CyberQRM – サイバー定量的リスク管理

ローカルで動作するオープンソースのプラットフォームで、FAIR v3.1（情報リスクの因子分析）フレームワークを使用した定量的なサイバーセキュリティリスク評価を実現します。脅威のモデリング、モンテカルロシミュレーションの実行、対策効果の測定、リスクポートフォリオの管理を、すべてブラウザ上で行えます。クラウドアカウントは不要です。

機能

• FAIRベースのリスクモデリング — 各シナリオに対して、三角分布、対数正規分布、または点分布を使用して、脅威イベント頻度（TEF）、脆弱性（Vulnerability）、資産価値（Asset Value）、損失イベント影響（Loss Event Impact）を定義
• 複数基準の資産評価 — 資産価値を複数の次元（交換費用、収益影響、規制リスク、事業中断、評判価値）の合計としてモデル化。各次元に独自の分布を設定可能
• 一次損失と二次損失 — FAIR標準に従い、損失規模を一次損失形態（生産性、対応、交換）と二次損失形態（罰金・判決、評判損害、競争優位性）に分割し、二次損失イベント頻度（SLEF）で分離。計算式：LM = PLM + SLEF × SLEM
• MITRE ATT&CK連携 — TEFおよびVulnerabilityステップでATT&CK手法を参照・選択可能。手法の流行度階層と対策カバレッジに基づいてアクティブな範囲の提案を受け取れます
• モンテカルロシミュレーションエンジン — 10,000イテレーションのシミュレーション。再現可能な結果のためにシード値を設定可能
• 年間予想損失額（ALE）分析 — 平均、中央値、パーセンタイル（P10～P99）、90％/95％信頼区間
• 感度分析/トルネードチャート — どのFAIR要素が最もリスクに寄与しているかを特定
• 対策効果分析 — 現在の対策と提案された対策をモデル化し、ALE削減量、ROI、投資回収期間を計算
• ポートフォリオ管理 — 複数のシナリオを集約し、組織全体のリスクを把握
• 永続的ローカルストレージ — SQLiteデータベースを使用。データはマシン外に出ません
• 完全オフライン — インストール後はインターネット接続不要（ATT&CKデータセットはインストール時に一度だけダウンロード）

スクリーンショット

前提条件

Node.jsのインストール

• 公式インストーラ（推奨）： nodejs.org/ja/download — 「Current」または「LTS ≥ 22」のリリースを選択
• macOS（Homebrewを使用）： brew install node
• 全プラットフォーム（nvmを使用）： nvm install 22 && nvm use 22
• Windows（wingetを使用）： winget install OpenJS.NodeJS

インストール

macOS / Linux

# リポジトリをクローン
git clone https://github.com/iiamit/CyberQRM.git
cd CyberQRM

# インストーラを実行（Nodeバージョンを確認、すべての依存関係をインストール、ATT&CKデータをダウンロード）
chmod +x install.sh
./install.sh

Windows

REM リポジトリをクローン（Git Bash、PowerShell、または任意のターミナル）
git clone https://github.com/iiamit/CyberQRM.git
cd CyberQRM

REM インストーラを実行（ダブルクリックまたはターミナルから実行）
install.bat

インストーラは以下の処理を行います：

1. Node.js 22.5以上が存在することを確認し、存在しない場合は役立つエラーメッセージを表示
2. ルート、バックエンド、フロントエンドのnpm依存関係をインストール
3. SQLiteデータベース用のbackend/data/ディレクトリを作成
4. MITRE ATT&CK Enterpriseデータセット（約30MB）をダウンロード — ダウンロードに失敗してもアプリは動作します。ATT&CK機能はファイルが存在するまで「データ利用不可」と表示されます

アプリの起動

macOS / Linux

./start.sh

これにより、2つのターミナルウィンドウ（またはデスクトップ環境がないLinuxではバックグラウンドプロセス）が開きます。1つはバックエンドAPI、もう1つはフロントエンド開発サーバー用です。その後、ブラウザが自動的に開きます。

Windows

start.bat

2つのコンソールウィンドウ（バックエンドとフロントエンド）が開きます。5秒後にブラウザが自動的に開きます。

起動後、以下のURLでアプリにアクセスできます：

ポート5173が既に使用中の場合は、Viteが自動的に5174に切り替えます。

動作の仕組み

CyberQRMはFAIR v3.1の方法論を4つのステップで実装しています：

1. シナリオを定義 — 資産、脅威アクター、ビジネスコンテキストに名前を付けます
2. FAIRパラメータを設定 — TEF、Vulnerability、Asset Value、Loss Impactに分布を入力します
3. シミュレーションを実行 — エンジンが各分布から10,000回サンプリングし、ALEを計算します
4. 結果を分析 — ALEのパーセンタイル、感度ドライバー、対策ROIを確認します

高度なシナリオモデリング

複数基準の資産評価 — Asset Valueステップで「高度：複数の評価基準を使用」をトグルすると、各価値次元に個別の分布を定義できます。シミュレーションでは、イテレーションごとにすべての基準が合計されます。

一次損失と二次損失 — Loss Impactステップで「高度：一次損失と二次損失に分割」をトグルすると、一次の直接コストと二次のステークホルダー負担コスト（罰金、評判損害、競争上の損失）を条件付きSLEF確率でモデル化できます。すべての金額は絶対値の米ドルです。

MITRE ATT&CK — TEFおよびVulnerabilityステップで、手法ブラウザを開いて戦術でフィルタリングしたり、名前やIDで検索したり、関連する手法を選択できます。プラットフォームは、実際の普及度階層（Red Canary / CTIDの観測データに基づく）に基づいてTEF範囲を提案し、実装済みのATT&CK対策の数に基づいて脆弱性範囲を提案します。

データベースは初回実行時に自動的に作成されます（backend/data/cyberqrm.db）。すべてのデータはローカルマシンに残ります。

プロジェクト構成

CyberQRM/
├── backend/               # Express.js + TypeScript API
│   ├── src/
│   │   ├── index.ts       # サーバーエントリポイント（ポート3001）
│   │   ├── db/            # SQLiteアダプタ、スキーマ、マイグレーション
│   │   ├── routes/        # RESTエンドポイント（シナリオ、対策、ポートフォリオ、ATT&CK）
│   │   ├── services/      # ビジネスロジック、モンテカルロエンジン、ATT&CKサービス
│   │   ├── data/          # attack-prevalence.json（バンドルされたTEF階層データ）
│   │   └── middleware/    # エラーハンドリング
│   └── data/              # SQLiteデータベース + ATT&CK STIXファイル（自動生成）
├── frontend/              # React 18 + Vite + TypeScript
│   └── src/
│       ├── pages/         # ダッシュボード、シナリオ、対策、ポートフォリオ
│       ├── components/    # チャート、フォーム、UIプリミティブ
│       │   └── forms/     # ScenarioForm、AttackTechniqueSelector、
│       │                  #   ValuationBasisList、PrimarySecondaryLossForm
│       ├── store/         # Zustand状態管理
│       └── utils/         # APIクライアント、フォーマット、レポート生成
├── shared/                # 共有TypeScript型（FAIRデータモデル）
├── install.sh             # macOS/Linuxインストーラ
├── install.bat            # Windowsインストーラ
├── start.sh               # macOS/Linux起動スクリプト
└── start.bat              # Windows起動スクリプト

技術スタック

開発

ホットリロード付きでコードを開発するには：

# 依存関係をインストール（まだの場合）
./install.sh        # macOS/Linux
install.bat         # Windows

# 両方のサービスをライブリロードで起動
npm run dev         # プロジェクトルートから（npm-run-allが必要）

# または個別に起動
npm run dev:backend
npm run dev:frontend

プロダクションバンドルをビルドするには：

npm run build
# コンパイルされたバックエンドを実行：
cd backend && npm start
# frontend/dist を任意の静的ファイルサーバーで提供

コントリビューション

コントリビューションを歓迎します。大きな変更については、まずイシューを開いて議論してください。

1. リポジトリをフォーク
2. 機能ブランチを作成（git checkout -b feature/your-feature）
3. 変更をコミット
4. プルリクエストを開く

ライセンス

MIT — 詳細はLICENSEを参照してください。

謝辞

このプロジェクトは、FAIR™（情報リスクの因子分析）のオントロジーを実装しています。FAIRはFAIR Instituteの商標です。

ATT&CK®はMITRE Corporationの登録商標です。ATT&CKコンテンツはATT&CK利用規約に基づいて使用されています。