【図解】ISMSリスクアセスメント・対応の実践フロー

この記事で解決できること

• 最新のJIS規格に準拠したリスクアセスメントの全体像の把握
• 規格の要求事項と具体的な実務作業の紐付け
• リスクアセスメントを実践する具体的な4つの手順の習得
• 実務で迷いがちなリスク対応の判断・運用のポイントの理解

目次

• 1｜インプット：組織の状況と利害関係者の理解（箇条4.1・4.2）
• 2｜規定化：リスクアセスメントとリスク対応のやり方（箇条6.1.2・6.1.3）
• 3｜ISMSリスクアセスメント・対応を実践する具体的4ステップ
  • 手順1：リスク評価基準（物差し）の策定
  • 手順2：リスクの特定・分析・評価（算定表の活用）
  • 手順3：リスク対応計画と「適用宣言書」の作成
  • 手順4：リスク対応計画の策定と残留リスクの承認
• 4｜運用：リスクアセスメント及びリスク対応の記録（箇条8.2・8.3）
• 5｜よくある質問（お客様の声）
• 6｜まとめ

具体的には、以下の2つの要素を考慮に入れます。

• 組織及びその状況： 法規制、市場や社会的・文化的環境、組織構造、経営戦略、保有する資源など。
• 利害関係者のニーズ及び期待： 顧客、供給者、従業員など、組織の情報セキュリティの取組みに期待している者や影響を受ける者のニーズや要件。

【独自解説】JIS要求事項と実務作業の対応一覧

実務においては、具体的に以下の3つの要素を定義します。

• 資産価値の定義：
  「機密性（厳格な取扱い）」「完全性（正確性の確保）」「可用性（利用のしやすさ）」の3軸において、1～4（低・中・高・非常に高い）の格付け段階を設ける。
  （例：漏洩時に会社全体に重大な損失を与えるなら「4」など）
• 脅威・脆弱性の定義：
  発生頻度（脅威）やセキュリティ対策の不備（脆弱性）を、1～3（低・中・高）の数値で定義する。
  （例：標的型メールの脅威は週1回程度なら「3」・暗号化なしなら脆弱性「3」など）
• リスク受容水準：
  リスク値を「資産価値 × 脅威 × 脆弱性」で算出し、「合計値がいくつ以上なら対策が必要か（受容できないか）」の境界線を決めます。審査では「なぜこの受容基準（例：12以上など）にしたのか」を経営的な視点から合理的に説明できることが重要です。

具体的なアプローチの流れは以下の通りです。

• 資産価値の分類：
  「機密性・完全性・可用性」の観点から重要度を判定し、「情報資産管理台帳」へ集約・記録します。
• 脅威・脆弱性の分類：
  グループ化した情報資産が晒されている「脅威」と、現在の対策の穴である「脆弱性」を「リスク分析表」にて格付けします。
• リスク値の算出と評価：
  算出したリスク値を以下のマトリクス表に当てはめ、対策が必要なリスク（要対応リスク）をあぶり出します。

  【実務で使う】リスク値算出の算定マトリクス例

  脅威		1			2			3
  脆弱性		1	2	3	1	2	3	1	2	3
  資産 価値	1	1	2	3	2	4	6	3	6	9
  	2	2	4	6	4	8	12	6	12	18
  	3	3	6	9	6	12	18	9	18	27
  	4	4	8	12	8	16	24	12	24	36

  ※緑色のセル（12以上）が「受容基準を超えたリスク」として対策が必要な範囲の例

  【記入例】リスクアセスメント表の1行

  資産名：顧客名簿(Excel) ｜ 価値：3 × 脅威：誤送信(2) × 脆弱性：上長承認なし(3)
  リスク値：18 → 対策必須

管理策の選択（箇条6.1.3）

特定したリスクを「回避・低減・移転・保有」の4つのアプローチのいずれかで処理します。「低減」を選択する場合は、JIS Q 27001 附属書Aに規定されている93の管理策をチェックリストとして活用し、必要な対策を決定します。

• リスク低減： セキュリティ対策を施し、発生可能性や発生時の影響範囲を小さくする。
• リスク回避： リスクを伴う業務そのものを廃止・禁止し、リスクの発生源をなくす。
• リスク移転： 保険への加入や外部委託（アウトソーシング）により、リスクを他者と共有する。
• リスク受容： あえて追加の管理策を講じず、発生時の損失を組織で受け入れる。

適用宣言書（SoA）の作成

決定した管理策を附属書Aの項目と比較して見落としがないか検証し、「どの管理策を採用したか」「なぜ除外したか」の根拠を一覧にした「適用宣言書」を作成します。これはISMS審査において最重要の提出書類となります。

なぜリスク対応の選択肢が４つなのか？

リスクマネジメントの国際規格であるISO 31000やISMSの用語規格ISO/IEC 27000では、リスク対応の選択肢として以下の「7つの選択肢」が定義されています。

1. リスクを生じさせる活動を開始又は継続しないと決定することによる、リスクの回避
2. ある機会を追求するために、リスクを取る又は増加させること
3. リスク源を除去すること
4. 起こりやすさを変えること
5. 結果を変えること
6. 1つ以上の他者とリスクを共有すること（契約、リスクファイナンシングなど）
7. 情報に基づいた選択による、リスクの保有

実務や一般的な解説でよく使われる「4つの対策（回避・低減・移転・受容）」は、この7つを分かりやすくグルーピング（要約）したものに過ぎません。

実務においては、「リスク値が受容基準を超えているが、対策コストが過大で、現時点では対応が極めて困難」というトレードオフの状況に直面することがあります。その際は、4つの枠に無理に当てはめるのではなく、規格の『2. 機会を追求するためにあえてリスクを取る』という本質を理解し、経営層のトップダウンで戦略的に受容する（保有する）という判断も選択肢となり得ます。

Q. 対策前リスク値が受容レベルを超えているリスクは必ず「保有」以外のリスク対応をしなければならないのでしょうか？

• 導入に大きな投資や数ヶ月の期間が必要な管理策については、優先度やリソースを勘案した「リスク対応計画」としてマイルストーンを明確にします。
• 対策を講じた後も、確率論的にゼロにできないリスクは「残留リスク」として残ります。これらをリスク所有者（トップマネジメント・経営層）が正しく把握し、受容のサイン（承認）を得ることがJIS規格における必須要件となります。

PDCAサイクルを回すため、運用開始後は以下のようなタイミングでリスクアセスメントの手順を再実行します。

• 定期的な見直し： 少なくとも年1回などの頻度で、状況の変化がないか再評価を行う。
• 組織や環境の重大な変更時： 新システムの導入、テレワークの開始、オフィス移転、重要な法改正などが発生した際、その都度スポットで手順を実行する。
• これら一連のアセスメントおよび対応の結果は、「文書化した情報（記録）」として審査時にいつでも提示できるよう厳格に管理します。

• 手順1：リスク評価基準（物差し）の策定
  資産価値・脅威・脆弱性の格付け段階を定義し、経営的な視点から合理的に説明できる「リスク受容水準」を決定します。
• 手順2：リスクの特定・分析・評価
  情報資産を適切にグルーピングし、算定マトリクスを活用して効率的に対策が必要なリスクをあぶり出します。
• 手順3：リスク対応の選択と「適用宣言書」の作成
  4つのアプローチ（回避・低減・移転・受容）から対策を選び、審査における最重要書類である「適用宣言書（SoA）」を作成します。
• 手順4：リスク対応計画の策定と残留リスクの承認
  実施スケジュール（マイルストーン）を明確にし、最終的に残るリスク（残留リスク）について経営層から正式な承認を得ます。