リスクアセスメントとリスク対応とは ― 4つの選択肢

セキュリティ対策をどこから、どこまでやるかを決める手順が、リスクアセスメントとリスク対応です。リスクアセスメントは、情報資産を脅かすリスクを特定・分析・評価する手順です。その評価結果を受けて、低減・保有・回避・移転のどれで対応するかを選ぶのがリスク対応です。

予算や人手には限りがあり、すべての脅威に同じだけ備えることはできません。そこで、起こりやすさと被害の大きさでリスクに順位を付け、手を打つものと受け入れるものを分けます。ISMSのPDCAサイクルでは、計画の段でこの作業を行います。

リスクアセスメントは、まず情報資産（情報システム・データ・文書など）を調査して特定することから始まります。どの情報資産があるかが分からなければ、何を守るかも決められません。

調査した情報資産は、機密性・完全性・可用性の3つの側面から重要性を検討し、分類します。組織はこの分類を、情報資産台帳という形でまとめます。顧客の名簿のような個人データは、個人情報保護法が安全管理を求める情報資産です。IPAの「リスク分析シート」も、情報資産ごとに重要度を決める方法を示しています。機密性・完全性・可用性を1〜3の数値で評価し、その最大値を重要度とします。

情報資産を取り巻くリスクには、いくつかの種類があります。よく使う分け方に、財産損失・責任損失・純収益の喪失・人的損失があります。

さらに細かい種類もあります。オペレーショナルリスク・サプライチェーンリスク・外部サービス利用のリスク・SNSによる情報発信のリスク・地政学的リスクなどです。不正アクセスのような脅威は、こうしたリスクの原因の一例です。

リスクアセスメントは、リスク特定・リスク分析・リスク評価の3段階で進めます。リスクマネジメントの規格JIS Q 31000:2019でも、リスクアセスメントは箇条6.4という1つの項目です。

リスク特定は、情報資産を脅かすリスクを見つけ出す段階です。リスク分析は、見つけたリスクの起こりやすさと、実際に起きた場合の影響の大きさを調べる段階です。リスク評価は、分析した結果を、組織が定めたリスク基準と比べて判定する段階です。

リスク評価のあとに続くリスク対応は、JIS Q 31000:2019では箇条6.5という別の項目です。リスクアセスメントの結果を受けて、どう対応するかを選ぶ段階にあたります。

リスク分析では、リスクの大きさをリスク値という数値で表すことがあります。IPAセキュリティセンターの「リスク分析シート」は、求め方の一例を示しています。「リスク値＝重要度×被害発生可能性」という式です。この重要度を、ここからは影響度と呼びます。

次の図で発生可能性と影響度を1〜3の3段階で選ぶと、組み合わせごとのリスク値を確かめられます。影響度が大きい列の3マスは、IPAの資料の例と同じ値と判定です。残りの6マスは、同じ式を当てはめたこの記事の一例です。

IPAの資料もリスク値を大・中・小で表しますが、4をリスク中とする区切りはこの記事で決めたものです。この計算方法も一例にすぎません。リスクの大きさの決め方には、数値を使わない定性的な分析もあります。

リスク評価の結果、対応が必要と判断したリスクには、リスク対応を選びます。IPAの「リスク分析シート」は、リスク対応の方法を低減・保有・回避・移転の4つに分けています。

低減と回避は、どちらもリスクの発生可能性を下げる対応ですが、違いがあります。低減は脆弱性への対策で発生可能性を下げ、回避は脅威発生の要因そのものを止めます。保有は、対策をせずに現状を維持する選択です。移転は、対策や補償の力がある他社のサービスを使って、自社の負担を下げる選択です。

対策を取った後も、保有を選んだ後も、リスクが完全になくなるわけではありません。残ったリスクを残留リスクと呼びます。選んだ対策を組織の決まりとして書く文書の1つが、情報セキュリティポリシーの対策基準です。

• IPAセキュリティセンター「リスク分析シート」2024年7月：リスク値の算定方法と、リスク対応の4つの方法
• JIS Q 31000:2019 リスクマネジメント－指針：目次の箇条6.4「リスクアセスメント」と6.5「リスク対応」