4.3リスク管理

弱点をすべて同時に、同じ力で守ることはできません。限られた予算と時間を「どこに」振り向けるかを決めるのがリスク管理です。その出発点は、弱点そのものを指す脆弱性と、それが実害になる見込みを測るリスクをきちんと区別することにあります。この節では、脆弱性とリスクの違い、リスクを低/中/高/極高にランク付けする考え方、そして受容・低減・移転・回避という4つのリスク対応の選び分け、扱うデータの分類が高まるほどリスクも大きくなる関係を、「何をどこまで守るか」を決める判断として学びます。

4.3.1脆弱性とリスクは別物

• 脆弱性＝システムや運用に潜む弱点そのもの（未適用のパッチ、弱いパスワード、設定ミスなど）。リスク＝その弱点が悪用され実害に至る見込みで、おおむね発生確率×影響（資産価値）で捉える。脆弱性があってもリスクは一定ではない。
• 同じ脆弱性でも、外部から到達できず攻撃されにくいなら発生確率が低くリスクは小さい。逆に、重要な個人情報を扱うサーバなら影響が大きくリスクは大きい。だから「脆弱性の数」だけで危険度は決まらず、確率と影響を合わせてリスクを見る必要がある。

4.3.2リスクのランク付けと4つの対応

• リスクのランク付け＝発生確率と影響を組み合わせ、各リスクを低/中/高/極高（critical）の帯に振り分ける作業。限られた資源を極高・高から先に割り当てるための優先順位付けで、リスクマトリクス（確率×影響の表）がよく使われる。
• リスク対応は4択：受容（accept）＝コスト等を踏まえ許容範囲としてそのまま受け入れる／低減（reduce/mitigate）＝対策で確率や影響を下げる（パッチ・多層防御など）／移転（transfer）＝保険や外部委託で影響を他者に肩代わりさせる／回避（avoid）＝リスク源となる活動自体をやめる。
• どれを選ぶかはリスクの大きさとコストのバランスで決める。小さなリスクにコストの高い回避を選ぶのも、極高リスクを安易に受容するのも不適切。対応後に残る残留リスクを把握し、許容できる水準かを確認するのが仕上げ。