ISO27001のリスクアセスメントとは？具体的なやり方・注意点・審査でみられる内容を初心者向けにわかりやすく解説

ISO27001のリスクアセスメントとは？

ISO27001のリスクアセスメントとは、自社が守るべき情報資産に対して、どのような情報セキュリティリスクがあるかを洗い出し、その大きさを評価し、対応の優先順位を決める作業です。
情報資産の洗い出しが、守るべきものを把握する工程だとすれば、リスクアセスメントは、その情報資産にどのような危険があり、どこから対策すべきかを判断する工程です。

たとえば、顧客リストという情報資産がある場合、誤送信、不正アクセス、退職者アカウントの残存、クラウド共有設定のミス、PC紛失、委託先での漏えいなどのリスクが考えられます。
これらをすべて同じ重さで扱うのではなく、漏えいした場合の影響、発生する可能性、現在の対策状況を見ながら、優先順位をつけます。

リスクアセスメントとリスク対応は混同されやすいですが、リスクアセスメントはリスクを見つけて評価する作業、リスク対応は評価結果をもとに対策を決めて実行する作業です。
ISO27001では、この2つをつなげて、情報資産管理、管理策、適用宣言書、教育、内部監査、マネジメントレビューまで運用していきます。

イソログに寄せられたISO27001リスクアセスメントのリアルな声

ISO27001のリスクアセスメントでは、表の作り方や評価点だけでなく、実際に担当者がどこで迷うかを押さえることが大切です。
イソログに寄せられる相談でも、情報資産台帳は作ったものの次に何を評価すればよいか分からない、部署によって評価がばらつく、審査でどこまで見られるのか不安といった声が多くあります。

特に初めて担当する方は、リスク評価表を完成させること自体が目的になりがちです。
しかし、リスクアセスメントの本来の目的は、形式的な点数をつけることではありません。
自社の情報資産に対して、どのリスクが現実的に大きく、どの対策を優先すべきかを社内で判断できる状態にすることです。

ここでは、ISO27001のリスクアセスメントで初心者担当者が悩みやすい状況を、イソログに寄せられた相談の傾向として整理します。

イソログに寄せられる相談でも、リスクアセスメントの最初の段階では同じような悩みが多くあります。

リスクアセスメントで使う基本用語

リスクアセスメントでは、情報資産、機密性、完全性、可用性、脅威、脆弱性、影響度、発生可能性、リスク受容基準、残留リスクといった用語が出てきます。
言葉だけを見ると難しく感じますが、実務ではそれぞれを日常業務に置き換えて考えると理解しやすくなります。

情報資産は、顧客情報、契約書、社員情報、設計図、ソースコード、クラウド上のデータなど、自社が守るべき情報や情報を扱う仕組みです。
脅威は、その情報資産に悪影響を与える出来事で、誤送信、不正アクセス、マルウェア感染、紛失、災害などが該当します。
脆弱性は、脅威につけ込まれる弱点で、アクセス権限が広すぎる、バックアップがない、教育が不足している、共有設定が曖昧といった状態です。

初心者担当者は、まず用語の定義を暗記するよりも、自社の情報資産に置き換えて考えることが大切です。

ISO27001のリスクアセスメントの具体的なやり方

ISO27001のリスクアセスメントは、対象範囲と情報資産を確認し、情報資産ごとの脅威と脆弱性を洗い出し、影響度や発生可能性を評価し、対応が必要なリスクを決める流れで進めます。
最初から完璧な評価表を作ろうとすると止まりやすいため、手順を分けて進めることが大切です。

まず、ISO27001の適用範囲に含まれる部署、業務、拠点、システムを確認します。
次に、情報資産台帳をもとに、重要な情報資産から評価対象を決めます。
すべてを同じ深さで評価しようとすると工数が膨らむため、顧客情報、個人情報、技術情報、主要システム、外部共有がある情報など、影響が大きいものを優先します。

その後、情報資産ごとに、どのような脅威があり、現在どのような弱点があるかを確認します。
最後に、影響度、発生可能性、脆弱性や管理状況を評価し、リスク値やリスクレベルを出し、対応が必要なものをリスク対応計画に落とし込みます。

リスク評価基準の作り方

リスク評価基準とは、リスクの大きさを判断するための物差しです。
評価基準がないままリスクアセスメントを始めると、担当者によって判断がばらつきます。
ある担当者は顧客情報の漏えいを高リスクとし、別の担当者はシステム停止を高リスクとするなど、結果が比較しにくくなります。

初心者が最初に作る場合は、3段階評価または5段階評価が使いやすいでしょう。
3段階評価はシンプルで運用しやすく、初めての会社でも導入しやすい反面、細かい優先順位をつけにくい場合があります。
5段階評価は細かく評価できますが、基準を明確にしないと判断が難しくなります。

重要なのは、点数そのものよりも、点数の意味を具体的に決めることです。
影響度3はどの程度の被害を指すのか、発生可能性3はどの程度起こりやすい状態なのか、脆弱性3はどのような管理不足を指すのかを、社内で説明できる形にしておきましょう。

リスクアセスメント表に書くべき項目

リスクアセスメント表は、情報資産ごとに、どのようなリスクがあり、どの基準で評価し、どのような対応をするのかを整理するための表です。
審査では、表があるかどうかだけでなく、情報資産台帳、評価基準、リスク対応計画、適用宣言書とつながっているかが見られやすくなります。

初心者担当者が作る場合は、最初から項目を増やしすぎないことが大切です。
項目が多すぎると入力が負担になり、更新されない表になりやすくなります。
一方で、情報資産名、管理部門、脅威、脆弱性、影響度、発生可能性、リスク値、対応方針、担当者、期限がないと、実際のリスク対応につながりにくくなります。

まずは、審査で説明しやすく、社内でも更新できる最低限の項目から始め、必要に応じて残留リスク、関連する管理策、適用宣言書との対応、見直し日などを加えるとよいでしょう。

他社ではどう実施している？業種別のリスクアセスメント例

リスクアセスメントは、業種によって重視する情報資産やリスクが変わります。
製造業では設計図や生産管理システム、IT企業ではソースコードやクラウド設定、医療・福祉では患者情報や予約システム、小売・ECでは注文情報やEC管理画面などが重要になりやすいでしょう。

ここで紹介する例は、実在する特定企業の事例ではなく、イソログの記事内で実務担当者がイメージしやすいように匿名化した業種別の実施例です。
自社の業務と近いものを参考にしながら、情報資産、脅威、脆弱性、対応方針を考えてみてください。

上位記事ではリスクアセスメントの一般手順は整理されていますが、業種別にどの情報をどう評価するかまでは薄いことが多くあります。
イソログでは、実際の担当者が評価表を作るときに使える粒度で例を整理します。

部署別に見るリスクアセスメントの実施例

リスクアセスメントは、情報システム部門だけで完結するものではありません。
営業、人事、総務、経理、現場部門、経営層など、それぞれが扱う情報資産やリスクを確認する必要があります。

部署別に見ると、営業部門は顧客情報や提案資料、人事部門は履歴書や給与情報、総務・管理部門は契約書や社内規程、情報システム部門はアカウントやクラウド設定、現場部門は紙記録や共有端末を扱っています。
これらを一律に同じ評価にするのではなく、情報の性質、利用者、保管場所、外部共有の有無を見ながら評価します。

現場部門を巻き込まずに管理部門だけでリスク評価表を作ると、実際に使っているクラウド、紙文書、共有フォルダ、委託先とのやり取りが抜けることがあります。
部署ごとの実態を聞きながら、評価表に反映しましょう。

リスク対応の考え方

リスクアセスメントで対応が必要と判断したリスクは、リスク対応計画に落とし込みます。
リスク対応には、低減、回避、移転、受容の4つの考え方があります。
初心者がやりがちなのは、すべてのリスクを低減しようとして、ルールやチェックを増やしすぎることです。

リスク低減は、対策を追加してリスクを下げる方法です。
アクセス権限の見直し、暗号化、教育、バックアップ、多要素認証などが該当します。
リスク回避は、リスクの原因となる業務や方法をやめることです。
たとえば、個人情報をUSBで持ち出す運用を廃止する場合などです。
リスク移転は、保険や外部委託などでリスクの一部を他者へ移す考え方です。
リスク受容は、影響や発生可能性が低い、または対策コストが見合わない場合に、リスクを認識したうえで受け入れることです。

大切なのは、受容を放置と混同しないことです。
受容する場合でも、なぜ受容できるのか、誰が承認したのか、次回いつ見直すのかを記録しておく必要があります。

ISO27001審査でみられる内容

ISO27001の審査では、リスクアセスメント表があるかだけでなく、どのような手順と基準で評価したか、情報資産台帳とリスク評価がつながっているか、評価結果からリスク対応計画や適用宣言書につながっているかが確認されます。

審査員は、リスクアセスメントが自社の実態に合っているかを見ます。
たとえば、顧客情報を多く扱う会社なのに顧客情報の漏えいリスクが評価されていない、クラウドサービスを使っているのに共有設定や管理者権限のリスクがない、退職者アカウントの管理が弱いのに評価に出てこない場合、実態と表が合っていないと見られる可能性があります。

また、リスク対応を決めた後の実行状況も重要です。
リスク対応計画に多要素認証導入と書いてあるのに期限や担当者がない、適用宣言書で管理策を適用としているのに運用記録がない、残留リスクを誰も承認していないといった状態は、審査で確認されやすいポイントです。

初心者がやりがちな注意点・失敗例

ISO27001のリスクアセスメントで初心者がやりがちな失敗は、情報資産を細かくしすぎることです。
すべてのファイル、すべての書類、すべての端末を個別に評価しようとすると、表が膨大になり、更新できなくなります。
逆に、大ざっぱにまとめすぎると、重要なリスクが見えなくなります。

また、評価基準が曖昧なまま進める失敗も多くあります。
高・中・低だけを決めていても、高とはどの程度の被害なのか、中とはどの程度の発生可能性なのかが決まっていなければ、部署や担当者によって評価がばらつきます。

さらに、すべてのリスクを低減しようとする、対応計画に担当者や期限がない、審査前だけ表を作って運用記録がない、現場部門を巻き込まず管理部門だけで作るといった失敗もあります。
リスクアセスメントは表を作る作業ではなく、社内でリスクを判断し、現実的に管理するための仕組みとして運用しましょう。

コンサル会社に相談する前に整理しておきたいこと

ISO27001のリスクアセスメントで迷う場合、コンサル会社へ相談する方法があります。
ただし、相談前に何も整理していないと、支援範囲、期間、費用、必要な準備が見えにくくなります。
まずは、取得目的、希望時期、対象範囲、主な情報資産、利用システム、クラウドサービス、委託先、取引先から求められている条件を整理しておきましょう。

コンサル会社を選ぶときは、単にテンプレートを渡してくれるかではなく、自社の業務に合ったリスク評価基準を一緒に作れるか、情報資産台帳からリスク対応計画や適用宣言書までつなげて支援してくれるかを確認することが大切です。
書類だけ整っていても、現場で運用できなければ、維持審査や更新審査で苦労します。

低額のISOコンサル会社を検討する場合も、安いかどうかだけではなく、現状調査、計画策定、書類作成、リスクアセスメント、内部監査、マネジメントレビュー、審査機関紹介、審査対応、維持運用サポートまで、どこまで含まれているかを確認しましょう。

まとめ：リスクアセスメントは審査のためではなく、実際に守るべき情報を決める作業

ISO27001のリスクアセスメントは、審査のために表を作るだけの作業ではありません。
自社が守るべき情報資産に対して、どのようなリスクがあり、どのリスクを優先して対応するべきかを決めるための重要な工程です。

リスクアセスメントでは、情報資産、機密性・完全性・可用性、脅威、脆弱性、影響度、発生可能性、リスク受容基準をつなげて考えます。
評価基準を事前に決め、情報資産台帳とリスク評価表、リスク対応計画、適用宣言書、残留リスク承認をつなげることで、審査でも説明しやすく、社内でも運用しやすい仕組みになります。

初心者担当者は、完璧な評価表を一度で作ろうとするより、重要な情報資産から始め、現場部門を巻き込み、現実的に運用できる粒度で整理することが大切です。
自社だけで判断が難しい場合は、ISO27001に強いコンサル会社へ相談し、自社の業務に合ったリスクアセスメントの進め方を整える方法もあります。

よくある質問