情報セキュリティのリスク対応とは？回避・低減・移転・保有の4手法を実例で解説

「情報セキュリティにおけるリスク対応って何だろう？」
「リスク対応にはどんな方法があるの？」

このようにお考えの情報セキュリティご担当者様向けに、リスク対応とは何か、基本的な知識を紹介します。

ISMS認証取得にかかる時間を大幅削減！SecureNaviで簡単に認証取得
SecureNaviは、ISMS認証やPマークの取り組みを効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒「SecureNavi」のサービス紹介資料をダウンロードする

リスク対応とは？

リスク対応とは、リスクを特定・分析・評価し、低減など実際に対策したり、それらの活動をレビューしたりすることです。

リスク対応の方法は大きく4種類に分けられます。それぞれについて後ほど詳しく解説します。

情報セキュリティの分野においても、組織・企業が保有する情報資産に対するリスクを特定し、分析・評価（発生確率や影響度を割り出し）を行った後、それぞれのリスクへの対応を行います。

関連記事：情報セキュリティにおける「脅威」とは？「リスク」との違いを紹介

リスク対応が必要な理由

発生し得るリスクに対応しないまま放置しておくと、自社の情報資産に損害が及ぶだけでなく、取引先企業や顧客にまで影響が及ぶ可能性もあります。

例えば、自社で構築した Web サービスに不具合が見つかり、サービス利用顧客の個人情報が外部流出してしまった場合、自社の信頼性を落としてしまうでしょう。また流出した情報が悪用されてしまう可能性も考えられます。

また、自社のセキュリティ対策が甘かったことで第三者のサイバー攻撃を受け、取引先企業が保有する情報資産を盗まれてしまうというケースもあります。実際に、2021年5月には株式会社メルカリが利用していた社外サービス「 ​​Codecov 」に第三者が不正アクセスし、メルカリのソースコードや顧客情報の一部が流出する事件がありました。

参照元：株式会社メルカリ プレスリリース

自社の情報資産に対するリスクを全て把握して対応することは難しいものの、少しでもリスクが起こる確率・発生した場合の事態の深刻さを減らすためにもリスク対応が必要です。

4つのリスク対応方法

リスク対応の方法としては、主に以下の4つが挙げられます。

• リスク回避

• リスク低減

• リスク移転

• リスク保有（受容）

この4つのうちのいずれか、あるいは複数の方法を組み合わせてリスク対応を行います。

特定したリスクに対してどのような対応を取るかは、リスクの発生確率の高さと、発生した場合の影響度（事故の深刻さや企業の損失など）の高さをもとに決めるのが一般的です。

発生確率が高く、発生した場合の影響度も高いリスクはできる限り「回避」する対応を取り、発生確率が低く影響度も低いリスクは「保有（受容）」して特別な対応を取らないなどのように考えます。

リスク対応の4つの方法について、それぞれ解説します。

リスク回避

リスク回避とは、リスクを発生させる原因自体を取り除くという対応方法です。

リスクの発生確率が高く、発生した場合の影響度も高い場合は、リスク回避を選択するのが一般的です。

また、リスクを引き起こす可能性のある事業活動そのものを停止することもリスク回避の1つになります。事業活動を続けることで得られる利益より、起こり得る損失の方が大きい場合、事業活動停止の判断を選ぶことが多いです。

リスク低減

リスク低減とは、発生するリスクの確率を下げる、または発生した場合の影響度を下げる、あるいはこの両方を行うことです。

例えば、コンピュータウイルスに感染するリスクを防ぐためにセキュリティ対策ソフトを導入したり、社用のパソコンやスマートフォンを紛失した際に端末内のデータを遠隔で消去できるシステムを導入することなどが挙げられます。

またリスクを分散させることもリスク低減の方法の1つです。

リスク移転

リスク移転とは、リスクを自社外へ移すことです。代表的な対策は「保険」で、一定期間ごとに保険料を支払うことで将来的に発生した損害に対して保険料を受け取ることでリスクに対応します。

情報セキュリティの分野でもリスク移転を行う場合があります。例えば、サーバーを自社で管理するのではなく、データセンター（サーバーを管理する施設）を保有しセキュリティ対策を厳重に行っている社外のレンタルサーバーを利用するなどの方法です。

リスク保有（受容）

リスク保有とは、リスクの対応をせず、発生した場合はそのまま受け入れることです。

考えられる全てのリスクに対応することは難しいため、発生確率が低く、発生した場合の影響度も低いリスクに関しては受け入れることも重要になります。

どのリスク対応にリソースを割き、どのリスクを保有するかを考えるためには、リスクの優先順位を決める作業も必要です。

関連記事：情報セキュリティにおけるリスクアセスメントとは？必要性や基本的な進め方について解説

リスクを特定しリスク対応を行いましょう！

リスクをゼロにすることはできません。そこでリスク対応によって、リスクを回避・低減・移転し、保有に帰結させることを目指します。

とはいえ、リスク対応によって変更した業務フローが、今までなかった新たなリスクを生むかもしれないことを忘れてはいけません。

検討、実施、評価、改善 (PDCA) を回して、常に意識していくことが大切です。
弊社が提供する ISMS (情報セキュリティマネジメントシステム) オートメーションツール「 SecureNavi 」は、洗い出したリスクをスコアリングし、保有できないリスクを明確化しながら、リスクのスコアを繰り返して下げていくリスク対応の過程を可視化する機能をご提供しています。ぜひご検討ください。