ISMSのリスクアセスメントとは？手順と実務ポイントを徹底解説

「ISMSのリスクアセスメントって具体的にどう進めればいいの？手順や方法がよくわからない」
このような疑問をお持ちではないでしょうか。

情報セキュリティの重要性が高まるなか、ISMS認証を目指す企業にとってリスクアセスメントは必須のプロセスです。しかし、目的や評価基準が曖昧なまま進めてしまうと、資産の洗い出しで行き詰まったり、審査で不適合を指摘されたりと、運用がうまく回らないケースが少なくありません。

この記事では、リスクアセスメントの基本的な目的から、4ステップの実施フロー、実務でつまずきやすいポイント、代表的な3つの方法の比較、さらに2022年版ISO/IEC 27001改訂の影響や運用・更新の注意点、効率化のためのExcelやSaaS活用まで体系的に解説します。

最後までお読みいただくことで、ISMSリスクアセスメントの全体像を理解し、自社に合った方法で効率的かつ効果的に運用できるようになります。セキュリティ対策を強化し、信頼性の高いビジネス基盤を築く第一歩を踏み出してください。

1.ISMSのリスクアセスメントとは

(1)リスクアセスメントを実施する目的

ISMSにおけるリスクアセスメントの目的は、リスクを完全にゼロにすることではなく、許容可能なレベルまで下げることにあります。

すべてのリスクに最高レベルの対策を講じればコストは無限に膨らみ、業務効率も著しく低下してしまうため、重要な情報資産やそれに対する脅威、そして現状の対策状況を分析し、限られた人・モノ・金といったリソースを効果的に配分することが求められます。つまり「なんとなく対策する」状態から「根拠を持って対策する」状態へと転換することが目的です。

具体的には、次の3点に整理できます。

1. 重要資産を守るための優先順位付け
2. リスクの見落とし防止と合理的な対策検討
3. 経営者がリスクを把握し意思決定できる状態を作る

これらを通じて、ISMSのリスクアセスメントは「限られたリソースで効果的にリスクを管理する仕組み」を実現することを目的としています。

(2)審査でチェックされるポイント

※特に「評価ルールが曖昧」な場合は不適合が発生しやすくなります。

(3)リスクアセスメントの全体像

2.リスクアセスメント実施フロー（4ステップ）

ISMSにおけるリスクアセスメントは、単なる形式的な作業ではなく、組織の情報資産を守るために「どのリスクにどのように対応すべきか」を合理的に判断するための仕組みです。

以下の4ステップを順に進めることで、リスクを体系的に管理することができます。

(1)【準備】リスク受容基準の決め方（評価ルールの策定）

リスクアセスメントは、いきなり資産を洗い出すのではなく、まず「定規（ルール）」を作るところから始めます。評価ルールが曖昧だと、同じリスクでも部署や担当者によって判断がぶれ、不適合につながります。

【評価ルール（発生可能性×影響度）】
リスクアセスメントでは、各リスクについて

• 発生可能性（どのくらい起こりやすいか）
• 影響度（起きた場合の被害の大きさ）

をそれぞれ段階的に評価します。

例えば、次のように3段階で定義した場合

このとき、リスク値は 「発生可能性 × 影響度」 で算出します。

• 最小値は １×１ = １
• 最大値は ３×３ = ９

つまり「最大リスク値は 9」というのは、発生可能性が最も高く、影響度も最も大きいリスクを想定した場合の上限値という意味です。

受容基準（ボーダーライン）例

• 総合値 １〜３ → 受容
• 総合値 ４〜９ → リスク対応が必要

審査では「なぜこの基準なのか」を説明できることが重要となってきます。

(2)ステップ1：リスクの特定（資産・脅威・脆弱性の洗い出し）

最初のステップでは、守るべき資産とそれに関連する脅威・脆弱性を網羅的に洗い出します。

ここで漏れがあると、その後の分析や評価が不完全になり、重大なリスクを見逃す可能性があります。

(3)ステップ2：リスク分析（発生可能性 × 影響度）

次に、特定したリスクに対して「発生可能性」と「影響度」を掛け合わせて数値化します。
これにより、リスクの大小を客観的に比較できるようになります。

• 例1：営業部ノートPC → 脅威：紛失／盗難、脆弱性：暗号化なし
  → 発生可能性「2」 × 影響度「3」 = リスク値「6」
• 例2：顧客情報PC → 脅威：マルウェア感染、脆弱性：OS更新遅延
  → 発生可能性「2」 × 影響度「3」 = リスク値「6」

【ポイント】
Excelなどで計算できる仕組みを整えておくと、運用が安定し、属人化を防げます。

(4)ステップ3：リスク評価（受容基準との比較）

算定したリスク値を、準備段階で決めた受容基準と照らし合わせます。基準を超える場合は「許容できないリスク」と判断し、対応が必要になります。

• リスク値「6」 → ボーダーライン「4」を超えるため対策が必要
• 一方で「業務影響が軽微でコストが過大」な場合は受容も可能

評価理由を記録に残すことが審査では重要であり、「なぜ受容したのか」を説明できる状態にしておく必要があります。

(5)ステップ4：リスク対応（低減／受容／回避／移転）

最後に、評価の結果「許容できない」と判断されたリスクに対して、具体的な対応策を選択します。JIS Q 27001では以下の4つの方法が示されています。

このステップでは「どのリスクにどの対応を選ぶか」を明確にし、記録に残すことが重要です。対応策が妥当であるかどうかは審査でも必ず確認されるため、根拠を持って説明できるようにしておく必要があります。

このように、ISMSのリスクアセスメントは「準備 → 特定 → 分析 → 評価 → 対応」という流れを繰り返し、継続的に改善していくことで、組織の情報セキュリティを強化する仕組みとなります。

3.【実務でつまずくポイント】資産・脅威・脆弱性の洗い出し方

リスクアセスメントで最も挫折しやすいのが「資産・脅威・脆弱性の洗い出し」です。ここでは、よくある悩みとその解決のためのコツ、さらに初心者が陥りやすい失敗例と対策を整理します。

【よくある悩み】

• どこまでを“資産”に含めるのか判断が難しい
• 脅威と脆弱性の違いが曖昧になりがち
• SaaSや委託先をどう扱うか迷う
• 洗い出しの粒度がバラバラになり、管理不能に陥る

(1)洗い出しのコツ

ここでは、資産・脅威・脆弱性の洗い出しのコツを紹介します。

(2)初心者がやりがちな失敗例と対策

ここでは、初心者がやりがちな失敗例と対策を紹介します。

このように「資産・脅威・脆弱性の洗い出し」は、完璧さよりも漏れをなくすこと・効率的に整理すること が重要となってきます。

4.リスクアセスメントの方法 3選

リスクアセスメントには複数のアプローチ方法があります。自社の規模やリソースに応じて選択するようにしましょう。以下に代表的な3つの方法を整理します。

(1)ベースラインアプローチ（標準準拠）

特徴

公開されている基準や規格、社内ルールを基準に現状を比較し、Gapをリスクとする方法

メリット

短時間で実施可能、コストが低い

デメリット

個別資産への深い分析ができない

向いている企業

人員が少なく深い分析が難しい企業、中小企業のISMS導入初期

(2)詳細リスク分析（詳細評価型）

特徴

資産ごとに価値・脅威・脆弱性を詳細に評価する方法

メリット

厳密なリスク対策が可能

デメリット

膨大な時間と専門知識が必要、全社規模では非現実的

向いている企業

情報量が多く高度な技術運用が必要な企業、セキュリティ担当者が複数いる企業

(3)組み合わせアプローチ（最も一般的）

特徴

ベースラインで全体を網羅しつつ、重要資産のみ詳細分析を行うハイブリッド方式

メリット

効率と精度のバランスが良い

デメリット

設計に一定の工夫が必要

向いている企業

実務とコストのバランスを取りたい企業、多くのISMS取得企業（特に中小〜中堅規模）

このように、ベースラインは「簡易・低コスト」、詳細分析は「厳密・高負荷」、組み合わせは「バランス型」と整理でき、ほとんどの企業には組み合わせアプローチが推奨されます。

5. ISO/IEC 27001:2022では何が変わった？

2022年の改訂により、リスクアセスメント後に参照する「管理策（対策の選択肢）」が大きく変更されました。手順そのもの（特定→分析→評価）は変わりませんが、リスク対応の段階で適用する管理策が整理・再編され、実務上の見直しが必要となっています。

(1)管理策の整理と追加

• 旧版（2013年版）の114項目 → 93項目に統合・再編
• カテゴリは組織的・人的・物理的・技術的の4分類へ再整理
• 現代の脅威に対応するため、新規に11の管理策が追加

(2)リスク評価への実務的影響はある？

リスクアセスメントの基本的な流れ自体は従来と変わりませんが、リスク対応（Step 4）の段階で参照する管理策が改訂によって変更されたため、適用宣言書（SoA）の作り直しが必要となります。

既存のリスク対応を新しい管理策にマッピングし直す作業が発生し、さらに脅威の種類や重要性の評価も変化しています。特にクラウド利用を前提とした視点が拡張されているため、従来の枠組みだけでは不十分となり、より広範なリスクの捉え方が求められるようになっています。

(3)注意すべき点

• 古い管理策番号のまま運用していると不適合の原因になる
• “更新”が適切にできているかが審査で大きな評価ポイントとなる

6. リスクアセスメント後の運用・更新のポイント

リスクアセスメントは一度実施して終わりではなく、継続的な運用と更新が求められます。特に「見直し頻度」「変更管理との紐づけ」「記録・エビデンスの整備」が大切です。

(1)見直し頻度は年1回で足りるのか

ISMSでは「年1回」が最低ラインですが、以下のようなイベントが発生した場合には臨時で見直しを行う必要があります。

(2)変更管理との紐づけ

リスクアセスメントを「変更管理プロセス」に組み込むことで、システム導入や組織変更時にリスクが置き去りになることを防げます。これにより、常に最新の状況に即したリスク管理が可能になります。

(3)記録・エビデンスとして残すべきもの

審査では「実施した証拠」が重視されます。以下のドキュメントを最新化しておくことが必須となります。

7. 効率化する方法（Excelテンプレート・SaaSの活用）

リスクアセスメントの運用では、Excelによる管理が一般的ですが、年数が経つにつれて「更新漏れ」「属人化」「ファイルが重すぎて開かない」「計算式が壊れる」といった課題が発生しやすく、担当者交代のタイミングで運用が崩壊するケースも少なくありません。

また、資産・脅威・脆弱性を毎年“作り直し”になってしまったり、リスク対応が管理策と結びつかないといった問題も見られます。

(1)ツールで自動化できる部分

(2)品質向上・コスト削減のポイント

品質向上とコスト削減のポイントとして、まずExcelは「最初の設計」をしっかり作り込めば非常に強力なツールとして活用できます。しかし、従業員数が50名を超えたり、資産数が数百を超える規模になると、Excel管理の限界が顕著になり、担当者の残業時間といった見えないコストが増大してしまいます。

そのため、人員が少ない企業や中堅規模以上の企業では、SaaSを導入する方が負荷が低く、事務作業を効率的に削減できます。さらに、自動化を取り入れることで審査対応にかかる工数が半減するケースも多く、結果として「セキュリティ対策の検討」という本質的な業務により多くの時間を割けるようになります。

8.まとめ

本記事では「ISMS（ISO27001）のリスクアセスメント」をテーマに解説しました。
要点をまとめておきましょう。

リスクアセスメントの目的について

• リスクをゼロにするのではなく、許容可能なレベルまで下げることが目的
• 重要資産の優先順位付け、リスクの見落とし防止、経営者の意思決定支援につながる

リスクアセスメントの実施フロー（4ステップ）について

• 【準備】評価ルールの策定（発生可能性 × 影響度の基準設定）
• ①資産・脅威・脆弱性の洗い出し
• ②リスク分析（数値化）
• ③リスク評価（受容基準との比較）
• ④リスク対応（低減／受容／回避／移転）

実務でつまずくポイントについて

• 資産・脅威・脆弱性の洗い出しで「粒度がバラバラ」「SaaSを除外」などの失敗が多い
• グルーピングや標準リスト活用で効率化できる

リスクアセスメントの方法 3選について

• ベースラインアプローチ（標準準拠）
• 詳細リスク分析（詳細評価型）
• 組み合わせアプローチ（最も一般的）
  → 企業規模やリソースに応じた選び方を比較表で整理。

ISO/IEC 27001:2022改訂の影響について

• 管理策が114項目から93項目に再編され、新たに11項目が追加された
• リスク対応の段階で参照する管理策が変わり、SoAの作り直しやマッピングが必要になる

リスクアセスメント後の運用・更新について

• 年1回の見直しが最低ラインであり、組織変更や新規システム導入時など臨時見直しが必要
• 記録・エビデンスとして資産台帳、リスク一覧表、評価ルール、対策一覧、改訂履歴、評価理由を残すことが大切

効率化の方法について

• Excel管理の属人化や更新漏れの課題
• SaaS導入による自動化（リスク計算、変更履歴管理、タスク通知など）が有効である
• 自動化により審査対応工数を削減し、セキュリティ品質向上につながる

本記事を参考に、ISMSのリスクアセスメントの全体像を理解し、自社に合った方法で効率的かつ効果的に運用を進めていただければ幸いです。

ISO/Pマークの認証・運用更新を180時間も削減！
認証率100%の認証パートナーが無料問い合わせを受付中！

認証パートナーは8,000社を超える企業様の認証を支援し、認証率100%を継続してきました。

経験豊富なコンサルタントの知見を活かし、お客様のISO/Pマーク認証・運用更新にかかる作業時間を約90%削減し、日常業務(本業)にしっかり専念することができるようサポートします。

▼認証パートナーが削減できること(一例)

• マニュアルの作成・見直し：30時間→0.5時間
• 内部監査の計画・実施：20時間→2時間
• 審査資料の準備：20時間→0.5時間

認証取得したいけれど、何をすれば良いか分からない方も、まずはお気軽にご相談ください。

認証パートナーに無料で相談する