるほど、リスクエクスポージャーの値は不均衡なほど大きくなります。
断定ではなく、方向性： 定量化の目的は、リスクの水準について方向性を示すことであり、極めて正確な測定値を得ることではありません。前提条件の性質に加え、攻撃の頻度、影響の範囲、損失の規模（直接的・間接的なものの両方）に関する保険数理データが不足していることを踏まえると、高い精度でのモデル化を目指すのは、かなり思い上がったことと言えるでしょう。
頻度：脅威は変化し続けるため、この取り組みを頻繁に実施すべきだという見方があります。しかし、取り組み自体が方向性を示すものであること、また見解をまとめ、提言に基づいて行動するには経営陣の労力が必要であることを考えれば、年1回、あるいは特定の場合には半年ごとの実施で十分でしょう。
ブラックスワン事象への対応： どのモデルも、ボラティリティの性質に関する特定の前提を置き、過去の事象が将来を予測するうえで妥当な手がかりになると仮定します。まれな事象（影響の大きいゼロデイ攻撃や、予想外のシステミックリスクなど）は重大な影響をもたらす可能性があり、定量化の対象になじまないことがあります。それでも、「既知」のリスクの大半をモデル化できれば、不確実さの霧が晴れ、残る「未知の未知」に焦点を当てられます。
定量化のアプローチはどのように役立つのでしょうか？
サイバーリスク定量化のアプローチによって、リスク管理のさまざまな方法について成熟した議論が可能になると私たちは考えています。方法には、リスク軽減策（管理体制の改善、技術の更新）の実施、保険によるリスク移転、そしてエクスポージャーを現実的に理解したうえで、それを引き受ける意思を持つことなどがあります。この分野のリスク市場が成熟するにつれて、検証に使えるデータが増え、管理策に関する研究や高度化も進むでしょう。
要するに、適切に活用すれば、リスク定量化のアプローチはサイバーリスク管理をめぐる対話を変えることができます。さまざまな関係者の間で研究と協働が進められていることを踏まえると、利用可能なデータの質とモデルの高度化は時とともに向上し、より有用な成果につながるでしょう。
Forum:Agendaを引き続きご覧いただくには、 週刊ニュースレターにご登録ください。
著者：Guha Ramasubramanianは、Wiproのコーポレート・ビジネス開発責任者であり、世界経済フォーラムの サイバー・レジリエンス・パートナーシップ・イニシアチブのメンバーです。
画像：オフィスでノートパソコンを持つ男性にバイナリーコードが投影されている様子を描いたイラスト。REUTERS/Kacper Pempel。
