【1-3】リスクマネジメント

リスクとは、損害が発生する可能性のことを表すことです。
リスクマネジメントでは、組織で得られる価値とリスクの割合が適切であるかを判断します。
セキュリティ実務者は受け入れることができる需要可能なリスクを決定することが任務となっています。

リスクマネジメントは、資産の評価、リスクの特定、リスクの評価、リスクへの対応の4ステップで行います。

資産の評価

企業の資産とは、財産(データも含む)、人材、プロセスなどが含まれます。
資産の価値は、絶対的な金銭的価値で測れるものもあれば、相対的価値を持つものがあります。
ある部署では重要な資産でも、ほかの部署では価値のない場合もあります。

資産の重要性を判断するツールとして、ビジネス影響度分析(BIA)があります。
ビジネス影響度分析(BIA)は、経営にどのくらい影響するかを考え、資産に重要度をつける方法です。

また、保有している資産を正しく把握するためには、資産インベントリ(資産の管理)が必要となります。

リスクの特定

リスクは、脅威と脆弱性が組み合わさった時に発生します。
脅威と脆弱性のどちらか単体だけでは、リスクの発生は起こりません。
リスクの特定では、資産に関連する脅威と脆弱性を特定していくステップとなります。

脅威

脅威とは、資産にリスクをもたらす原因となるものです。

脅威は絶え間なく変化しているため、常に脅威の状況を評価していく必要があります。

脆弱性

脆弱性とは、リスクを高めたり、現実化する可能性を高める組織運営に関するものです。

リスクの評価

リスクを特定したので、次はリスクを評価していきます。
リスクが現実化する可能性や考えられる損失、危害の種類を正確に測定することが重要になります。

リスクは一般的に影響、可能性、露出の3要素で評価します。

分析には定量分析と定性分析の2種類があります。

• 定量分析では、感覚ベースの主観的な分析をします。分析の時間や予算がない場合に行うことが多くなります。
• 定性分析では、データベースの客観的な分析をします。分析の時間や予算、データ分析のノウハウがある場合に行うことが多くなります。

リスクへの対応

最後にリスク発生時の対応方法に関する検討を行います。
リスクへの対応は、回避、受容、低減、移転の4種類が一般的です。

達成目標

本章での達成目標は以下となります。

【1-3-1】資産の評価、関連する課題、利益への貢献を理解している。
【1-3-2】脅威と脆弱性の違いを理解し、説明できる。
【1-3-3】リスク評価と分析の一般的な手法を理解し、説明できる。
【1-3-4】リスク管理の一般的な4つの手法を理解している。