リスク特定・分析・評価

要点と定義

情報セキュリティリスクアセスメントは、リスクを特定し、分析し、評価する流れです。IPAシラバスでは「情報セキュリティリスクアセスメント」を項目として挙げ、リスク特定・リスク分析・リスク評価をそのプロセスに含めています。IPAシラバス Ver.4.1 PDFの第6頁。特定、分析、評価の順に進め、その後にリスク対応を検討します。

例えば、退職した委託先担当者のアカウントが残っている場合、情報を見られる事象、その原因、情報漏えいの影響、委託先アカウントというリスク源を洗い出します。対策に掛かる費用は、この特定段階で洗い出す対象とは分けます。

物流センターの冷蔵設備なら、停止がどのくらいの頻度で起きるか、商品廃棄や出荷遅れが仕事にどれほど響くかを見積もります。両方を合わせてリスクの水準を捉えます。

例えば、冷蔵設備の停止で商品廃棄や出荷遅れが起きる水準を見積もり、あらかじめ定めた受容条件と比べて、受け入れ可能かを判断します。基準は評価より前に整え、結果の比較先にします。IPAシラバス Ver.4.1 PDFの第6頁。

リスク対応は、評価後に対応方針を決める段階です。リスクマネジメントは組織の状況やリスクの特徴に合わせて設計し、組織の主要な活動やプロセスに組み込みます。

適用条件と例

全拠点を対象に、必須の設定と日々の運用が守られているかを点検し、未実施の項目を洗い出すのがベースラインアプローチの例です。まず共通の対策基準を各拠点の現状に当てはめます。

例えば、ある部門のリスクを評価する前に、組織が受容できる条件を定めます。次に、業務データの誤送信などの事象と原因、結果、リスク源を洗い出し、起こりやすさと影響からリスクレベルを見積もります。その水準を定めた基準と比べ、許容できない場合は対応を検討します。基準は評価に先立って確立・維持します。