リスクマネジメント
目的の達成を妨げる可能性のある要因を把握し、評価、対応、監視を継続する活動。対策の効果とコストを考慮し、組織として受け入れられる状態へ管理する。
イマシルちゃんの解説
遠足の計画なら、雨や電車の遅れも考えておくよね。
雨具を持つ、行き先を変える、予備の時間を取るなど、方法はいろいろあるんだ。
全部の心配をなくすことは難しいから、何をどこまで準備するか決めるよ。
天気予報が変われば、計画も見直すんだ。
この解説はわかりやすかったですか？
より深い解説
評価から見直しまで
情報システムでは、守る対象、業務上の影響、脅威、脆弱性などを整理する。脅威は損害を生じさせる要因、脆弱性は悪用され得る弱点であり、同一ではない。
| 活動 | 内容 |
|---|---|
| 識別 | 何が起こり、何が損なわれるかを洗い出す |
| 分析 | 発生の起こりやすさと影響を調べる |
| 評価 | 判断基準と比較し、対応の優先順位を決める |
| 対応 | 対策を選び、実施する |
| 監視・見直し | 環境変化や対策の有効性を継続して確認する |
識別、分析、評価をまとめた活動がリスクアセスメントである。それだけで対策の実行や運用が完了するわけではない。
対応の選択肢
| 対応 | 独自の例 |
|---|---|
| 回避 | 危険が大きいサービスの提供を中止する |
| 低減 | 多要素認証などで被害の起こりやすさを下げる |
| 移転・共有 | 保険や契約で一部の負担を他者と分担する |
| 保有 | 判断と承認の下でリスクを受け入れる |
保険に加入しても、情報漏えいという事象そのものが起こらなくなるわけではない。費用だけでなく、利用者への影響や復旧可能性も考える。
残るリスクを管理する
対策後にも残るものが残留リスクである。担当者が黙って放置するのではなく、責任者が内容を理解し、必要な承認を行う。受入れの条件や再評価の時期を記録する。
発生可能性と損失額の積は、定量化の一つの目安になる。ただし、低頻度でも壊滅的な被害や、金額にしにくい信用の損失を単純な平均値だけで判断してはならない。
緊急時対応との違い
事故発生時の連絡、隔離、復旧は重要だが、リスクマネジメント全体の一部分である。事前の備え、教育、監視、経営上の意思決定も含む。対策を一度導入して終えるのではなく、組織やシステムの変更に合わせて再評価する。