本文と図 4/8 → 一つの端末実習 → 提出と再提出

start-02　リスクを減らすという考え方

事故を防ぐこと、起きた事故を見つけること、元へ戻すことは別の備えです。更新だけで全部は揃いません。

左から右へ（狭い画面では上から下へ）処理を追う

結果が違ったときに考えること：製品名や対策の数ではなく、誰が異常に気づき、使える状態へ戻せるかを記入します。

Introductionでは、攻撃者側のリスクと報酬、防御者側のコストと利益、そして使いやすさとのトレードオフとしてセキュリティを考えます。たとえば、長いパスワードを強制しても、扱いにくすぎて使い回しやメモの放置が増えるなら、全体の結果を見直す必要があります。

守る対象は情報だけではありません。は許可のない閲覧を防ぐこと、は意図しない変更を防ぎ検出すること、は必要なとき使えることです。このCIAの整理は追加の学習用の枠組みです。診療予約の停止と、公開カタログの一時停止では、同じ停止時間でも影響が違います。

講師は、防御側には多くの入口を守る必要がある一方、攻撃者は1つの失敗を見つければよいと説明します。予防だけに依存せず、監査・監視による早期検知と被害の縮小を考えます。検知のAI補助にも可能性がありますが、誤検知・見逃し・人による確認を伴います。

たとえばバックアップは侵入を防ぎませんが復旧を助け、は脆弱性をなくしませんが調査を助けます。MFAも、後に盗まれたを無条件に無効にするものではありません。複数の対策がどの失敗に対応しているかを図にして、同じ前提に依存していないか確認します。

重要資産、攻撃者の能力と動機、成立条件、業務への影響、既存の対策、残るリスクを書き出します。「リスク=可能性×影響」は議論を整理する考え方で、曖昧な数字を掛けただけで精密な予測になるわけではありません。

資源の多い攻撃者には対策を増やしても限界があります。だから何もできないのではなく、攻撃に必要な費用・発見されるリスクを上げ、得られる利益を減らします。残余リスクを誰が承認するか、いつ見直すかまで決めると業務判断になります。