変更要約: 初版
3.1リスクマネジメント
情報資産の分類から始まり、リスクアセスメント（リスク特定・リスク分析・リスク評価）の手順、定性的リスク分析と定量的リスク分析の使い分け、リスク対応（移転・回避・受容・低減）の選択基準、残留リスクとリスクマトリックス、JIS Q 31000の考え方を学びます。
情報セキュリティの実務は「すべてのリスクをゼロにする」ことを目指しません。予算・人員・業務影響には限りがあり、リスクマネジメントの目的は、限られた資源をどのリスクにどう配分するかを合理的に決めることにあります。情報処理安全確保支援士は、セキュリティ担当者として経営層やシステム部門に対し「なぜこのリスクにはこの対応を選んだのか」を説明できる必要があります。この節では、情報資産の洗い出しからリスク対応の選択まで、判断の根拠となる考え方を学びます。
3.1.1情報資産の分類
- 情報資産＝組織が保有するデータ・情報システム・記録媒体など、保護すべき対象。リスクマネジメントの第一歩は情報資産台帳を作り、各資産の機密性・完全性・可用性（CIA）の観点から重要度を分類することにある。
- 資産の重要度分類は、その後のリスクアセスメントで「どの資産から優先的に評価するか」を決める基礎になる。重要度が高い資産（顧客の個人情報を含むデータベース等）ほど、詳細な分析と手厚い対策が必要になる。
3.1.2リスクアセスメントの手順
- リスクアセスメントは3段階からなる。
①リスク特定＝どのような脅威・脆弱性がどの資産に影響しうるかを洗い出す。
②リスク分析＝特定したリスクの発生可能性と影響度を評価し、リスクの大きさ（リスクレベル）を算出する。
③リスク評価＝算出したリスクレベルをリスク受容基準と比較し、対応が必要かどうかを判定する。 - 定性的リスク分析＝「高・中・低」のような相対的な尺度でリスクを評価する手法。迅速に多数のリスクをスクリーニングするのに向く。定量的リスク分析＝損失額や発生確率を金額・数値で見積もる手法（年間予想損失額ALE等）で、経営層への説明や投資対効果の比較に説得力がある一方、正確なデータ収集にコストと時間がかかる。
3.1.3リスク対応（移転・回避・受容・低減）
- リスク低減（軽減）＝管理策（アクセス制御・暗号化等）を導入して発生可能性や影響度そのものを下げる、最も一般的な対応。リスク回避＝リスクの原因となる業務・サービス自体を中止・変更し、リスクの発生源を断つ対応。
- リスク移転（共有）＝サイバー保険への加入や外部委託・クラウドサービス利用によって、リスクの影響（主に金銭的損失）を自組織以外に分散させる対応。ただし責任そのもの（説明責任）は移転できない点に注意。リスク受容＝リスクレベルが受容基準以下、または対策コストが想定損失を上回る場合に、あえて対応せず許容する対応。
- 4つの対応は排他的ではなく組み合わせて使われることが多い。例えば個人情報漏えいリスクには、アクセス制御で低減しつつ、残った損失リスクにサイバー保険で移転を重ねる、といった多層的な設計が実務では一般的。
「リスクアセスメント＝特定→分析→評価の3段階」「リスク対応＝移転/回避/受容/低減の4種」が最頻出です。特に「対策コストが想定損失を上回るなら受容」「リスクの原因となる業務自体をやめるのは回避（低減ではない）」「保険加入は移転（責任の移転ではなく影響の分散）」という対応の選び方の判断基準を状況付きで問われる傾向を押さえましょう。
あるオンライン決済事業者のセキュリティ担当者が、次の3つのリスクへの対応を検討しているとします。
①古い決済端末向けAPIの脆弱性（利用者はごく少数だが、悪用されれば不正送金が発生しうる）、
②大規模な自然災害によるデータセンター全損（発生確率は低いが影響は甚大）、
③特定の新興国市場向けサービスの規制未整備によるコンプライアンスリスク（このまま同市場でサービスを続ける限り解消しない）。
①については、影響が限定的な旧APIを廃止すれば脆弱性そのものが消えるため、これはリスク回避が最適な対応です（パッチ適用による低減より根本的）。
②については、影響は甚大だが発生確率が低く、かつ自組織単独では防ぎきれない性質のリスクなので、事業継続保険・再保険への加入によって金銭的影響を外部に分散するリスク移転が現実的です（保険料と想定損失を比較して契約する）。
③については、リスクの発生源（その市場での事業継続）自体を断てば解消しますが、事業上撤退が難しい場合、コンプライアンス体制の強化（現地専門家の採用、規制動向のモニタリング体制構築）で発生可能性・影響を下げるリスク低減を選び、なお残る残留リスクは経営層の承認を得てリスク受容する、という段階的な判断になります。このように、同じ「対応を決める」作業でも、リスクの原因が自組織で除去可能か、影響が金銭化・外部化しやすいか、残った分をどこまで受容できるかという軸で最適な対応は変わります。
| リスク対応 | 考え方 | 具体例 |
|---|---|---|
| 低減 | 管理策で発生可能性・影響度を下げる | アクセス制御・暗号化・パッチ適用 |
| 回避 | 原因となる業務・サービス自体をやめる | 旧APIの廃止・危険な機能の提供停止 |
| 移転（共有） | 影響（主に金銭的損失）を外部に分散 | サイバー保険・外部委託 |
| 受容 | 受容基準内、または対策コスト＞想定損失なら許容 | 影響が軽微なリスクをそのまま許容 |
3.1.4残留リスクとリスクマトリックス、JIS Q 31000
- 残留リスク＝リスク対応（低減等）を実施した後になお残るリスク。対応後もリスクがゼロになることは通常なく、残留リスクを経営層が把握し、必要なら追加対応か受容かを判断する仕組みが要る。
- リスクマトリックス＝縦軸に発生可能性、横軸に影響度をとり、両者の組み合わせでリスクレベル（優先度）を可視化する表。優先対応すべきリスク（発生可能性・影響度がともに高い領域）を経営層に説明する際の共通言語として使われる。
- JIS Q 31000＝リスクマネジメントの国際規格（ISO 31000）に対応する日本産業規格。特定の業種やISMSに限定せず、組織全体のあらゆるリスク（経営・財務・情報セキュリティ等）に適用できるリスクマネジメントの原則とプロセスの枠組みを定める。
ひっかけ： 「サイバー保険に加入すればセキュリティインシデントの責任も移転できる」は誤りです——保険で移転できるのは主に金銭的な影響であり、説明責任・法的責任そのものは組織に残ります。また「リスク対応を行えばリスクは必ずゼロになる」も誤り＝対応後も残留リスクは通常残り、それを経営層が把握し受容するかどうかを判断する仕組みが必要です。
3.1.5この節のまとめ
- リスクアセスメント＝リスク特定→リスク分析（定性的/定量的）→リスク評価の3段階
- リスク対応＝低減（管理策で下げる）・回避（原因を断つ）・移転（影響を外部化）・受容（そのまま許容）を状況で使い分ける
- 対応後も残留リスクは通常残り、リスクマトリックスで可視化し経営層が受容判断する。全体の枠組みはJIS Q 31000
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. ある企業が、利用者がごく少数まで減った旧型決済APIに深刻な脆弱性を抱えている。パッチ適用による改修コストは高額で、かつ今後の利用見込みもないことが分かった。このリスクへの対応として最も妥当なものはどれか。
Q2. リスクアセスメントの手順に関する記述として最も適切なものはどれか。
Q3. ある製造業の情報セキュリティ責任者が、特定の海外拠点でのみ発生しうる規制コンプライアンスリスクについて、事業撤退は困難だが現地専門家の採用と規制動向モニタリング体制の構築で対応することにした。この対応の分類として最も適切なものはどれか。