5.1リスクアセスメントの実践

情報セキュリティ管理者の実務は「なんとなく危なそうだから対策する」では成り立ちません。どの情報資産が・どの脅威に対して・どれくらいのリスクを持つかを数値や基準で可視化し、限られた予算・人員の中で優先順位をつけて対応することが求められます。科目Bでは、この一連の判断プロセスを現場の状況に当てはめて答える力が問われます。

5.1.1情報資産の特定と分類

• 情報資産＝組織が保有する、保護すべき対象。顧客名簿・契約書・設計図面のような情報そのものだけでなく、それを扱うサーバー・PC・記録媒体・ソフトウェア、さらには業務ノウハウを持つ人材も含めて洗い出す必要があります。棚卸しの段階で対象を狭く取ると、後のリスクアセスメント自体が抜け漏れを持ったまま進んでしまいます。
• 資産分類は機密性（C）・完全性（I）・可用性（A）の観点で重要度を格付けするのが基本です。例えば人事評価データは機密性が特に重い、決済ログは完全性（改ざんされていないこと）が特に重い、というように同じ「重要な資産」でも守るべき性質は資産によって異なることを踏まえて評価します。

5.1.2リスク値の算出とリスク受容基準

• リスク値の代表的な算出式＝リスク値 ＝ 脅威 × 脆弱性 × 資産価値（各要素を段階評価し掛け合わせる方式）。脅威＝その資産に危害を及ぼしうる出来事の発生しやすさ（例：ランサムウェア攻撃、内部不正）。脆弱性＝資産が持つ弱点（例：パッチ未適用、アクセス権限の設計不備）。3要素のいずれか1つでも0に近ければ、リスク値全体も下がるという掛け算の性質を理解しておくことが計算問題の土台になります。
• リスク受容基準＝組織があらかじめ定める「このレベルまでのリスクは許容し、これを超えたら対応する」という閾値。基準がなければ、算出したリスク値をどう扱うべきかの判断が担当者ごとにばらつき、対応の一貫性が失われます。受容基準は経営層が事業への影響度を踏まえて承認するのが望ましいとされます。