情報セキュリティのリスク管理とは
情報セキュリティのリスク管理とは、データやシステムの漏えい、消失、停止につながり得る事象は何か、それがどの程度深刻か、そしてどう対処するかを判断するための反復可能なプロセスです。ほとんどのコンプライアンスフレームワークはここから始まります。コントロールはリスクに基づいて選定され、監査人はその判断に根拠があるかを確認します。
リスク管理の 5 つのステップ
範囲と資産の特定
対象範囲のシステム、データ、プロセス、供給者、担当者を一覧化します。
リスクの特定と分析
脅威と脆弱性を特定し、合意した基準に沿って発生可能性と影響度を評価します。
評価と優先順位付け
リスクレベルをリスク選好と比較し、どのリスクから対応するかを決めます。
リスク対応
低減、受容、移転、回避から選び、コントロール、担当者、期限を割り当てます。
監視と再評価
残留リスクとコントロールのエビデンスを追跡し、定期的に、または重大な変更時にレビューします。
リスク管理を求めるフレームワーク
| フレームワーク | リスクに関する要求事項 |
|---|---|
| ISO 27001:2022 | 箇条 6.1.2（リスクアセスメント）、6.1.3（リスク対応、SoA）、8.2 および 8.3（継続的な実施） |
| SOC 2 | Trust Services Criteria の CC3（Risk Assessment） |
| PCI DSS v4.0 | 要件 12.3.1：対象を絞ったリスク分析（targeted risk analysis） |
| HIPAA | §164.308(a)(1)(ii)(A) Risk Analysis および (B) Risk Management |
| ISO 42001 | 箇条 6.1.2（AI リスクアセスメント）、6.1.3（対応）、6.1.4（AI システム影響評価） |
| GDPR | 第 32 条（リスクに応じたセキュリティ）および第 35 条（DPIA） |
リスク台帳に記載すべき項目
pTrackly によるリスク管理の支援
pTrackly は接続したシステムをスキャンしてコントロールのギャップを見つけ、資産との対応付け、発生可能性の評価、対応策の提案を含むリスク項目を作成します。評価者はゼロから作るのではなく、内容を検証します。
リスク対応計画、適用宣言書（Statement of Applicability）、エビデンスを、取り組み中のフレームワークと同じワークスペースで管理できます。
供給者や第三者のリスクを、社内のリスクとあわせて追跡します。
AI 製品を開発する企業向けに、AI システムの一覧、AI リスクアセスメント、監視のワークフローを提供します。
よくあるご質問
情報セキュリティのリスク管理とは何ですか？
情報資産、脅威、脆弱性を特定し、発生可能性と影響度を評価して対応策を選び、監視と再評価を行う反復可能なプロセスです。ISO 27001 の中核となる要求事項であり、SOC 2、PCI DSS、HIPAA、ISO 42001 にも含まれています。
ISO 27001 はリスクアセスメントについて何を求めていますか？
ISO 27001:2022 は、一貫した結果を生む明確な基準を備えたリスクアセスメントのプロセス（箇条 6.1.2）、適用宣言書（Statement of Applicability）につながるリスク対応のプロセス（6.1.3）、およびあらかじめ定めた間隔で、または重大な変更があった場合にアセスメントと対応を実施すること（8.2、8.3）を求めています。
リスク台帳には何を記載しますか？
最低限、関連する資産またはプロセス、リスクの説明、リスク所有者、発生可能性、影響度、リスクレベル、対応の選択肢（低減、受容、移転、回避）、関連するコントロール、残留リスク、レビュー日を記載します。
リスクはどのくらいの頻度で再評価すべきですか？
ISO 27001 は、あらかじめ定めた間隔で、また新しいシステムや新しい供給者の導入、インシデントの発生など重大な変更があった場合に再評価することを求めています。多くの企業は、年 1 回の全体レビューと、重要なリスクの四半期ごとのレビューを実施しています。
pTrackly はリスク管理をどのように支援しますか？
pTrackly は接続したシステムをスキャンしてコントロールのギャップを見つけ、資産との対応付け、発生可能性の評価、対応策の提案を含むリスク項目を作成します。リスク評価者はゼロから作成するのではなく、内容を確認・検証します。リスクは、pTrackly が対応するフレームワークのコントロールやエビデンスと紐付けられます。
