目次
はじめに
「情報セキュリティのリスクアセスメントって、具体的に何を評価すればいいの？」
「社内で実施することになったけれど、どのような手順で進めればよいの？」と迷っていませんか。
顧客情報や社内データ、業務で使用するシステムなどを管理していても、どこに情報漏えいや不正アクセスの危険があるのか、どのリスクから対策すべきなのかを判断するのは難しいですよね。
この記事では、情報セキュリティにおけるリスクアセスメントの意味から、リスクの評価方法、実施する手順までわかりやすく解説します。
情報セキュリティのリスクアセスメントとは？
情報セキュリティのリスクアセスメントとは、組織が保有する情報資産にどのような脅威や弱点があり、問題が発生した場合にどの程度の影響が生じるのかを確認し、対応の優先順位を判断する取り組みです。
ここでは、リスクアセスメントを行う目的と基本的な進め方を説明します。
リスクアセスメントを行う目的
リスクアセスメントを行う目的は、情報資産ごとのリスクを把握し、対策の優先順位を決めることです。
脅威が発生する可能性と、発生した場合の業務や情報への影響を評価することで、優先して対応すべきリスクが分かります。
限られた人員や予算を、重要度の高いリスクから効率よく配分できます。
リスク特定・リスク分析・リスク評価の3段階で進める
リスクアセスメントは、リスク特定・リスク分析・リスク評価の3段階で進めます。
まず情報資産にどのような脅威や弱点があるかを特定し、発生する可能性と影響の大きさを分析します。
その結果を評価基準と照らし合わせ、対策が必要なリスクと優先順位を判断します。
情報セキュリティのリスクアセスメントで使う評価方法
情報セキュリティのリスクアセスメントでは、特定したリスクについて発生する可能性と発生した場合の影響を評価し、対策の優先順位を決めます。
ここでは、リスクレベルの算定方法や判定基準、定性的評価と定量的評価の使い分けについて説明します。
発生可能性×影響度でリスクレベルを算定する
リスクレベルは、発生可能性と影響度をそれぞれ数値化し、掛け合わせて算定します。
たとえば、どちらも1〜5の5段階で評価する場合、リスクレベルは1〜25になります。
同じ基準で数値化することで、複数のリスクを比較し、対策の優先順位を決めやすくなります。
低・中・高などの基準でリスクを判定する
算定したリスクレベルは、あらかじめ決めた基準に沿って「低・中・高」などに分類します。
たとえば、1〜5を「低」、6〜14を「中」、15〜25を「高」とすれば、同じ基準で各リスクを判定できます。
基準を事前に決めておくことで、担当者による評価のばらつきも抑えられます。
定性的評価と定量的評価を目的に応じて使い分ける
定性的評価ではリスクを「低・中・高」などの段階で判定し、定量的評価では発生確率や想定損失額などの数値で評価します。
リスクの優先順位を整理したい場合は定性的評価、損失額や対策費用を比較したい場合は定量的評価というように、目的に合わせて使い分けます。
情報セキュリティのリスクアセスメントの進め方
情報セキュリティのリスクアセスメントは、評価対象を明確にしたうえで、どのようなリスクがあるのかを順番に整理して進めます。
ここでは、情報資産の洗い出しから対応するリスクの優先順位を決めるまでの流れを説明します。
対象となる情報資産を洗い出す
リスクアセスメントでは、最初に評価対象となる情報資産を洗い出します。
顧客情報や従業員情報などのデータに加え、サーバーやパソコン、クラウドサービスなども対象です。
保管場所や利用部署、管理担当者まで整理し、どの情報資産を評価するのか明確にします。
脅威と脆弱性からリスクを特定する
洗い出した情報資産ごとに、漏えいや改ざん、利用停止などにつながる脅威と、その原因となる脆弱性を確認します。
両者を組み合わせて、情報資産にどのような問題が起こる可能性があるのかを整理し、評価するリスクを特定します。
発生可能性と影響度を評価する
特定したリスクごとに、問題が発生する可能性と、発生した場合の影響度を評価します。
たとえば、それぞれを1〜5の5段階に分け、事前に決めた基準に沿って数値化します。
同じ基準を使うことで、複数のリスクを比較しやすくなります。
リスクレベルを算定して評価基準と比較する
発生可能性と影響度をもとに、リスクレベルを算定します。
それぞれを1〜5で評価する場合は、数値を掛け合わせて1〜25のリスクレベルを求めます。
その結果を事前に決めた基準と比較し、許容できるか、対策が必要かを判断します。
対応すべきリスクの優先順位を決める
最後に、対応が必要と判断したリスクの優先順位を決めます。
リスクレベルが高いものから優先して対策することで、限られた人員や予算を必要性の高いリスクに配分しやすくなります。
リスクアセスメント後に行うリスク対応
リスクアセスメントで対応が必要なリスクを特定した後は、それぞれのリスクに対してどのような対応を取るかを決めます。
ここでは、リスク対応の決め方から対策の実施、見直しまでの流れを説明します。
リスクの低減・回避・移転・受容から対応を決める
評価したリスクごとに、低減・回避・移転・受容の4つから対応方法を決めます。
低減は対策によってリスクを下げ、回避は原因となる業務やシステムの利用をやめる方法です。
移転は保険や外部サービスなどで損失を第三者に移し、受容は許容できるリスクとして受け入れます。
優先度の高いリスクから対策を実施する
対応方法を決めたら、リスクアセスメントで設定した優先順位に沿って対策を進めます。
リスクレベルが高いものから担当者や実施期限を決めることで、限られた人員や予算を必要性の高い対策に配分できます。
残ったリスクを確認して定期的に評価を見直す
対策後は発生可能性と影響度を再評価し、残ったリスクが許容できる範囲かを確認します。
基準を超えている場合は追加の対策を検討し、情報資産やシステム、業務内容に変更があった場合も評価を見直しましょう。
情報セキュリティのリスクアセスメントを進める際の注意点
情報セキュリティのリスクアセスメントでは、同じリスクでも担当者によって評価が変わると、対策の優先順位を適切に判断しにくくなります。
ここでは、リスクアセスメントを進める際に注意したい3つのポイントを説明します。
評価基準を統一して担当者による判定のばらつきを防ぐ
発生可能性や影響度を評価するときは、担当者によって判断が変わらないよう、判定基準を事前に統一します。
たとえば1〜5の5段階で評価する場合は、それぞれの数値を選ぶ条件まで決めておくことで、判定のばらつきを抑えられます。
すべてのリスクをゼロにしようとしない
リスクアセスメントでは、すべてのリスクをなくすのではなく、許容できるものと追加対策が必要なものを分けて考えます。
対策による効果だけでなく、必要な費用や業務への影響も確認し、どこまで対応するかを判断することが大切です。
評価結果と判断理由を記録して見直しに活用する
リスクの評価結果だけでなく、その判断理由や対応内容も記録しておきます。
発生可能性や影響度をその数値にした根拠を残しておけば、次回の評価と比較しやすくなり、リスクの変化や対応内容を見直す際にも役立ちます。
まとめ
情報セキュリティのリスクアセスメントでは、情報資産に潜むリスクを把握し、発生可能性や影響度をもとに対策の優先順位を決めることが大切です。
すべてのリスクをなくそうとするのではなく、許容できる範囲を決めたうえで、優先度の高いものから無理なく対策を進めていきます。
また、一度評価して終わりにせず、システムや業務内容の変更に合わせて定期的に見直すことも欠かせません。
まずは自社が扱っている情報資産を洗い出し、どのようなリスクがあるのかを整理するところから始めてみましょう。