OWASP テスティングガイド

OWASP Testing Guide v3.0
場 合 において、 答 えは 明 確 になるでしょう。あなたは、 要 因 に 基 づいた 評 価 を 作 ることができるか、あるいは、それぞれの 要
因 について 点 数 の 平 均 が 得 られます。また、3 より 低 いと「 低 」、3 から 6 までの 間 だと「 中 」、6 から 9 までの 間 だと「 高 」とし
ます。 例 えば、 次 のようになります。
技 術 的 な 影 響 の 大 きさ
事 業 への 影 響 の 大 きさ
機 密 性 の 喪 失 完媍 全 性 の 喪 失 可 用 性 の 喪 失 説 明 責 任 の 喪 失 経 済 的 損 失 風 評 被 害 法 令 順 守 遊 反
プョイバサー 侵
害
9 7 5 8 1 2 1 5
全 体 的 な 技 術 的 な 影 響 の 大 きさ=;7.25 ( 高 '
全 体 的 な 事 業 への 影 響 の 大 きさ=;2.25 ( 低 '
重 要 度 を 決 定 する
私 たちは、 可 能 性 リプラと 影 響 の 大 きさを 評 価 するところまで 到 遉 しましたが、 今 度 はそれらを 組 み 合 わわせて、このヨシキに
対 する 最 終 的 な 評 価 を 得 ます。あなたは、 事 業 への 影 響 の 大 きさについての 十 分 な 情 報 を 持 っていると、 技 術 的 な 影 響 の
大 きさについての 情 報 の 代 わわりに 使 うことができることに 留 意 しておいてください。しかし、 事 業 についての 情 報 を 持 ってい
ないならば、 技 術 的 な 影 響 の 大 きさを 使 うのが 次 善 策 です。
全 体 的 なヨシキの 重 要 度
高 中 高 最 重 要
影 響 の 大 きさ
中 低 中 高
低 覚 書 低 中
低 中 高
可 能 性 リプラ
上 の 例 では、 可 能 性 リプラが「 中 」で、 技 術 的 な 影 響 の 大 きさが「 高 」なので、 純 粋 に 技 術 的 な 観 点 から、 全 体 の 重 要 度 は
「 高 」ということが 明 らかになります。しかしなから、 事 業 への 影 響 の 大 きさが 実 際 には「 低 」ということに 目 を 向 けてください。
そうすると、 全 体 の 重 要 度 は 同 様 に、「 低 」として 記 載 されます。あなたが 評 価 している 脆 弱 性 を 持 っている 事 業 内 容 を 理 解
することが、 適遚 切 なヨシキに 対 する 意 思 決 定 を 行 うのに、なぜ、とても 重 要 かというのはこのことです。この 内 容 の 理 解 がうまく
いかないと、 事 業 本 体 と 多 くの 組 織 で 設 置 されているスカャヨティターマとの 間 で、 信 頼 の 欠 如 を 招 くでしょう。
STEP 5: 何 を 修 正 すべきかを 決 定 する
あなたのアプヨクーサュヱのヨシキを 分 類 した 後 、 何 を 修 正 すべきかの 優 先 度 をつけて 一 覧 にしましょう。 一 般 的 な 慣 習 では、
あなたは 最 も 深 刻 なヨシキを 最 初 に 修 正 すべきです。そうすることで、あなたがヨシキ 全 体 を 見 渡 して、 簡 単 で 安 価 に 修 正 で
きるとしても、 重 要 性 の 低 いヨシキに 手 を 出 してしまうことを 簡 単 に 防 止 します。
修 正 する 価 値 があるのはすべでのヨシキではないこと、 損 失 は 予 想 されたものだけではないこと、それでも、 判 断 できること
は 問 題 を 修 正 するケシトに 基 づくのだということを 思 い 出 してください。 例 えば、1 年 に 2,000 ドラの 被 害 となる 詐 欺 に 対 抗
するため、ケヱトルーラを 実 装 するのに 100,000 ドラのケシトがかかるとしましょう。これには、 被 害 をなくすために 行 った 投
345