ビジネスインパクト（BI）スコアとは

ビジネスインパクトスコアとは

ビジネスインパクト（BI）スコア は、IT アセットの事業上の重要度を数値化した指標です。技術的な脆弱性スコアだけでは判断できない「ビジネスへの影響度」を、定量的に評価します。

同じ CVSS 9.0 の脆弱性でも、基幹業務システムとテスト環境ではビジネスへの影響度は大きく異なります。BI スコアは、この「事業文脈」をセキュリティ評価に組み込むための仕組みです。

まず、リスクを事業の重要度で語れます。技術的な深刻度だけでは「どのシステムから手をつけるか」を決めきれませんが、BI スコアがあれば「この脆弱性は、顧客データを扱う基幹システムに効く」と、優先順位の判断に直結する形で示せます。

リソースの配分にも効きます。すべてのシステムに同じ対策を施すのは、コストの面でも時間の面でも現実的ではありません。BI スコアがあれば、最も重要なシステムに人手を厚く割けます。

コンプライアンスの面でも役立ちます。ISO 27001 や NIST CSF といった多くのフレームワークは、ビジネスインパクト分析（BIA）の実施を求めています。BI スコアは、その要件を満たす客観的な指標になります。

BI スコアは 5 〜 13 の整数値 で、3 つの軸の合算で算出されます。タグ未設定のホストは初期値の 9 となります。

ホストの利用目的を表します。値の範囲は 1〜5 です。

値	タグ	例
5	public（公開） / remote_access（外部アクセス）	公開 Web、API、VPN
4	restricted（制限） / mail_infra（メール基盤）	限定公開システム、メール
3	development（開発） / unknown（未分類）	開発環境、未分類アセット
2	internal_only（社内専用）	社内専用システム
1	archived（退役済み）	退役・再起動前のシステム

ホストが扱うデータの機密度を表します。値の範囲は 3〜5 です（最小値が 3 のため、データ分類だけは「事業影響なし」を選べません）。

値	タグ	例
5	personal_data（個人情報） / payment_data（決済情報） / confidential（機密）	顧客情報、決済、社外秘
3	public_only（公開のみ） / unknown（未分類）	公開コンテンツのみ、未分類

ホストの停止許容度を表します。値の範囲は 1〜3 です。

値	タグ	例
3	mission_critical（事業継続必須） / unknown（未分類）	24 時間稼働システム
2	business_hours（業務時間のみ）	営業時間内のみ稼働
1	non_critical（停止可）	バックオフィス、一時的なシステム

BI スコアは単独でも有用ですが、真の価値は TDL（脅威ディスカバリレベル） と組み合わせたときに発揮されます。PentaTrail では BI スコアを 3 段階に分類し、TDL と組み合わせて TER バンド（S/A/B/C/D）を決定します。

組み合わせの詳細は脅威エクスポージャーリスクを参照してください。

PentaTrail では、ホストごとに purpose / data_classification / availability の 3 タグを設定できます。タグはダッシュボードから 1 クリックで付与でき、BI スコアは自動的に再計算されます。

PentaTrail で BI スコアベースのリスク管理を試すには 14日間無料で始める。