情報資産管理とリスクアセスメント・リスク対応｜情報セキュリティマネジメント試験

情報資産を洗い出し、リスクを見積もって対応を決めるまで

情報セキュリティの対策は、守るものを決めるところから始まります。組織の情報を情報資産として台帳にまとめ、重要度を見積もり、起こりうることを整理して対応を決める。この単元はその流れを扱います。

情報資産の重要度は、機密性・完全性・可用性の三つの面から評価します。IPAの中小企業の情報セキュリティ対策ガイドラインでは、三つにそれぞれ評価値を付け、最も高い値をその資産の重要度とする考え方が示されています。

リスクアセスメントは、リスク特定・リスク分析・リスク評価という三つの段階からなります。リスク特定は、リスク源や起こりうる事象、その原因と結果を見つけて一覧にする段階。リスク分析は、起こりやすさと影響の大きさからリスクレベルを求める段階。リスク評価は、あらかじめ決めたリスク基準と照らして、手を打つ必要があるか、どれを先にするかを決める段階です。名前が似ているので、どの段階が何を答えるのかを分けて捉えると混同しにくくなります。

リスク対応には四つの方向があります。活動そのものをやめるリスク回避、対策で起こりやすさや影響を小さくするリスク低減、保険や委託で損失を他者と分け合うリスク移転（リスク共有）、そのまま抱えるリスク保有です。保険への加入のように資金の手当てで備えるものをリスクファイナンシング、対策そのもので小さくするものをリスクコントロールと呼び分けます。

対応をしてもリスクはゼロになりません。残ったぶんを残留リスクといい、これを受け入れてよいと判断することをリスク受容といいます。受容は現場の判断だけで済ませるものではなく、そのリスクを運用管理する責任と権限をもつリスク所有者の承認が要ります。

拠りどころは規格にあります。JIS Q 31000 はリスクマネジメント全般の原則と指針を、JIS Q 27000 は用語の定義を、JIS Q 27001 は要求事項を示します。分析の深さにも幅があり、定めた基準に一律に合わせるベースラインアプローチ、資産ごとに詳しく見る詳細リスク分析、両者の組合せがあります。