ISMSのリスクアセスメント手法48選 

こんにちは、日本初のISMSオートメーションツールを提供しているSecureNaviの井崎です。

仕事柄、多くの組織の情報セキュリティリスクアセスメントを目にします。ISMSには様々な取り組みがありますが、その中でも「リスクアセスメント」は非常に重要な取り組みであると同時に、各組織ごとのバラツキが大きい取り組みでもあると感じています。

このバラツキの要因となっているのは、規格の曖昧さです。情報セキュリティリスクアセスメントの取り組みは、ISMSの規格「JIS Q 27001」の「6.1.2」という章に規定されていますが、分量はたったの21行。A4に印刷すると、用紙半分程度のボリュームしか書かれていません。速読すると10秒で読めます。

良くいうと「自由度が高い」、悪く言うと「あいまい」な、情報セキュリティリスクアセスメントですが、それ故に、21行の日本語を、各組織のISMS担当者が頭を悩ませつつ解釈し、個性あるリスクアセスメント手法を開発し、実施しています。

今回は、それらのリスクアセスメント手法を、「リスクアセスメントの対象」「リスク（脅威・脆弱性）の情報源」「リスク値の出し方」という3つの観点を用いて、体系的に眺めてみます。

各観点のパターンを組み合わせると、合計48通りのリスクアセスメント手法が出来上がります。すでにISMSを取得している組織は、他社事例として、これからISMSを構築しようとしている組織は、自社にあったリスクアセスメント手法を選ぶ参考として、ご一読いただければと思います。

【前提】今回の対象組織

具体例を述べやすくするために、以下の組織を想定します。

【リスクアセスメントの範囲】〇〇株式会社 営業部
【業務で取り扱う情報】提案書、契約書のみ（いずれも電子データ。オフィス内にPCあり）
【業務の性質】法人向け新規営業活動
【業務の内容】
　(1) お問い合わせいただいたお客様に自社製品の提案を行う
　(2) 受注したらお客様と契約書を締結する

こんなシンプルな営業部はどう考えても存在しないですが、わかりやすく説明するために、上記を仮定します。

【観点1】リスクアセスメントの対象

まず、何に対してリスクアセスメントを行うか、について考えてみます。詳しい方であれば「情報資産に対してリスクアセスメントを行うのが当たり前だろう！」と言われるかもしれませんが、実務上は以下の4つに分かれるケースが多いようです。

(A) 情報資産に対して

規格に書かれた日本語を、素直に捉えたパターンです。私も初めて規格を読んだとき、まず思いついたのはこの方法でした。

規格では「情報の機密性・完全性・可用性の喪失の伴うリスクを特定する」と書かれているので、それを文字通り捉えると、例えば以下のような表を使ってリスクの特定を行うことができます。

つまり1列目に情報資産を書いて、２列目以降に、機密性・完全性・可用性の喪失に伴うリスクを記載する方法です。

もちろん、この方法でも、規格の要求事項は満たしているので、審査をクリアすることができます。問題点としては、情報資産が増えたときに、表の行数が多くなってしまうこと、同じようなリスクを繰り返し記載する必要があることです。

(B) 情報資産グループに対して

そこで、複数の情報資産を「グループ」にまとめて、そのグループに対してリスクアセスメントを行う方法が考えられます。この方法は、ISMSユーザーズガイドなどで紹介されている方法です。

どのような切り口でグループ化するかについては様々な考え方がありますが、今回は「媒体の種類」と「保管場所」の、2つの切り口でカテゴリ分けしてみます。

そうすると、以下のような表になります。情報資産カテゴリには、見えない情報資産が紐づいています。

今回は、対象となる情報資産が2つしかないので、先ほどの例と、大して手間は変わりません。しかし、情報資産が多くなればなるほど、グループ化することによる手間の削減効果を実感できます。

私が今まで見た経験則だと、この方法でリスクアセスメントを行っている組織が比較的多いイメージです。

(C) 業務プロセスに対して

少し切り口を変えて考えてみます。規格では「情報の機密性・完全性・可用性に紐づくリスクを特定する」と書かれていますが、これは必ずしも「情報資産（あるいは情報資産グループ）を起点としてリスクを特定する」ことを意味していません。

何を言っているかよくわからないかもしれませんが、例えば、以下のような表を使ってリスクを特定することも可能であるということです。

今までは、初めの列が「情報資産」（もしくは「情報資産グループ」）でした。しかし、この例では「業務」になっています。つまりは「情報資産起点」ではなく「業務プロセス起点」で、リスクを特定する方法になります。当然、洗い出すリスクは、規格の要求事項の通り「情報の機密性・完全性・可用性に紐づくリスク」である必要があります。

これを「プロセスベースのリスクアセスメント」と呼びます。情報資産単位で洗い出すより、網羅性に劣るというデメリットがありますが、その分、日々の業務に根付いたリアルなリスクを洗い出すことができるというメリットがあります。

例えば、情報資産ベースで「提案資料の情報漏えい」を考えたとき、リスクアセスメントに馴染みのない人にとっては、リスクを洗い出すのが難しかったりします。そんなときには、業務プロセスベースで「顧客に提案業務を行っているときの情報漏えい」といったように視点を変えることにより、案外リスクがいっぱい出てきたりします。

情報資産ベースでのリスクアセスメント手法しか経験のない方にとっては、「本当にこんなリスクアセスメント方法でもよいのか？」と疑問に思われるかもしれませんが、ちゃんと公式の「ISMSユーザーズガイド リスクマネジメント編」でも紹介されている方法です。

煩雑なリスクアセスメントも自動化！SecureNaviでISMS認証取得にかかる時間を大幅削減
SecureNaviは、ISMS認証やPマークの取り組みを効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒「SecureNavi」のサービス概要を知る

(D) 詳細な業務プロセスに対して

業務プロセスを更に細分化してリスクアセスメントを行うこともできます。

この例では、先ほど説明した「業務プロセスに対するリスクアセスメント」を、更に細分化したケースです。今回は表形式で表現していますが、業務フローをわかりやすく表現するために、フロー図を活用するケースが多いです。また、各業務に紐づく情報資産を、インプット・アウトプットに分けて表現することも多いです。

勝手なイメージですが、このフォーマットは、昔からずっとISMSを運用している組織に多いイメージです。作成するのにも時間がかかりますし、一度作成したあとに、業務フローが変更になったときに、修正するのにも時間がかかります。確実に運用できれば漏れのないリスクアセスメントが実施でき、ある意味、教科書的には模範解答のリスクアセスメント手法ではありますが、ISMS専任の担当者や、リスクアセスメントにしっかりと時間を裂く組織文化がないと、維持・管理していくのは大変な印象があります。きちんと運用できれば素晴らしいパフォーマンスを発揮しますが、そうでなければすぐに形骸化してしまうデメリットもあります。

【観点2】リスク（脅威・脆弱性）の情報源

リスクの対象について考えたあとは、どのような情報源を参照としてリスクを洗い出すかについて考えてみたいと思います。

(A) 思いつきパターン

意外と多いのが、担当者の経験に頼り切る「思いつきパターン」です。例えば「契約書」という情報資産、あるいは「契約書を送付する」というプロセスがあったときに、リスクを思いつきで記述し、それをリスクとしてしまう方法です。「誤送信」「記入ミス」「紛失」...など、思いつくものをひたすら上げていきます。

この方法は、まず時間もかからないし、複雑な仕組みが不要であるというメリットがあります。短期でISMSを構築する必要がある場合や、知見が豊富なコンサルタントが支援する場合に向いています。一方で、網羅性・再現性がないのがデメリットです。規格では、リスクアセスメントは「一貫性及び妥当性があり、かつ、比較可能」であることを求めています。この方法だと、リスクアセスメントを行う人が変わってしまった場合、一貫性がなかったり、前回のリスクアセスメント結果との比較が難しかったりするため、そのようなデメリットを許容できるのかが問題になってきます。

担当者の経験や力量に依存するこの方法は、「非形式的アプローチ」と呼ばれることもあります。

(B) 27005パターン

そこで登場するのが、リスクを特定する際に、外部の文献を利用する方法です。特定の情報源をもとにリスクを特定することで、誰が作業を行っても同じリスクを特定する事ができます。王道かつ教科書パターンは、ISO/IEC 27005 を参考にする方法です。「リスクは脅威と脆弱性の掛け合わせで表現できる」という考え方に基づいて、ISO/IEC 27005 に記載されている脅威リストや脆弱性リストを確認し、リスクを特定していく方法です。

例えば、今回、例に上げている会社では、提案書をGoogleDriveに保存しています。GoogleDrive はソフトウェアです。ISO/IEC 27005には、ソフトウェアのリスクとして、「アクセス権の誤った割当」「パラメータの設定ミス」「パスワードが貧弱」「バックアップの不足」など、23のリスク（脅威と脆弱性の組み合わせ）が記載されています。これらをうまく活用することで、網羅的なリスクアセスメントを実現できます。

ISO/IEC 27005 では、リスクは「ハードウェア」「ソフトウェア」「ネットワーク」「個人」「サイト（拠点）」「組織」に分けて掲載されています。そのため、情報資産グループに対するリスクアセスメントと相性が良いです。

問題点としては、ISO/IEC 27005を入手するのに、まずお金が必要で、しかも英語であるということです。ISMSユーザーズガイドに一部の日本語訳が掲載されているのですが、あくまで一部です。残りは自分たちで規格を購入し、翻訳する必要があります。日本語に翻訳されたものがいつでも利用可能になっていれば、多くの組織のリスクアセスメントの質を向上できるはずなのに...いくら著作権の都合があれど、このあたり、もっとなんとかならなかったのかなぁと思います（コンサル会社が日本語訳を保有していることは多いと思います。もし日本語訳を簡単に手に入れられる方法をご存知の方がいれば教えて下さい。欲しいです）。

(C) 27002パターン

上述の通り、ISO/IEC 27005 を使いこなすのは難しいです。そこで、もっと手軽に行う場合に活用できるのが、ISO/IEC 27002（すなわち、ISO/IEC 27001 附属書A）です。

ISO/IEC 27002は、厳密には「管理策集」、言い方を変えると「セキュリティ対策の一覧」なのですが、管理策とリスク（脆弱性）は表裏一体であると考えて、セキュリティ対策からリスクを洗い出す方法になります。俗に「ISO/IEC 27002 によるベースライン分析」とも呼ばれます。

書き方は色々ありますが、ISO/IEC 27002の項目（114項目）を縦に記載し、各項目に対して、リスクや自社で行っているセキュリティ対策を書いていく方法をよく見かけます。

情報資産を起点としていないので、各管理策を検討するときに、情報資産軸での検討漏れがないように注意する必要があります。網羅性は確保できますが、なんせ114も項目があるので、結構大変です。

(D) オリジナルパターン

最後に紹介するのが、オリジナルパターンです。自社で独自に「リスクリスト」や「脅威・脆弱性カタログ」を整備して、それを情報源として、リスクアセスメントを行う方法です。ISMSの構築・運用にコンサルの支援を受けている場合、コンサルからこれらのリストを提供されるケースもよく見られます。

自組織の業務内容や、取り扱う情報資産の傾向にあったリストをうまく作成することができれば、非常に質の高いリスクアセスメントを実行することができます。例えば、クラウドサービスを積極的に活用している組織であれば、クラウド利用に関するリスクをリストに追加することで、効果的なリスクアセスメントが実現できます。

このパターンでよく見られる悪しき傾向として、はるか昔に作られたリスクリストを思考停止で利用し続けてしまうことが挙げられます。情報セキュリティに関する最新の事情を反映できていない、つまり、最近だと、例えばサイバーセキュリティへの備えやクラウドサービス固有のリスクなどが特定できないと、時代遅れのリスクアセスメント結果になってしまいます。自社の中でリストを整備するのは良い取り組みですが、数年に一度は、メンテナンスすることが望ましいでしょう。

システムがリスクアセスメントを自動提案！ISMS自動化ツール「SecureNavi」
SecureNaviは、ISMS認証やPマークの取り組みを効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒「SecureNavi」のサービス概要を知る

【観点3】リスク値の出し方

洗い出したリスクには、点数を付けて、優先順位付けし、評価する必要があります。この点数のことを、一般的に「リスク値」（または「リスクレベル」）と呼びますが、このリスク値の付け方も、各社によって個性が現れるポイントです。

A. (発生可能性, 影響度）→ リスク値 パターン

まずはシンプルパターンから紹介しましょう。規格を素直に解釈した方法です。リスクの「発生可能性」と、そのリスクが発生したときの「影響度」の2つの値を決めて、その2つの数字を掛け算したり、足し算したり、最大値を取ったりしながら、リスク値を決定するパターンです。

具体例をあげると、例えば「泥棒に侵入されてPCを持ち出される」というリスクに対して、泥棒に侵入されてPCを持ち出される可能性は低いから「1点」、PCを持ち出されたときの影響は非常に大きいから「3点」のように、点数を付けていくイメージです。

非常にわかりやすいですが、この手法は、人によって評価がばらつく事が多いです。リスク値をつけたあとに複数人で確認したり、話し合いながら点数付けの精度を高めていく工夫が必要になります。

B. (脅威, 脆弱性, 重要度) → リスク値 パターン

次に紹介するのが、脅威の発生可能性、脆弱性の弱点度合い、資産の重要度、という3つの数字をごにょごにょして、リスク値を決める方法です。

先ほど例に上げた「泥棒に侵入されてPCを持ち出される」といったリスクに対しては、例えば「不正侵入が発生する」可能性は低いから1点、「不正な侵入を防ぐための対策はやや甘い」から3点、PCには当社にとって非常に重要な資産だから5点、といったように、リスクに対して3つの視点から分析を行い、それら3つの値を、適当な計算式に当てはめて、リスク値を算出します。

IPAが提供する「中小企業の情報セキュリティ対策ガイドライン」でも、これに近しい方法が紹介されています。

先に説明した「発生可能性」と「影響度」の2つの視点でリスク値を算出する方法と比べると、パラメータが増えているため、より精緻なスコアを算出することが可能です。しかし、これでも問題が残ります。先ほど「PCには当社にとって非常に重要な資産だから、重要度は5点」と言いましたが、PCが盗まれたとき（機密性の喪失）と、PCが壊れたとき（可用性の喪失）の影響は、どちらも同じ「5点」で良いのでしょうか？

こうして、更にパラメータが増えていくことになります。普通の人であれば、このあたりから頭がついていかなくなりますが、雰囲気だけでも理解いただければと思います。

C. (脅威, 脆弱性, CIAスコア(資産価値)) → リスク値 パターン

そこで登場するのが、情報資産の資産価値（重要度）をCIAスコアで表現するという方法です。CIAとは、機密性・完全性・可用性の通称です。先ほどは強引に「PCには当社にとって非常に重要な資産だから5点」と決めてしまいましたが、機密性の喪失の場合は「5点」、可用性の喪失の場合は「3点」といったように、リスクのCIAによって点数を使い分けることで、更に精緻なリスク値を算出する試みとなります。

ISMSユーザーズガイドでも紹介されている教科書的な方法ではありますが、お察しの通り、非常に手間がかかります。大変です。あまりやりたくないです。

パラメータを増やすことでリスク値は精緻になりますが、一方で保守性を失ってしまうというデメリットがあります。保守性が失われると、メンテナンスが行われなくなり、書類と実態との乖離が進み、ISMSの形骸化につながってしまいます。結果、審査ウケは抜群だが、実態が全く伴っていない、虚無Excelが爆誕することになりますので、そうならないように注意が必要です。

関連記事：情報セキュリティにおけるリスクアセスメントとは？必要性や基本的な進め方について解説

まとめ

上記の内容をまとめると、以下のようになります。

【観点1】 リスクアセスメントの対象
　A. 情報資産パターン
　B. 情報資産グループパターン
　C. 業務プロセスパターン
　D. 詳細な業務プロセスパターン

【観点2】リスク（脅威・脆弱性）の情報源
　A. 思いつきパターン
　B. 27005パターン
　C. 27002パターン
　D. オリジナルパターン

【観点3】リスク値の出し方
　A. (発生可能性, 影響度）→ リスク値 パターン
　B. (脅威, 脆弱性, 重要度) → リスク値 パターン
　C. (脅威, 脆弱性, CIAスコア(資産価値)) → リスク値 パターン

3つの観点だけでも、組み合わせの数としては、4×4×3=48通りのリスクアセスメント手法の出来上がりです。当然、今回ピックアップした3つの観点以外の観点もありますから、それらを含めると、更にいろいろな手法を考えることができます。

さて、幸いなことに、私の手元には、いくつかISMS関連の本があります。これらの本が、どのようなリスクアセスメントを紹介しているのか、まとめてみようと思います。

ISO/IEC 27001 情報セキュリティマネジメントシステム(ISMS) 構築・運用の実践（2014年）

【1:対象】B.情報資産グループに対して
【2:リスク】D.オリジナルパターン
【3.リスク値】A. (発生可能性, 影響度）→ リスク値 パターン

ISO27001の規格と審査がこれ１冊でしっかりわかる教科書（2019年）

【1:対象】B.情報資産グループに対して
【2:リスク】D.オリジナルパターン
【3.リスク値】C. (脅威, 脆弱性, CIAスコア(資産価値)) → リスク値 パターン

中小企業の情報セキュリティ対策ガイドライン（2019年）

【1:対象】A.情報資産に対して
【2:リスク】D.オリジナルパターン
【3.リスク値】B. (脅威, 脆弱性, 重要度) → リスク値 パターン

ISO27001文例集（2019年）

【1:対象】A.情報資産に対して
【2:リスク】A. 思いつきパターン
【3.リスク値】どれにも当てはまらず

情報資産リスクアセスメントの実務（2019年）

【1:対象】B.情報資産グループに対して
【2:リスク】D.オリジナルパターン
【3.リスク値】B. (脅威, 脆弱性, 重要度) → リスク値 パターン

いや、リスクアセスメント、難しすぎませんか・・・

結局は、なにか一つの方法を盲目的に信じすぎずに、自社にあった適切なリスクアセスメントを選択し、取り組む事が重要です（投げやり）。

複雑なリスクアセスメント手法にお悩みではありませんか？

コンサルタントごとに手法が異なり、Excelも複雑怪奇になりがちなリスクアセスメント。担当者自身も「何をやっているのかよくわからないまま運用している」というケースは少なくありません。 そんなブラックボックス化した運用を透明化・効率化するのが「SecureNavi」です。

• ガイドに従って入力するだけで、標準的なリスクアセスメントが完了

• 複雑なExcel管理や、コンサルタントへの過度な依存を解消

• 組織の状況に合わせつつ、誰でも運用できるシンプルな仕組みを実現

「もっとシンプルで、誰にでも説明できる運用に変えたい」とお考えの方は、ぜひサービス紹介資料をダウンロードしてみてください。