情報セキュリティリスクアセスメントとリスク対応の実務

リスクを見極めるでは、リスクの特定・分析・評価と、その後の対応を分けて考えます。用語を覚えるだけでなく、事例の条件に合う対策を選べるように整理しましょう。

科目Aで基本的な意味を確認し、科目Bでは「守る情報・起きた事象・組織のルール・担当者の権限」を読み取ります。本文の確認問題は、考え方を練習するためのオリジナル問題です。

リスクの特定・分析・評価と、その後の対応を分けて考えます。比較表と事例問題で確認した後は、正解以外の選択肢が条件に合わない理由も説明してみてください。

1. リスクマネジメントの全体フロー（JIS Q 27001準拠）

リスクアセスメントは特定・分析・評価からなり、その結果を基にリスク対応を検討します。リスクマネジメント全体では、対象や評価基準の設定、関係者との意思疎通、監視・見直しも行います。

フェーズ	プロセスの名称	主な作業内容	実務上のポイント
リスクアセスメント	① リスク特定	組織の情報資産を洗い出し、関連する脅威と脆弱性を特定する	台帳の網羅性、非IT資産（紙文書・施設）の考慮
リスクアセスメント	② リスク分析	発生可能性（頻度）と影響度（損失規模）を算定し、リスクレベルを決定する	定性分析（大中小・マトリクス）または定量分析（金額試算）
リスクアセスメント	③ リスク評価	算定したリスクレベルを、組織が定めた「リスク受容基準」と比較する	優先順位づけ、対応が必要なリスクと許容できるリスクの選別
リスク対応	④ リスク対応	リスク回避・リスク低減・リスク移転・リスク保有のいずれかを選択・実施する	対策コストと効果のバランス、実施計画の策定

2. 4大リスク対応の分類と具体例

対応の考え方は、回避・低減・移転（共有）・保有（受容）に整理できます。一つのリスクに複数の対応を組み合わせることもあります。

対応	意味	例と注意
回避	リスクを生じさせる活動をやめる・変更する	危険なサービスの提供を中止する。組織全体のリスクがゼロになるわけではない
低減	発生可能性や影響を小さくする	更新、アクセス制御、教育など
移転・共有	損失や責任の一部を他者と分担する	保険や契約。補償外の損失や自社の管理責任は残る
保有・受容	評価したリスクを責任者が受け入れる	基準と権限に従って判断し、継続して監視する。単なる放置とは異なる

3. 残留リスクと受容の責任

セキュリティ対策をいくら強固に施しても、リスクを完全にゼロにすることは不可能です。リスク対応を行った後に残るリスクを「残留リスク」と呼びます。

責任者の判断
根拠：対策後に残るリスクを記録し、リスク所有者が組織の基準と権限に従って受容を判断します。基準を超える場合は追加対策や上位者へのエスカレーションを検討します。
確認する点：現場の担当者が権限なく放置することとは異なります。承認者の役職をCISOや社長に固定せず、設問に示された責任分担を確認します。

4. 科目B形式オリジナル実戦シナリオ演習

演習1：リスク対応の4分類判定問題

〔背景・企業概要〕A社はオンライン英会話スクールを運営する企業である。年次リスクアセスメントの結果、受講生管理システムにおけるクレジットカード情報の漏えいリスクが、組織の受容基準を大きく超えていると評価された。

〔A社の対策案〕A社では、自社サーバにクレジットカード番号を一切保存・通過させない「トークン決済代行サービス」を導入し、さらに万一の不正利用被害の損害を補償するサイバーセキュリティ保険に加入することにした。

〔設問〕A社が実施した対策におけるリスク対応の組合せとして、最も適切なものはどれか。

選択肢	トークン決済代行サービスの導入	サイバーセキュリティ保険の加入
ア	リスク低減	リスク移転
イ	リスク回避	リスク低減
ウ	リスク低減	リスク保有
エ	リスク移転	リスク回避

【正解】：ア
【正解の理由】：自社でカード情報を保持せず安全な決済代行を利用することは、脆弱性を減らし漏えい可能性・影響度を下げる「リスク低減」です。また、保険加入によって金銭的損害を第三者（保険会社）と分担することは典型的な「リスク移転」です。
【誤答解説】：クレジットカード決済自体をやめる（銀行振込のみにする）場合は「リスク回避」ですが、決済代行を利用して業務を継続しているため回避ではありません。

演習2：残留リスクと承認権限の判断問題

〔背景・企業概要〕精密機械メーカーB社では、工場内の産業用制御システム（OT）が一部古いOSで稼働している。製造ラインの専用ソフトウェアが最新OSに対応しておらず、セキュリティパッチの適用が不可能な状態である。

〔B社の現状と検討〕情報セキュリティリーダーのCさんは、OTシステムを外部インターネットおよび社内OAネットワークから物理的・論理的に完全遮断するネットワーク分離策を講じた。しかし、保守用USBメモリの誤接続等によるマルウェア感染リスクが依然として完全には排除できない（残留リスクが存在する）。

〔設問〕Cさんが次に行うべき業務手続きとして、最も適切なものはどれか。

ア：ネットワークを分離したことでリスクは完全に解消されたと見なし、リスク管理台帳から当該システムを削除する。
イ：製造ラインの停止リスクを避けるため、Cさんの判断でUSBメモリの使用を全面許可し、作業ログの記録も省略する。
ウ：ネットワーク分離後に残る残留リスクの内容と影響を報告書にまとめ、CISOおよび経営陣に提示して、正式なリスク保有（受容）の承認を得る。
エ：古いOSを搭載した機器のメーカーに対し、無償で最新OS対応ソフトウェアを即日開発するよう裁判所に提訴する。

正解：ウ
根拠：ネットワークを分離してもUSB等による侵入の可能性が残るため、残留リスクを評価して記録し、責任者へ報告して判断を受けます。この事例でCISO・経営陣へ報告するのは、組織の承認ルールに従うためです。
確認する点：台帳から削除したり、残る危険を隠して運用したりすると、受容の判断と継続監視ができません。

5. まとめと重要チェックリスト

アセスメント：特定→分析→評価。その後に対応を決める。
対策と保険など、複数の対応を組み合わせられる。
残留リスクはリスク所有者が、定めた基準と権限に従って受容を判断する。

出典と仕様を確認する

IPA：情報セキュリティマネジメント試験シラバス Ver.4.1

ISMS-AC：ISMSの認証基準と追補