脅威・脆弱性・資産の関係からリスクを捉え、特定・分析・評価の流れと、低減／回避／移転／受容の四つの対応を整理。残留リスクの扱いや、対策の優先順位の決め方まで解説します。
対策には限りがあります。予算も人手も有限なので、すべてを守ることはできません。だから、どこにどれだけ手をかけるかを決める必要があります。その判断のための手続きがリスクアセスメントです。感覚で「危なそうだから」と決めるのではなく、根拠を残して説明できる形にすることに意味があります。
守るべき資産があり、それを脅かすもの（脅威）があり、そこに付け入る隙（脆弱性）がある。この三つが揃って初めてリスクになります。逆に言えば、どれか一つを減らせばリスクは下がります。資産を持たない（不要なデータを消す）、脅威に晒さない（外部から到達させない）、脆弱性を無くす（更新を適用する）——対策はこの三方向に整理できます。
前提として、資産の棚卸しが要ります。何をどれだけ持っているか分からなければ、守りようがありません。「把握していないサーバがあった」「使われていないアカウントが残っていた」という形で事故になるのは、この段階が抜けているからです。
分析では、起こりやすさと、起きたときの影響の大きさを掛け合わせて、リスクの大きさを見積もります。数値で扱う方法（定量的）と、大中小のような段階で扱う方法（定性的）があり、実務では後者が多く使われます。金額に換算できないものも扱えるためです。
評価では、見積もった大きさを、あらかじめ決めた基準と比べます。ここで「基準を先に決めておく」ことが大事です。結果を見てから基準を決めると、対策したくないものを都合よく低く見せられてしまいます。
| 対応 | 内容 | 例 |
|---|---|---|
| 低減 | 対策を施して、起こりやすさや影響を下げる | 更新の適用、暗号化、多要素認証 |
| 回避 | その活動自体をやめる | 扱う必要のない個人情報を保持しない |
| 移転（共有） | 他者と分け合う | サイバー保険、業務の委託 |
| 受容（保有） | 基準の範囲内として受け入れる | 影響が小さく、対策の費用が見合わない場合 |
移転で注意が要るのは、責任まで移せるわけではないという点です。委託先で事故が起きても、委託元の説明責任は残ります。委託先の選定と、委託後の監督が求められるのはこのためです。「保険に入ったから対策済み」とはなりません。
対策を施した後にも、リスクは残ります。これが残留リスクです。ゼロにはできない以上、残っていることを認識し、受け入れるかどうかを責任者が判断して記録します。「対策したから安全」で終えず、何がどれだけ残っているかを明示する——この記録が、後から見直すときの出発点になります。
すべての資産を細かく分析するのは、手間の面で現実的ではありません。そこで、一般的に必要とされる対策の水準をまず全体に適用し（ベースラインアプローチ）、重要な資産についてだけ詳細な分析を行う、という組み合わせが採られます。網羅性と深さを両立させる進め方です。
分析の手法にもいくつかあります。専門家の知見に頼る方法、過去の事故の事例から考える方法、業務の流れを追って弱いところを探す方法。どれか一つが正解ということはなく、対象と使える時間に応じて選びます。大事なのは、選んだ手法と判断の根拠を記録しておくことです。後から見直すとき、なぜその評価になったのかが分からないと、そこからやり直しになります。
リスクアセスメントは一度で終わりません。システムを変えたとき、新しい脅威が現れたとき、事故が起きたときに、見直します。定期的な実施と、変化があったときの臨時の実施——この二つを手順として決めておくことが求められます。
なお、リスクアセスメントの結果は、事業継続の検討とも繋がります。どの業務がどれだけ止まると困るのかを見積もり、目標とする復旧の時間と、どの時点まで戻せればよいかを決める。ここで出てくる数字が、バックアップの取り方や冗長化の範囲を決める根拠になります。セキュリティの対策と事業継続の計画を、別々のものとして扱わないようにします。
午前Ⅱでは、四つの対応の分類（特に移転と回避の取り違え）、残留リスクの定義、脅威と脆弱性の区別が定番です。午後では、事例を示して「このリスクへの対応はどれにあたるか」「なぜその優先順位か」を書かせる形が出ます。優先順位を問われたら、起こりやすさと影響の両面から書くと観点を満たせます。
IPA 公式 PDF：令和5年度 秋期 午前Ⅱ問題 ↗本文はこの公式 PDF でご覧ください（アプリ内には転載していません）。