リスクマネジメント その２

【 リスク対応 】

１． リスクの回避
リスクの原因をあらかじめ排除し、リスクをともなう行動を行わないことで、リスクの発生を防ぐ
※ 顧客情報をはきする場合は、アフターサービスやリコールなどの可能性も考えて慎重に判断する必要あ
り。

２． リスクの低減
リスクを許容可能なレベルにまで下げること。
適切な管理策を採用し、脆弱性に対する対策を行うことで、脅威発生の可能性を低下させる。

(ア) 抑止： リスクを意図的に発現させようとする者に対してそうした行為を牽制し、思いとどまらせる
例）メールによる情報漏えい対策には、メール監査を実施している旨を通知する

(イ) 予防： 意図的、偶発的にかかわらず、リスクが発現する可能性を取り除くこと
例）電子ファイルを暗号化して、USB メモリに書き込む

(ウ) 検知： 発現したリスクを早期に発見すること
例）送信したメールが意図したものが受信しているか確認する

(エ) 回復： 損害を局所化し、原状へ復帰するための対処
例）未達のメールを再送信する


３． リスクの移転
契約などで、リスク発生時の損失を他者に移転する
リスクが顕在化した時の事業への影響は大きいが、発生可能性が低いときに採用される
保険、外部委託の2 種類の方法がある


４． リスクの保有
リスクのもつ影響力が小さいため、許容範囲として受容すること
または、実施すべき対策が見当たらない、コストに見合った効果が得られない場合などに経営判断によりリ
スクを受容することもある（残留リスク）


【 リスクの受容 】
リスク保有の結果、残留するリスクが組織の定める評価基準に照らして受容できる範囲であることを経営層が承認すること。

※ 対策を見送ったリスクがあることを認識していることで、認識していないものはリスクの重要ではない



【 リスクコミュニケーション 】
関係者の間でリスクに関する情報交換や情報共有を行うこと
リスク発見やリスク特定のための情報収集、リスク顕在化の防止や被害の回避、低減が目的

平常時： リスクコミュニケーションを行う手順を確立し、維持すること
誰が関係者で、関係者がどのような情報を要求しているかを認識し、活動計画を定める（緊急時のインシデント対応のために訓練が必要）

緊急時 ：計画に則って連絡や発表を行うこと
災害や事故が発生した（発生の可能性を検知した）場合などにおいて、情報の収集、分析、連絡、発表などを通じて、リスクに対する認識の程度を揃え、情報の共有を行うための活動のこと（経済産業省 事業継続計画策定第ドライン）


チェック！
リスクマネジメントそれぞれの段階で記録を残すこと

・ どのような情報資産を対象として
・ どのような脅威と脆弱性を洗い出し
・ リスク分析手法には何を用いて
・ リスク算定の根拠は何かリスク軽減の方策として
・ どのような対策をなぜ妥当と考えたか

最終的に「リスクマネジメント報告書」にまとめて経営層に承認を得る


 【 重 要 】
リスクマネジメントは、刻々と変わっていく環境において、常に適切な措置が理想であり、環境の変化に応じてリスクの評価を継続的に見直していかなければならない（PDCA サイクル）
また、企業の実態に即した形でのリスクマネジメントの仕組みを構築し、PDCA サイクルをまわしていかなればならない