リスクアセスメントとは
リスクアセスメントとは、企業や組織が保有する大切な情報（顧客データや製品の設計図など）にどのような危険（リスク）が潜んでいるかを洗い出し、その危険がどれくらい重大であるかを分析・評価する一連の手順のことです。セキュリティ対策を行う際、すべてのリスクに対して同じように予算や時間をかけるのは非効率です。そのため、まずは現状を正しく把握し、どのリスクに対して優先的に対策を立てるべきかを決める基準としてリスクアセスメントが実施されます。
リスクアセスメントは一般的に、以下の3つのステップで進められます。
- リスク特定：どのような脅威や脆弱性があるかを洗い出す。
- リスク分析：発生する確率と、被害を受けた際の影響度を見積もる。
- リスク評価：基準値と比較し、対策の優先順位を決定する。
具体例
会社のノートパソコンの管理を例に考えます。
- リスク特定：「外出先での置き忘れや盗難によって、顧客情報が漏洩する危険がある」というリスクを見つけます。
- リスク分析：「営業部員が毎日持ち歩くため発生確率は『中』、顧客情報が入っているため影響度は『大』」と算出します。
- リスク評価：「優先度『高』として、パスワードロックの義務化やデータ暗号化の対策を施す」と決定します。
もう少し詳しく
リスクアセスメントは、情報セキュリティマネジメントシステム（ISMS）の構築・運用において中核をなすプロセスです。組織が管理すべき情報資産の洗い出しを行い、それに対して発生し得る「脅威（リスクを引き起こす要因）」と「脆弱性（システムや運用上の弱点）」を組み合わせてリスクの大きさを測ります。例えば、情報資産が「重要顧客名簿」で、脅威が「不正アクセス」、脆弱性が「パスワード設定が簡易」である場合、これらが重なることで「個人情報漏洩」という具体的なリスクが顕在化します。リスクアセスメントを実施することにより、限られたセキュリティ予算や人的リソースをどこに集中させるべきかを意思決定するための客観的なデータが得られます。また、リスクは一度評価すれば終わりではなく、新たなIT技術の導入やサイバー攻撃手法の進化、組織体制の変更などに応じて定期的に再評価（見直し）を行うことが重要です。
試験でのポイント
試験においては、リスクアセスメントの3つのステップ（特定・分析・評価）のそれぞれの定義と順番、および具体的な作業内容を正確に区別できることが問われます。例えば、「脅威と脆弱性を組み合わせてリスクの大きさを計算するプロセスはどれか」という問いに対しては「リスク分析」が正解となります。「基準値（リスク許容度）と比較して対策の要否や優先順位を決めるプロセスはどれか」という問いには「リスク評価」が正解です。また、リスクの大きさを計算する方法には、金額ベースで算出する「定量的リスク分析」と、スコアやマトリクスで段階評価する「定性的リスク分析」の2種類がある点も頻出の知識であるため、それぞれの特徴と長所・短所をしっかりと区別して整理しておきましょう。
関連する用語
リスクアセスメントと関係の深い用語には、評価されたリスクに対して具体的な防衛策を適用する「リスク対応（回避・低減・移転・受容）」、情報を客観的数値で分析する「定量的リスク分析」、そして経験や主観を交えてマトリクスで評価する「定性的リスク分析」があります。