ISMSにおけるセキュリティリスクとは？

組織の大切な情報が漏洩や改ざんされた場合、重大な被害につながるおそれがあります。

ISMSにおけるセキュリティリスクとは、情報セキュリティの要素が侵害され、情報資産が脅かされる可能性のある事象を指します。本ページでは、こうしたリスクの低減方法について解説します。

セキュリティリスクとは？

セキュリティリスクとは、組織の情報資産の「機密性」「完全性」「可用性」が脅かされる可能性のある事象のことです。具体例としては、情報漏洩・不正アクセス・マルウェア感染・システム障害などが挙げられます。

これらのリスクが現実化すると、業務停止にとどまらず、損害賠償や信用失墜など深刻な影響が出る恐れがあります。ISMSを導入している組織では、定期的な見直しと適切な対策を講じることが重要です。

リスクアセスメントの流れ

リスクアセスメントとは、組織の情報資産を脅かす可能性のあるリスクを特定・評価し、対策を講じるための重要なプロセスです。潜在的な脅威や脆弱性を明らかにすることで、セキュリティ上の弱点を把握できます。

ISMSにおける一般的なリスクアセスメントの流れは以下のようになります。

1. リスク特定：保有する情報資産をリスト化し、脅威や弱点を洗い出します。
2. リスク分析：特定された脅威が発生する可能性や影響を分析します。
3. リスク評価：分析されたリスクを受容基準と比較し対応の適否を検討します。
4. リスク対応：対応が必要と判断されたリスクに対して、対応策を検討します。

あくまでもこの流れは一般的なものであり、組織の規模や特性によって、詳細な手順は異なる場合があります。規格要求事項と併せて、組織に合ったリスクアセスメントのプロセスを構築することが大切です。

また、リスクアセスメントは一度実施して終わるものではありません。組織の環境変化や新たな脅威の出現に合わせて、定期的な見直しが求められます。

セキュリティリスクへの対応策4つ

セキュリティリスクへの対応策は、広範囲にわたりますが、一般的には、以下の4つのカテゴリに分類され、特定されたリスクのレベルに応じて実施されます。

リスク低減

リスクの発生確率を下げたり、発生時の被害を軽減したりするための対策のことです。

例えば、アクセス制御やファイアウォール、マルウェア対策ソフトの導入などの技術的な対策のほか、入退室管理や監視カメラの設置のような物理的な対策があります。加えて、セキュリティポリシーの策定やインシデント対応の訓練、バックアップと復旧体制の構築のような管理対策も効果的です。

対策の選定にはリスクアセスメント結果を活用し、効果とコストのバランスを考慮して実施することが大切です。また、定期的な見直しや、訓練・教育を通じた継続的な対策強化も欠かせません。

リスク保有

リスク保有は対策を行わず、発生したリスクの影響を受け入れることです。

例えば、リスクレベルが許容範囲内である場合や、発生頻度が極めて低いと考えられるリスクへの対策コストが損害額を上回る場合に選択されます。

しかし、「リスクを受け入れる＝リスクを認識しない」というわけではありません。リスクを受け入れる場合でも「なぜ対応しないのか」という根拠が必要です。

リスク保有の判断は、組織のセキュリティポリシーや事業目標に基づいて慎重に行う必要があります。定期的な見直しやリスクが顕在化した場合の対応なども、事前に策定しておくことが望ましいです。

リスク回避

リスクを引き起こす可能性のある事業や活動を停止することです。例えば、リスクの高いサービスの提供を中止したり、機密情報を扱う可能性のある業務プロセスを廃止するなどが該当します。また、地震や水害のような、自然災害のリスクが高い場所を避けて事業を行うなどもリスク回避に該当します。

リスクそのものを排除する対策ですが、事業や活動を停止することが、組織への大きな損失につながる可能性もあるため、十分な検討が必要です。

ISMSにおけるセキュリティリスクへの対応策では、リスクアセスメントを通じて特定されたセキュリティリスクに対し、適切な対応策を実施することが求められています。

重要なことは、リスクアセスメントの結果に基づいて、組織にとって最も効果的な対策を実行すること。前述のそれぞれの対応策は、単独で用いられることもあれば、組み合わせて実施されることもあります。しかし、組織を取り巻く環境や脅威は常に変化するため、定期的なリスクアセスメントと対策の見直しが不可欠です。

リスク移転

リスク移転とは、リスクの発生による損失を第三者に肩代わりしてもらう対応策です。

例として、クラウドサービスの活用、情報セキュリティ保険への加入、外部事業者への委託などが挙げられます。完全に責任がなくなるわけではありませんが、負担を軽減できる有効な手段です。

リスク受容基準を設定する

リスク受容基準とは、アセスメントで評価したリスクのうち、組織が許容できると判断する基準を示すものです。この基準を超えるリスクには、対応策を講じる必要があり、対策を講じないと判断する際の基準にもなります。

リスク受容基準の決め方とは

リスク受容基準は、組織の状況に合わせて慎重に決める必要があります。 組織の状況を反映した、客観的かつ一貫性のある基準を設定することが重要です。 一般的な決め方を解説しているので、ぜひ参考にしてください。

1.組織の状況の理解

まず、組織がどのような状況に置かれているのかを理解する必要があります。自社の内部体制がどの程度整備されているか、保有する各種資産がどれほど重要なのか、そして業界や市場の環境はどうなっているのかなど、全体の状況を把握します。

2.リスク評価基準の明確化

ここでは、具体的なリスクごとに発生確率やその場合の影響度を数値化することで、客観的かつ定量的な評価軸を設定します。これにより、どのリスクが大きな脅威となるのか、またどのリスクが比較的低いのかを明確に区別できるようになります。

一般的に、リスクは「発生の可能性と影響」で評価します。例えば、発生可能性を数値化したり、影響度の尺度を業務停止時間の損失額などで具体的に定義したり、どのように組み合わせてリスクレベルを算出するかを決定します。

3.リスク受容レベルの設定

リスク受容レベルは、経営層としっかり連携し、どのリスクを受容可能なものと判断するか、また受け入れがたいリスクに対してはどの程度の予算やリソースを割くべきかを具体的に定めます。これにより、全体のリスク管理戦略が企業の経営方針と一致する形となります。

4.文書化と周知

設定したリスク受容基準、判断の根拠などを文書化し、組織内に周知します。

加えて、組織の事業環境、脅威の変化などを考慮し、基準を定期的に見直します。少なくとも年1回は見直しを行い、必要に応じて更新することが望ましいでしょう。

まとめ

ISMSの認証には正しい知識が不可欠である一方で、自社のみでの取得も不可能ではありません。そのため、専門家のサポートが有効かどうかは悩ましいところです。しかし、ISMSにおけるセキュリティリスクへの対応は、一度行ったら終わりではなく、継続的に状況に応じた見直しと対策の強化が求められます。

スムーズな導入を目指すなら、専門家のサポートを活用するのが効果的です。まずはコンサルティング会社への相談から始めてみてはいかがでしょうか。