リスクアセスメントとは？概要や効果、実施するステップを解説
リスクアセスメントとは、企業や組織におけるリスクを特定して、そのリスクが原因で起こり得る悪影響などを見積った上で、対策における優先順位の決定と対策を行うプロセスのことです。本記事では、情報セキュリティにおけるリスクアセスメントの概要や効果、実施するステップについて解説します。
目次
リスクアセスメントとは、企業や組織におけるリスクを特定して、そのリスクが原因で起こり得る悪影響などを見積った上で、対策における優先順位の決定と実際の対策を行うプロセスのことです。事業所内の物理的な危険性・有害性に対しても行われますが、情報資産に対して実施するケースもあります。
本記事では、情報セキュリティにおけるリスクアセスメントの概要や効果、実施するステップについて詳しく解説します。リスクアセスメントについて知りたい方、実施を検討している方は、ぜひ参考にしてください。
情報セキュリティにおけるリスクアセスメントとは
情報セキュリティにおけるリスクアセスメントとは、企業や組織の情報資産に存在するリスクの分析・特定・評価を行うプロセスのことです。企業のセキュリティ対策を検討・決定するために実施され、実施後には定期的な監視・評価を行い、必要な場合には対策の見直しも実施します。
ここからは、情報セキュリティのリスクアセスメントに関する以下の項目について解説します。
- 行う目的
- 必要な理由
- 重要な3項目
リスクアセスメントを行う目的
リスクアセスメントを行う目的は、セキュリティの強化です。近年、セキュリティ対策の重要性が増していますが、手法やツールは複数あり全ての実施・利用は困難です。自社の弱点などを洗い出し、優先順位を付けて効果が高いものから行う必要があるでしょう。
リスクアセスメントを実施すれば、情報資産に対する脅威や脆弱性など、潜んでいるリスクの洗い出しが可能です。リスクを把握することで、どのような対策が必要かがわかり、効果的な対策ができるようになります。
リスクアセスメントが必要な理由
リスクアセスメントが必要な理由は、情報やシステムにおける重要度の高まりとサイバー攻撃の増加・高度化です。多くの企業では、業務改善や売上向上など競争力の強化に向け多くのシステムを活用しています。今やシステムやデータ活用が、なくてはならないものになっている企業も多いでしょう。
システムなどの活用によって利便性が向上した一方、企業や組織を狙ったサイバー攻撃が増加しており、新たな攻撃手法も日々生み出されています。万が一、情報漏洩やシステム停止などが起これば多くの被害を受けるため、リスクアセスメントによる対策が必要とされています。
リスクアセスメントにおける3項目
リスクアセスメントでの評価・分析では、以下の3項目が重要となります。
- 機密性（Confidentiality）：許可された者のみがデータの閲覧・操作ができ、不正アクセスや開示から保護されていること
- 完全性（Integrity）：データ内容が正確で、破壊や改ざんから保護されていること
- 可用性（Availability）：必要なときに情報へのアクセスやシステム操作ができること
上記の3要素は「CIA」とも呼ばれており、情報資産の安全性を確保するために必要な基本項目です。
リスクアセスメント実施による効果
リスクアセスメント実施による主な効果は以下の3つです。
- 企業・組織におけるリスクの明確化
- リスクレベルに応じた適切なリソース分配の実現
- セキュリティ対策計画の作成
順に解説します。
企業・組織におけるリスクの明確化
リスクアセスメント実施による最大の効果は、企業・組織におけるリスクの明確化です。リスクの種類や危険度を把握できれば、適切な対策が可能となります。リスクが表に出てから対処しても、手遅れになってしまう可能性があります。リスクを明確化することで、被害を未然に防いだり、最小化したりできるでしょう。
また、データや分析結果を基にリスクを説明すれば、社内での理解を得やすくなります。予算やリソースを分配してもらえる可能性が高まります。
リスクレベルに応じた適切なリソース分配の実現
リスクレベルに応じた適切なリソース分配の実現も、リスクアセスメント実施の効果です。企業ごとに活用しているシステムや重要な情報、リスクが異なり、なにを優先すべきかは違うでしょう。
リスクを明確にすることで、どこにどの程度のリソースを分配すれば良いかを把握できます。また、自社にとって必要不可欠なセキュリティ対策にかかる費用や人手を見積れるため、予算の確保もしやすくなります。
セキュリティ対策計画の作成
リスクアセスメントの実施は、セキュリティ対策計画の作成にも効果的です。サイバー攻撃の種類とそれに対応する方法・対策は複数存在するため、一度に全ての実施は簡単ではありません。リスクの高い項目から計画的に対応することが重要です。
リスクアセスメントを実施するステップ
リスクアセスメントは以下のステップで実施します。
- 情報資産の定義と棚卸し
- リスクの洗い出し
- リスクの評価
- リスク値の算出と優先順位の検討・決定
- リスクへの対応
ここからは、上記それぞれのステップについて詳しく解説します。
1.情報資産の定義と棚卸し
まず、自社における情報資産とはなにかを定義します。一般的に、情報資産とは企業や組織にとって価値ある情報そのものや情報を取り扱う仕組み、ツールのことです。具体的には以下が挙げられます。
- 契約書
- 顧客情報
- 人事情報
- 技術・営業などのノウハウ
- 社員証・名刺
- パソコンやスマートフォン、タブレットなどのデバイス
- サーバー
- ハードウェア
- ソフトウェア
- USBメモリー
- データベース
情報資産が明確になったら、自社に存在する情報資産の棚卸しを行います。棚卸しの際には、併せてどこになにが保存されているかや誰が管理しているかも整理して、情報資産管理台帳などにまとめましょう。
2.リスクの洗い出し
続いて、前述したリスクアセスメントにおける3項目の機密性・完全性・可用性別にリスクを洗い出します。各項目のリスクとは、例えば以下が考えられます。
| 項目 | リスク例 |
|---|---|
| 機密性 |
|
| 完全性 |
|
| 可用性 |
|
リスクの洗い出しの主な方法には、以下の2種類があります。
- 情報資産をベースに洗い出す
- 業務フローをベースに洗い出す
ここからは、上記それぞれの項目について解説します。
情報資産をベースに洗い出す
情報資産の棚卸しを行った際に作成した、情報資産管理台帳を活用する方法です。各資産に対して、どのようなリスクがあるかを洗い出します。情報資産を基にリスクを評価するため、抜け漏れが発生しにくい特徴があります。
業務フローをベースに洗い出す
普段の業務フローや特定の作業工程の振り返りを行いながら、リスクを洗い出す方法です。業務プロセス全体で、どのようなリスクがあるかを確認していきます。実際の業務に基づきリスクを洗い出すため、行動によるリスクも把握しやすい特徴があります。
3.リスクの評価
続いて、洗い出したリスクの評価を行います。評価は属人的な判断で行うのではなく、以下の項目から数値化して客観性を高めます。
- リスクの重要度
- リスクの発生率
- 情報資産の脆弱性
上記の各項目を順に解説します。
リスクの重要度
リスクの重要度は、機密性・完全性・可用性においてどの程度の影響力があるかなどに対する目安を設定して、その度合いを判定します。レベルの段階や内容は各企業で設定可能ですが、3段階で評価する場合の目安例は以下の通りです。
| 機密性（公開範囲） | 完全性（影響範囲） | 可用性（復旧までに許容できる日数） | |
|---|---|---|---|
| レベル1 | 社外に公開している | 社内の一部のみに影響がある | 3日以内ならば停止しても問題ない |
| レベル2 | 社内でのみ公開している | 社内にのみ影響がある | 当日中に復旧する必要がある |
| レベル3 | 社内の一部のみに公開している | 社内外に影響がある | 停止できない |
情報資産を項目ごとに評価して、もっともレベルの高いものを重要度とします。例えば、機密性がレベル1、完全性が3、可用性が2だった場合の重要度は、3になります。
リスクの発生率
リスクの発生率も重要度と同様に、基準を設定してそれに対する度合いを評価します。例えば、レベル1から3で評価する場合の各レベル例は以下の通りです。
- レベル1：発生率15％未満
- レベル2：発生率15％以上65％未満
- レベル3：発生率65％以上
情報資産の脆弱性
情報資産の脆弱性も基準を設けて評価します。例えば、適切な管理度合いを基準に評価する場合の各レベル例は以下の通りです。
- レベル1：適切に管理されている
- レベル2：管理方法に改善の余地がある
- レベル3：管理されていない
4.リスク値の算出と優先順位の検討・決定
リスクを評価したら、その評価を基に以下の計算式で各情報資産のリスク値を算出します。
リスク値＝重要度レベル×発生率レベル×脆弱性レベル
例えば、重要度レベルが3で発生率レベルも3、脆弱性レベルが2の場合、リスク値は「3×3×2＝18」となります。続いて、算出されたリスク値を活用して対応範囲や優先順位の検討・決定を行います。
5.リスクへの対応
最後にリスクへの対応を行います。また、対応後には定期的に行った施策の効果検証が重要です。セキュリティ対策は、一度行えば完了するものではありません。継続的に状態を確認して、維持・改善し続けることが必要です。
ここからは、リスクに対する以下の対応方法を解説します。
- 低減
- 回避
- 移転
- 保有
低減
低減とは、リスクが発生する可能性や発生した際の影響範囲を小さくする対策のことです。具体的には、サイバー攻撃を防止するためにセキュリティ対策ツールを導入したり、不正アクセスを防ぐ目的でアクセス権限を厳格化して定期的に見直したりすることが該当します。
回避
回避とは、業務やプロセスの変更などによりセキュリティ発生を抑制する対策のことです。例えば、情報資産の漏洩や外部流出を防ぐ目的で、パソコンの持ち出しやUSBへのデータコピーを禁止したり、オンプレからクラウドサーバーに切り替えたりすることが該当します。
移転
移転とは、リスクを第三者に移す対策のことです。例えば、リスクが生じる業務をアウトソーシングする、サイバー攻撃を受けたときのために保険に加入するなどが挙げられます。
保有
保有とは、あえてそのままにしておくことです。全てのリスク対応には多くのコストや手間、時間がかかるため簡単ではありません。リスクが発生した際の対応コストと未然に防ぐコストを比較して、対応コストの方が少なければ保有するのも良いでしょう。
まとめ
情報セキュリティにおけるリスクアセスメントとは、企業や組織の情報資産に存在するリスクの分析・特定・評価を行うプロセスのことです。企業や組織のセキュリティ向上を目的に実施されます。リスクアセスメントを実施すれば、リスクの明確化やリスクレベルに応じた適切なリソース分配の実現、セキュリティ対策計画の作成が可能です。
近年は、日々新たなサイバー攻撃が生み出されており、高度化・多様化しています。定期的にリスクアセスメントを実施して、セキュリティを向上させましょう。
