リスク対応策の選び方

要点と定義

情報セキュリティリスクの対応策は、リスクの原因や影響に照らして選びます。IPAシラバス Ver.4.1の「リスク対応策の検討」では、組織的・人的・物理的・技術的な管理策を検討し、実施状況や対応に要するコスト、残留リスクも考慮します。IPAシラバス Ver.4.1 PDFの第16頁

対応策を比べるときは、「誰が、どの経路で、何をできるか」を確認します。ある経路を閉じても、別の経路や既存の権限が残れば、関連するリスクは残ることがあります。委託サービスへの切替えでシステム管理部のアクセス経路がなくなる場合、その従業員による持出しリスクは回避できますが、業務担当者のアクセスが続くなら、その人たちのリスクまでなくなるとはいえません。

管理策は、リスクを起こりにくくするものと、事故後の被害を抑えるものに分けて考えられます。例えば、機器の暗号化やのぞき見防止は情報を守る対策であり、事故対応フローは発生後の対応を整える対策です。選ぶ対策は、組織の方針にも沿っている必要があります。

適用条件と例

ソフトウェアの起動を一覧で制御する場合、ブラックリストは登録されたソフトウェアを制限し、ホワイトリストは登録されたソフトウェアの実行を許可します。ブラックリストでは調査から漏れた危険なソフトウェアが使われる可能性があり、継続的な調査と登録には工数がかかります。

ホワイトリストでは、申請されたソフトウェアが安全かどうかの判断・検証に手間がかかり、利用開始が遅れることもあります。申請の審査に必要な人員や時間、業務への影響を含めて運用できるか検討します。

カード決済の例では、決済機能を変えてカード情報を自社で保持しない構成にすることが、保有データに関するリスクを減らす案として示されています。この判断は、設問の費用や実施時期などの条件に基づくもので、法令・規格への適合を一般に保証するものではありません。