ネットワークセキュリティにおけるAROとは？意味・計算方法をわかりやすく解説

ネットワークセキュリティにおけるAROとは

ARO（Annualized Rate of Occurrence：年間発生率）とは、特定の脅威が1年間に発生すると予想される頻度を示す指標です。ネットワークセキュリティや情報セキュリティの分野では、リスクを金額ベースで評価する「定量的リスク分析」において重要な役割を果たします。

なお、「ARO」という略称は文脈によって別の意味を持つことがあります。Microsoft関連の文脈では「Azure Red Hat OpenShift」を指す場合もあるため、後半で詳しく解説します。

リスク評価の基本用語：SLE・ARO・ALE

SLE（Single Loss Expectancy：単一損失予測）とは

SLEは、あるリスクが1回発生した場合に、資産に対して生じると予想される金銭的損失の額を指します。リスクアセスメントおよびリスクマネジメントの観点から、被害の規模を見積もるための基本的な指標です。

計算式は以下の通りです。

SLE ＝ 資産価値 × 暴露係数（EF）

ARO（Annualized Rate of Occurrence：年間発生率）とは

AROは、特定の脅威が1年間に何回発生するかを表す数値です。毎年必ず発生する脅威であれば「1」、2年に1回の発生であれば「0.5」といった具合に、発生頻度に応じて設定します。つまり、脅威の発生間隔から確率を導き出すための値です。

ALE（Annualized Loss Expectancy：年間損失予測）とは

ALEは、ある資産が特定のリスクによって1年間に被ると予想される金銭的損失の総額です。CISSPなどの情報セキュリティ資格試験でも頻出の概念であり、セキュリティ対策への投資判断にも活用されます。

計算式は以下の通りです。

ALE ＝ SLE × ARO

ALEの計算方法と活用例

例えば、単一損失予測（SLE）が30,000ドルで、脅威が2年に1回発生する（ARO＝0.5）場合、ALEは次のように求められます。

ALE ＝ 30,000ドル × 0.5 ＝ 15,000ドル

ALEは、セキュリティソリューションのTCO（総所有コスト）を検討する際の基準としても使われます。対策コストがALEを下回るのであれば投資する価値がある、という判断材料になるのです。

定量的リスク評価におけるSLE・ARO・ALEの役割

SLE、ARO、ALEといった指標を用いるのは、主に定量的リスクアセスメントです。定量的リスク評価では、資産価値や損失額、障害の発生回数などを具体的な金額で表現します。

これにより、リスクの重大さをレベル感を持って把握できます。例えば、ALEが1,000ドル程度のリスクは、ALEが100万ドルに及ぶリスクに比べて、はるかに低い優先度と判断されるでしょう。このように数値化することで、限られた予算の中で対策の優先順位を合理的に決められます。

Microsoft ARO（Azure Red Hat OpenShift）とは

Microsoftの文脈におけるAROは「Azure Red Hat OpenShift」を指します。これは、Microsoft Azure上でOpenShiftクラスタを提供するフルマネージドサービスです。

Azure Red Hat OpenShiftは、MicrosoftとRed Hatが共同で設計・開発・運用しており、両社による統合サポートが提供されます。また、ロギング、メトリクス、モニタリングといったクラスタサービスも利用可能です。高可用性のクラスタをオンデマンドで構築でき、運用負荷を大幅に軽減できます。

OpenShiftのネットワーキングの仕組み

OpenShift Container Platformクラスタ内のPodは、ソフトウェア定義ネットワーク（SDN）を通じて通信します。プラットフォームは統一されたクラスタネットワークを提供しており、プロジェクトに割り当てられたPodには固有の仮想ネットワークID（VNID）が付与され、トラフィックの識別に使用されます。

OpenShiftとAKSの違い

Red Hat OpenShiftディストリビューションは、ハードウェア・ソフトウェアの認証、開発者ツール、サポートなどの追加機能を提供します。OpenShiftはベアメタル、仮想マシン、パブリッククラウドなど任意の環境にデプロイできる一方、AKS（Azure Kubernetes Service）はAzure環境にしかデプロイできない点が大きな違いです。

まとめ

ネットワークセキュリティにおけるAROは、脅威の年間発生率を示す重要な指標です。SLE（単一損失予測）と組み合わせてALE（年間損失予測）を算出することで、リスクを金額ベースで評価し、セキュリティ投資の意思決定に役立てることができます。一方、Microsoftの文脈ではAROがAzure Red Hat OpenShiftを指すこともあるため、文脈に応じた正しい理解が大切です。