リスクマネジメント その１

（目 的）
リスクに関して組織を指揮し管理する調整された活動(JIS TR Q 0008:2003)
情報資産に影響を及ぼす可能性のあるセキュリティリスクを識別し、管理し、最小限に抑えるためのプロセス

（内 容）
リスクとは、「ある脅が、資産又は資産グループの脆弱性につけ込み、そのことによって組織に損害を与える
可能性。これは、事象の発生確率と損失の大きさの組み合わせによって測定できる。」（JIS Q 13335-1:2006）と定義されている。



リスクマネジメントの構成
・リスクアセスメント
　　リスク分析
　　　　リスク因子の特定
　　　　リスクの算定
　　リスク評価

・リスク対応（リスクコトロール）
　　リスクの回避
　　リスクの低減
　　リスクの移転
　　リスクの保有

・リスクの受容

・リスクコミュニケーション



【 リスクアセスメント 】

1. リスク分析

（リスク因子の特定）
現実に発生すれば損失をもたらすリスクが、情報システムのどこに潜在しているかを識別し、影響の大きさを測定する

・ 情報資産価値の評価
定性的（高、中、低）、定量的評価を行う

・ 脅威
システム又は組織に損害を与える可能性があるインシデントの潜在的な原因（JIS Q 13335-1:2006）

・ 脆弱性
ひとつ以上の脅威がつけ込むことのできる、資産または資産グループがもつ弱点（JIS Q 13335-1:2006）


（リスク算定）
リスクの大きさ = リスクが顕在化する確率（事象の発生確率） × リスクが顕在化した場合の損失（事象の結果）



リスク分析手法

① GMITS(JIS Q 13335-3)

・ ベースラインアプローチ
国際標準や管理策集を参照しながら、管理策セットを選択する。
長所： 個々の情報資産ごとのリスク分析は行わないため、簡単に実施でき、費用対効果に優れている
短所： 参照する基準類によって、対策レベルが高すぎたり低すぎたりして、組織に適した管理策が適
用できないことがある。

・ 詳細リスク分析
個々の資産に対して、「資産価値」「脅威」「脆弱性」「セキュリティ要件」を識別してリスクを評価する。
① レビュー対象の確定（どの業務、どの情報システムかなど）
② 資産の特定
③ 資産の評価と資産間の依存関係の確定
④ 脅威の評価
⑤ 脆弱性の評価
⑥ 既存および計画中の管理策の確認
⑦ リスクの評価

長所 ：適切な管理策の選択ができる
短所 ：多大な時間と労力、専門知識を必要とし、緊急に対応が必要なリスクへの処置が遅れる

マトリクス表により、プライオリティの付けができる


・ 非形式的アプローチ
分析対象に精通した個人または外部コンサルタントの経験的な判断によって行う。
長所 ：短時間で実施でき、費用対効果にも優れている
短所 ：リスクセスメントの結果を正当化することが難しく、主観が介在する恐れがある


・ 組み合わせアプローチ
ベースラインアプローチと詳細リスク分析の組み合わせで、重要な資産に対しては詳細リスク分析、それ以外はベースラインアプローチを適用する。
最初に上位リスク分析を行い、どの情報システムにどちらのアプローチが適切かを確定する。



② JRMS(JIPDEC Risk Management System)

質問票に基づいて、経営層、リスクマネジメント部門、情報システム部門、ユーザ部門それぞれに自己点検を行い、組織がもつ情報システムリスクの脆弱性・弱点を明確化する。 ＣＭＭ成熟モデルなどを取り入れている
J

RMS 判定基準
レベル０ 　未認識 　　　組織内でまったく意識されておらず、何もしていない
レベル１　 初期 　　　　　組織内で部分的にしか実施されていない
レベル２ 　反復可能　　組織内で概ね実施されているが、標準がない
レベル３ 　定義 　　　　　組織内で標準が作られ、それに従って実施されている



2. リスク評価
リスクの重大さを決定するために、算定されたリスクを与えられたリスク基準と比較するプロセス（JIS Q
0008:2003）

与えられたリスク基準　⇒　経営者により判断された評価基準

リスクの算定で得られたリスクの重大さを見比べて、どのリスクに対して、どのような対処をするか、あるいは
対処をしないのかの判断を行うもの。

対策コストと、対策をしなかった場合のコスト（損害想定額）のバランスを考える


リスク分析の結果を受けて、具体的な対策を検討する際、「予防対策」「緊急対策」「災害対策」を考慮して対応
を決定する

・ 予防対策： 情報資産に対する損害を未然に防ぐこと
・ 緊急対策： リスク発生時に損害の拡大を防ぐこと
・ 災害対策： 被災時でも事業を継続させること