5.1リスクアセスメントの実践

情報セキュリティ管理者の実務は「なんとなく危なそうだから対策する」では成り立ちません。どの情報資産が・どの脅威に対して・どれくらいのリスクを持つかを数値や基準で可視化し、限られた予算・人員の中で優先順位をつけて対応することが求められます。科目Bでは、この一連の判断プロセスを現場の状況に当てはめて答える力が問われます。

5.1.1情報資産の特定と分類

• 情報資産＝組織が保有する、保護すべき対象。顧客名簿・契約書・設計図面のような情報そのものだけでなく、それを扱うサーバー・PC・記録媒体・ソフトウェア、さらには業務ノウハウを持つ人材も含めて洗い出す必要があります。棚卸しの段階で対象を狭く取ると、後のリスクアセスメント自体が抜け漏れを持ったまま進んでしまいます。
• 資産分類は機密性（C）・完全性（I）・可用性（A）の観点で重要度を格付けするのが基本です。例えば人事評価データは機密性が特に重い、決済ログは完全性（改ざんされていないこと）が特に重い、というように同じ「重要な資産」でも守るべき性質は資産によって異なることを踏まえて評価します。

5.1.2リスク値の算出とリスク受容基準

• リスク値の代表的な算出式＝リスク値 ＝ 脅威 × 脆弱性 × 資産価値（各要素を段階評価し掛け合わせる方式）。脅威＝その資産に危害を及ぼしうる出来事の発生しやすさ（例：ランサムウェア攻撃、内部不正）。脆弱性＝資産が持つ弱点（例：パッチ未適用、アクセス権限の設計不備）。3要素のいずれか1つでも0に近ければ、リスク値全体も下がるという掛け算の性質を理解しておくことが計算問題の土台になります。
• リスク受容基準＝組織があらかじめ定める「このレベルまでのリスクは許容し、これを超えたら対応する」という閾値。基準がなければ、算出したリスク値をどう扱うべきかの判断が担当者ごとにばらつき、対応の一貫性が失われます。受容基準は経営層が事業への影響度を踏まえて承認するのが望ましいとされます。

5.1.3リスク対応計画の立案

• リスク対応の4類型＝リスク低減（対策を講じて脅威や脆弱性を減らす。最も一般的）／リスク保有（受容基準内なので対策せず許容する）／リスク回避（リスクの原因となる業務・サービス自体をやめる）／リスク移転（保険加入や外部委託で影響を第三者と分担する）。算出したリスク値と受容基準を比較し、受容基準を超える場合にどの類型を選ぶかを判断します。
• 対応計画は「対策」を決めて終わりではなく、実施責任者・期限・必要な予算を明確にし、実施後に残存リスク（対策後もなお残るリスク）を再評価することまでが一連の流れです。対策コストがリスク低減効果を大きく上回る場合は、費用対効果の観点からリスク保有や回避を選ぶ判断もあり得ます。

ある中堅企業の情報システム部門を例に、この一連の流れを追ってみます。同部門では四半期ごとの情報資産の棚卸しで、顧客の氏名・住所・購買履歴を保持する「顧客管理データベース」を最重要資産の1つと特定しました。このデータベースは機密性の観点で資産価値を5段階評価で「5（最高）」と格付けしています。次に、このデータベースに対する脅威として「外部からの不正アクセスによる情報漏えい」を想定し、直近の業界動向から発生しやすさを「4（高い）」と評価しました。脆弱性の観点では、担当者への聞き取りとシステム点検の結果、当該サーバーに半年間パッチが適用されていない既知の脆弱性が見つかり、脆弱性を「4（高い）」と評価しました。この結果、リスク値は 5×4×4＝80 と算出され、あらかじめ定めていたリスク受容基準「リスク値60以上は速やかに対応計画を策定する」を超えたため、担当者は対応計画の策定に着手します。対応の類型としては、パッチ未適用という脆弱性そのものに直接手を打てるため、リスク低減（パッチ適用とアクセス制御の強化）を選択し、実施責任者をシステム管理者、期限を2週間以内、必要な追加予算を稟議に上げました。対策実施後は、脆弱性の評価が「4」から「1（低い）」に下がったと仮定すると、残存リスクは 5×4×1＝20 に低下し、これは受容基準の60を下回るため、以後は定期監視に切り替える、という判断に至ります。ここで重要なのは、リスク値がゼロになるまで対策を続けるのではなく、受容基準を下回った時点で対応を打ち切り、限られたリソースを他のリスクへ振り向けるという考え方です。

5.1.4この節のまとめ

• 情報資産はデータ・ソフトウェア・ハードウェア・人材まで含めて洗い出す。リスク値＝脅威×脆弱性×資産価値（掛け算）
• リスク受容基準を超えたリスクにのみ対応計画を立てる。ゼロを目指す必要はない
• 対応の4類型＝低減・保有・回避・移転。対策後は残存リスクを再評価し、基準を下回れば対応を打ち切る