3ステップで行うリスク分析とその手法

皆さん、こんにちは。今回は会社や組織の情報資産を守るためのリスク分析という考え方をご紹介いたします。

IT業界まるわかりガイドは、日本初Web専門スクールのインターネット・アカデミーが運営する業界情報メディアです。最新の業界情報を、初心者にも分かりやすくご紹介しています。

情報リスクマネジメントとリスク分析

悪意ある攻撃者から会社や組織の情報資産を守るためには、情報リスクマネジメントを行う必要があります。情報リスクマネジメントとは、企業や組織が情報資産を守り、適切に管理・運用するために、一定の方針や規定のもとに「機密性・整合性・可用性」をバランスよく維持管理することです。

情報リスクマネジメントの最初の段階として、まずリスク分析を行います。リスク分析とは、脆弱性や脅威を特定し、セキュリティの保護手段を講じるため、考えられる損害を評価することです。以下、具体的にリスク分析について考えてみましょう。

リスク分析は通常、3つのステップを踏んで行います。

10万円の価値のある情報を守るために、100万円のセキュリティを施しても割に合いません。セキュリティ対策を行う前に、まずは所有している情報資産の把握と価値を判断します。

企業や組織に損失を発生させる脅威のリストアップや、コンピュータのハードウェアやソフトウェアに潜む弱点や欠陥などの脆弱性の評価を行います。また、どの程度の頻度で発生する可能性があるのか、発生してしまった場合の影響の範囲・程度なども分析します。

リスク分析により、コスト/利益の比較が可能となります。「損失の潜在的なコスト」と「安全対策の年間コスト」を比較し、対応策を決定します。

対応策には、例えば以下のようなものが考えられます。

リスク分析には、以下の２つの手法があります。

定量的リスク分析では、一定期間に生じると予想される損失を金額で表します。具体的な金額となって表れるので、リスクの影響と対策費用とのバランスをみるのに適しています。

定性的リスク分析は、人間による判断・直感・経験・ベストプラクティスなどが含まれており、リスクをレベルや順位によって表します。リスクの価値をうまく金銭で表せない場合に有効です。定量的方法に比べて取り組みやすく、主要なリスクを把握するのに適しています。