【図解】ISO27001のリスクマネジメント用語・定義とアセスメント手順

「リスク」とは

ISO/IEC 27000において、「リスク（risk）」は「目的に対する不確かさの影響」と定義されています。

この場合の「目的（objective）」とは、特定の結果を達成するために、組織の情報セキュリティ方針と整合をとって設定された「情報セキュリティ目的」を指します。したがって、情報セキュリティリスクアセスメントおよびリスク対応は、この“情報セキュリティ目的”の達成を阻害する要因（または促進する要因）に対して実施することが要求されています。

「不確かさ」とは何か？（プラスとマイナスの概念）

リスクマネジメントにおける「不確かさ」には、マイナスの影響だけでなく、プラスの影響（機会）もあるという考え方に基づいています。

かつてISO/IEC Guide 51（安全側面）などでは、リスクを「好ましくない影響（危険）」のみに限定して考えていました。しかし、2009年のISO/IEC Guide 73（リスクマネジメント用語規格）の改定に伴い、好ましくない影響を排除するだけでなく、好ましい影響（ビジネスチャンスなど）も含めて「リスク」と捉える定義へと拡張されました。

【情報セキュリティにおけるリスクの捉え方】
一方で、ISO/IEC 27000の「リスク」の定義内（注記6）には、以下のような記述があります。

「情報セキュリティリスクは、脅威が情報資産のぜい弱性又は情報資産グループのぜい弱性に付け込み、その結果、組織に損害を与える可能性に伴って生じる。」

つまり、全般的なリスクマネジメントとしてはプラスの影響も含みますが、情報セキュリティの実務においては、依然として「好ましくない影響（組織に損害を与える可能性）」を主たるリスクとして扱うのが一般的です。

「リスクアセスメント」とは

「リスクアセスメント（risk assessment）」とは、リスク特定、リスク分析、およびリスク評価のプロセス全体を指します（JIS Q 0073:2010 参照）。

これをシンプルな構造に分解すると、以下のようになります。

リスクアセスメントを構成する3つのステップ

• 1. リスク特定（Risk Identification）
  リスクを発見、認識、および記述（明確化）するプロセスです。これには、リスク源、事象、それらの原因、および引き起こされる結果（影響）の特定が含まれます。
• 2. リスク分析（Risk Analysis）
  特定されたリスクの性質を理解し、リスクのレベルを決定するプロセスです。
• 3. リスク評価（Risk Evaluation）
  リスク分析の結果をリスク基準と比較し、リスクの大きさが受容可能かどうかを判断するプロセスです。

「リスク源」と「脅威・脆弱性」の関係

「リスク特定」において重要となる「リスク源」という用語は、ISO 31000（リスクマネジメント指針）において「それ単体、または他の要素との組み合わせによって、リスクを生じさせる力を本来潜在的に持っている要素」と定義されています。

従来のリスクマネジメントでは、好ましくない影響をもたらす潜在的要因を「ハザード（潜在的危険要因）」や「リスク因子」と呼んでいましたが、リスクの定義にプラスの影響が含まれるようになったことから、より中立的な「リスク源」という用語に変わりました。

情報セキュリティの文脈に置き換えるならば、このリスク源は、従来から使われている「脅威」の本質的な内容（または脆弱性を突く要因）に該当すると考えて差し支えありません。

よくある質問（お客様の声）

Q. リスク値3で対策が必要な場合、すでに管理策が講じられていても対応計画は必要ですか？

A. 「新たな追加対策」は不要ですが、現在の安全な状態を維持するための「継続的な運用」を計画として明記することを推奨いたします。
→ リスク値3で対策が必要な場合、すでに管理策が講じられていても対応計画は必要ですか？はこちら

Q. 「現状のリスクが許容できない場合に、どの方向性で対策を打つか」を決めるための分類となります。

A. 可能です。重要度の低い資産を整理し、核心にリソースを集中させることで、審査基準を満たしつつ運用負荷を最小限に抑えられます。
→ リスク分析の「低減・共有・回避」の定義と使い分けについてはこちら

Q. リスク対策をしていれば、対策することはなくなるのでしょうか。

A. リスクグループ分析対策表の目的としては、情報資産に対するリスクを抽出し、対策を講じるものなので、徐々に減っていくことになります。
→ リスク対策をしていれば、対策することはなくなるのかについてはこちら