2.1情報資産管理とリスクアセスメント

情報セキュリティ管理の出発点は「何を守るか」を明らかにすることです。守るべき情報資産を洗い出し、それぞれにどのようなリスクがあるかを特定・分析・評価する一連の流れをリスクアセスメントと呼びます。組織はリスクをゼロにはできないため、評価結果に基づき低減・回避・移転・受容のどれで対応するかを判断し、対応後もなお残る残留リスクを許容水準まで管理することが、SGの実務理解の核になります。

2.1.1情報資産の洗い出しと分類

• 情報資産＝組織にとって価値を持つ情報およびそれを扱う仕組み（顧客データベース・設計図書・業務システム・ノートPC・紙の契約書など）。まず資産台帳を作成し漏れなく洗い出すことが、以降のリスクアセスメント全体の前提になります。洗い出しが不十分だと、その資産に対するリスクは最初から評価対象から漏れてしまいます。
• 分類の観点＝資産の重要度は機密性・完全性・可用性（CIA）が損なわれた場合の業務への影響度で評価します。同じ「顧客データ」でも、氏名だけの一覧と、クレジットカード番号を含む決済情報とでは要求される保護レベルが異なり、重要度に応じた管理策の重み付け（重要な資産ほど厳格な管理策を適用）が合理的な資源配分につながります。

2.1.2リスクアセスメントの手順

• リスク特定＝情報資産に対してどのような脅威が、どのような脆弱性を突いて、どのような損失を引き起こしうるかを洗い出す工程。「資産×脅威×脆弱性」の組み合わせで具体的なリスクシナリオを列挙します。
• リスク分析＝特定したリスクについて、発生可能性（頻度）と発生した場合の影響度（損失の大きさ）を見積る工程。リスク評価＝分析結果をあらかじめ定めた受容基準（リスク基準）と照らし合わせ、対応の要否・優先順位を判定する工程。分析は「大きさを測る」、評価は「基準と比べて判断する」という役割の違いを区別します。
• 定量的リスク分析＝発生確率や予想損失額を金額・数値で見積る手法。経営層への説明や予算判断に使いやすい一方、正確なデータの収集にコストと時間がかかるという欠点があります。定性的リスク分析＝「高・中・低」のような相対的な尺度でリスクの大きさを評価する手法。迅速に実施できる一方、評価者の主観に左右されやすいという欠点があります。

2.1.3リスク対応の4分類と残留リスク

• リスク低減＝管理策（技術的・物理的・人的対策）を導入して発生可能性や影響度そのものを下げる対応（例：ウイルス対策ソフトの導入、アクセス制御の強化）。リスク回避＝リスクの原因となる活動自体を取りやめる対応（例：機密性の高いデータを扱う新サービスの提供を見送る）。
• リスク移転（転嫁）＝リスクを自組織の外部に移す対応（例：サイバー保険への加入、業務の外部委託により契約上の責任を委託先と分担）。リスク受容＝リスクが受容基準の範囲内と判断し、追加の対応をせずそのまま許容する対応（対応コストがリスクの大きさに見合わない小さなリスクなどに用いる）。
• 残留リスク＝リスク対応を実施した後もなお残るリスク。管理策は多くの場合リスクをゼロにはできないため、対応後に残留リスクを再評価し、それが組織の受容基準内に収まっているかを確認する工程が必要です。収まっていなければ追加の対応を検討します。

ある中堅企業の情報システム部門を例に、リスクアセスメントから対応までの流れを追ってみます。まず資産台帳を整備したところ、「顧客の氏名・住所を保持する営業支援システム」が重要な情報資産として洗い出されました。次のリスク特定の工程では、「外部からの不正アクセスにより顧客データが窃取される」というリスクシナリオが識別されます。リスク分析では、過去の同業他社の被害事例や自社の脆弱性診断結果を踏まえ、発生可能性を「中」、発生した場合の影響度を「大」（信用失墜・損害賠償・業務停止）と見積りました。この分析結果をリスク基準と照合するリスク評価の結果、優先的に対応すべきリスクと判定されます。対応の検討では、複数の選択肢を比較します。まず、多要素認証の導入とアクセスログの監視強化によって不正アクセスの発生可能性自体を下げるリスク低減が現実的な第一候補になります。仮に「そもそも氏名・住所以外の機微情報は保持しない」という業務方針に転換できるなら、それはリスク回避にあたります。また、サイバー保険に加入して万一の損害賠償を保険でカバーする対応はリスク移転であり、情報システムの運用自体を専門のクラウド事業者へ委託して契約上の責任を分担する場合も同様に移転の一種と整理できます。一方、影響がごく小さいと判断される軽微なリスク（例：社内資料の誤字による軽微な混乱）については、対応コストの方が見合わないためリスク受容とし、あえて追加対策を取らない判断もありえます。今回のケースでは低減策として多要素認証を導入した結果、発生可能性は下がったもののゼロにはならず、依然として一定の不正アクセスリスクが残ります。この対応後に残る残留リスクを再度分析し、リスク基準に照らして「許容できる水準まで下がった」と評価できて初めて、リスクアセスメントのサイクルが完結します。

2.1.4この節のまとめ

• リスクアセスメント＝リスク特定→リスク分析（発生可能性×影響度）→リスク評価（基準と照合）の順で進める
• リスク対応は低減（可能性/影響度を下げる）・回避（活動を取りやめる）・移転（組織外へ移す）・受容（基準内として許容）の4分類
• 定量的分析＝金額換算だが収集コスト大、定性的分析＝迅速だが主観的。対応後も残留リスクが残り、受容基準内かの再確認が必要