偽典～日本企業のサイバーリスクのマトリックスを試作したよ！

前回は、ものすごーく乱暴に、日本企業の平均的なサイバーリスクを金額換算してみました。今回は、リスクマトリクスが無いと実感わかないよね～って話で、Grokに作らせてみました。

Grokが推測した、この1年間の日本企業のリスクマトリックス

発生確率＝日本企業全体の1年間の発生率
損失額　＝当該インシデントの平均損害額の推計
※Grokがあてになるかわからないのでそんな程度で見てね。

案外と、ソーシャルエンジニアリングやパスワード推測の損失額が小さいと思ったのですが、世に出ている事例が「SNS乗っ取り」が多いためで、平均値をとるとこんな感じのようです。

感想

• 内部不正
  大きく言われているけど発生確率は、まぁそんなもんですね

• フィッシング詐欺/ビジネスメール詐欺
  意外と多い。ITリテラシーレベルの対策が早急に必要だっのか…業界出身だと当たり前すぎて理解できなかったけど。
  つか、内部不正と合わせて教育と仕組みが必要だという話。

• サプライチェーンからの情報漏洩
  これはどう見てもリスク高、殆ど手が打たれてない。日本社会の縮図。

• ウェブサイトのデータベース攻撃
  これもリスク高いですね。ECやサービスシステムを持っていたら優先事項で、脆弱性診断をしてもよさそう。

この表の活用の仕方

• 「一般論では、生成AIに尋ねると、ウソかホントか分からないですが、こんなリスクがあるらしいです。見た感じ、私は違和感はないですね」

• リスクマトリックスの見方の説明。

• 「じゃあ、自社と比較すると違和感はあると思います。だって、業務が違うから」

• 自社のIT資産一覧を元にリスクマトリックスをざっくり作る。
  これは生成AIと協働すると楽ですね。

• コストと勘案して、セキュリティ対策を決めていく。

勇気ある人は使ってください。その際、出典は書かなくてよいですが、資料のどこかに「金魚」のアイコンを入れてください。