情報セキュリティにおけるリスクアセスメントとは？必要性や基本的な進め方について解説 

「情報セキュリティにおけるリスクアセスメントってなんだろう？」
「ISMS 認証を取得するためにリスクアセスメントの基本的な流れを知りたい」

このようにお考えの経営者様や企業のご担当者様向けに、本記事では情報セキュリティに関するリスクアセスメントの基礎知識を解説します。

SecureNaviを活用して、ISMS認証の取得や運用の工数を軽減しませんか？

SecureNaviは、ISMS認証やPマークの取得や運用を効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒SecureNaviのサービス紹介資料をダウンロードする

リスクアセスメントとは？

一般的に「リスクアセスメント」とは、職場に潜む危険性や有害性を見つけ出し、それらが引き起こす可能性のある労働災害の重大さからリスクの大きさを見積もり、優先順位を決めて順番にリスクを除去・低減していく手法のことです。

情報セキュリティにおけるリスクアセスメントは、組織や企業が抱える情報資産に対するリスクの洗い出しや分析、評価を行い、許容できるかどうかを決めるプロセスのことを表します。

なぜリスクアセスメントが必要なのか？

なぜリスクアセスメントを行う必要があるのでしょうか？

その理由は、社内の取引先・顧客データをリスクから守るためです。想定されるリスクの洗い出しや分析を行い、必要に応じて対策を行うことで情報漏えいなどの事故を防ぐことができます。

このようなリスクアセスメントがきちんとできている組織・企業は、取引先となる企業や顧客から「適切な情報の取り扱いができている」と見なされやすく、信頼性も高まると考えられます。

また、ISMS認証（情報セキュリティマネジメントシステム認証：組織が保有する情報資産のセキュリティを管理するための仕組みがきちんと構築・運用できていることを示す認証）の取得にもリスクアセスメントが必須です。

ISMSの国際規格である『ISO/IEC 27001』では、ISMSを構築・運用する目的として「利害関係者に対してリスクを適切に管理しているという信頼を与える」ことを示しています。つまり ISMS認証の取得、引いては取引先や顧客に信頼してもらえる適切な ISMSの構築・運用には、リスクアセスメントが必要であることを示唆しているのです。

情報セキュリティにおけるリスクアセスメントの基本的な手順

ここからは情報セキュリティにおけるリスクアセスメントを行う基本的な手順について解説します。

主に以下の流れで進めていきます。

1. リスクの特定（洗い出し・分析・評価）

2. 優先順位を決めてリスク対応

3. リスクアセスメントの実施状況の評価・見直し

リスクの特定（洗い出し・分析・評価）

まずはリスク（情報セキュリティリスク）の洗い出しを行います。

情報セキュリティリスクとは「情報の機密性・完全性・可用性（情報セキュリティの3要素）を脅かすもの」のことです。

• 機密性のリスク：許可された者以外が、情報にアクセスできてしまうリスク

• 完全性のリスク：情報が完全（正確）でなくなってしまうリスク

• 可用性のリスク：許可された者が、情報にアクセスできなくなるリスク

情報セキュリティの3要素については、こちらの記事で詳しく解説しています。
情報セキュリティの3要素とは？新しく追加された4要素（7要素）も解説

リスクの洗い出しには、主に2種類の方法があります。

1.情報資産からリスクを洗い出す方法

ISMSで保護するべき社内の情報資産すべてを情報資産管理台帳などにまとめて、それぞれの情報資産ごとに起こり得るリスクを洗い出す方法です。

2.業務フローからリスクを洗い出す方法

普段の業務フローや特定の作業の工程を振り返り、起こり得るリスクを洗い出す方法です。

リスクアセスメントの方法はさらに細かく分けられるのですが、量が多いためここでは基本的な2つの方法のみ紹介させていただきました。その他の方法については、こちらの記事をご覧ください。
ISMSのリスクアセスメント手法48選

リスクの洗い出しが完了したら、リスクの「分析」と「評価」を行います。

リスクの「分析」と「評価」とは、そのリスクの「起こりやすさ（発生可能性）」と「影響度」から対応する優先度をつけることです。

全てのリスクを洗い出すことは難しいでしょう。そのため、まずは「深刻な事故を招く可能性が高いリスクをできる限り洗い出す」という考え方で行ってみてください。

優先順位を決めてリスク対応

優先度の高いリスク（発生確率が高く、発生した場合の影響度が重大なリスク）から順に、リスクを削減するための対応を行います。

リスク対応には人・お金・時間などさまざまなコストがかかるため、事前に経営者などの承認が必要となるでしょう。

また、優先度の高いリスクから対応していっても、リスクの抜け漏れが発生する可能性があります。なるべく抜け漏れなくリスク対応するためには、『 ISO/IEC 27001』の附属書 A (組織・企業における情報セキュリティリスクを軽減するための管理目的と、管理策を示した項目) を参考にしましょう。

リスク対応の方法は、大きく以下の4つに分けられるとされています。

リスク低減

リスクの発生可能性や影響度を下げて、リスクの優先度を下げる方法。例えば、「共有ストレージへの不正アクセスを防ぐために、アクセス権限を定期的に確認する」など

リスク回避

作業のうちリスクのある部分だけを代替するなど、リスクの発生を根絶する方法。例えば、「PCの持ち出しを禁止する」「自社保有サーバをクラウド化する」「プリンタをなくす」など

リスク移転

リスクが生じる恐れのある業務を外部委託したり、万が一の場合に備えて保険に入ったりする方法

リスク保有

リスクがあることは把握しているが、全てに対応するリソースを避けないため、あえて対応しない方法

リスクアセスメントの実施状況の見直し

リスクアセスメントが適切であったか評価するために、実施状況などを記録しておきましょう。

改善が必要な部分が見つかった場合、改めて経営者やリスクアセスメントの推進チームを中心に、リスクアセスメントの見直しと修正を行います。

この流れを繰り返しながら、情報セキュリティの安全性向上を目指していくことがリスクアセスメントの目的です。

SecureNaviを活用して、ISMS認証を効率的に取得しましょう

今回は、情報セキュリティに関するリスクアセスメントの基礎知識を紹介しました。リスクアセスメントは、ISMS（情報セキュリティマネジメントシステム）の構築において必須の作業の1つです。情報資産のリスクを明確にするリスクアセスメントを行うことでどのような対策が必要なのかが浮き彫りになり、クリティカルな対策を講じやすくなります。ISMS認証の取得を目指す際は、SecureNaviの活用がおすすめです。

『SecureNavi』は 内製でのISMSの構築・運用を効率化し、ISMS認証取得をサポートするクラウドサービスです。あわせてISMS認証の取得や維持に関するコンサルティングサービスを提供するプランもあり、 ISMS認証取得までのスケジュール確認やISMS運用に関する相談、審査前の確認などさまざまなお悩みに対応いたします。
下記フォームからSecureNaviのサービス紹介資料をダウンロードいただき、ISMS認証の取得にご活用いただけそうかご確認ください。