ISMS（ISO27001）では情報セキュリティにおけるリスクマネジメントが求められます。
企業における情報資産を特定し、そのリスク（危険）に対してアセスメント（分析、評価）を行うことで、企業活動をマネジメント（管理）する必要があります。
ISMS（ISO27001）ではインシデントを防ぐために、リスクマネジメントの実施が不可欠になってきます。
それぞれの企業に適した方法で実施していくことが重要です。

１．ISMS（ISO27001）におけるリスクマネジメントとは

ISMS（ISO27001）では、情報セキュリティにおけるリスクマネジメントが求められています。
リスクマネジメントを行うためには、以下５つのステップが必要になります。

（１）企業における情報資産を特定する
（２）情報資産のリスク（危険）に対してアセスメント（分析、評価）を行う
（３）アセスメント結果を基に、管理策を立ててリスクに備える
（４）重大なリスクにつながる内容に対してリスク対策を行う（計画する）
（５）リスク対策が有効だったかを評価する

つまり、企業は情報資産のリスクを分析して評価し、管理策を立てて、リスクに備える必要があります。

管理策を立ててなお、重大なリスクに繋がりそうと企業が判断した場合は、リスク対応計画を立て対策を管理していきます。
そしてリスク対応計画で計画した対策が有効であったかを評価して初めてリスクマネジメントができたといえます。

２．機密性、完全性、可用性とは

初めにあなたの会社にある情報資産特定します。
特定した情報資産のリスクアセスメントをしていくための要素が３つあります。

リスクアセスメントを行う際、3つの視点を入れてチェックしていく必要があります。機密性、完全性、可用性です。 これらをわかりやすい言葉に置き換えると以下のようになります。

（１）機密性（Confidentiality） 外部に漏れてはいけない情報資産
（２）完全性（Integrity） 間違っていてはいけない情報資産
（３）可用性（Availability） すぐに利用できないといけない情報資産

3つの要素の頭文字を取り、情報セキュリティのCIAと呼ばれています。

イメージしやすいように、システム開発会社で情報資産の特定を行った場合の 機密性、完全性、可用性にはそれぞれどんな情報資産が該当するか例を挙げていきます。

機密性：顧客情報、開発データ　等
完全性：契約書、請求書　等
可用性：チャットツール、クラウドサーバー　等

情報資産は、CIAをそれぞれの側面から分析していきますが、例として特にリスク値が大きく算出されやすい情報資産を挙げています。

３．リスクマネジメントの流れ

ISMS（ISO27001）に対するリスクマネジメントは以下6つのステップで進めていきます。

（１）情報システムの分類を行う
情報システムに関係するすべての情報を分類していきます。
情報システムはハードウェア、ソフトウェアどちらも含まれます。
サーバー等のインフラから、その中に保管されている情報も該当します。

（２）セキュリティ管理策を選択する
（１）で分類した情報を基に、完全性、可用性を保護するためのセキュリティ管理策を選択します。

（３）セキュリティ管理策の実施
セキュリティ管理策を実施して、運用環境内での管理策の使用方法を記述します。

（４）セキュリティ管理策のアセスメントを行う
セキュリティ管理策が正しく導入されているか、意図した通りに運用されているか、セキュリティ要求事項に対する適合性の観点からアセスメントを行います。

（５）情報システムの運用を認可する
情報システムの運用から生じる組織の業務や資産に対するリスクを評価して、そのリスクを受容できるか判断します。

（６）セキュリティ管理策の監視する
セキュリティ管理策が脅威、脆弱性、テクノロジーの変化に適用出来ているか継続的に監視します。

４．リスクマネジメント方法3選

リスクマネジメントの基本は、リスクの特定、リスクの分析、リスク評価、リスク対応を行っていくことと説明させて頂きました。
次に、リスクマネジメント3つの方法をご紹介します。

①リスクマネジメントフレームワーク（RMF）

組織や情報システムにおける情報セキュリティリスクの管理方法を定めます。
３で説明したようなリスクマネジメントの基本的な手法になります。

②全社的リスクマネジメント（ERM）

リスクマネジメント活動に関する全社的な仕組みやプロセスのことです。
RMFで構築したリスク管理方法を組織全体で継続的に回していく仕組みも含みます。
具体的な方法は決まっていませんが、リスクマネジメント活動に関する全社的な仕組みやプロセスを導入しPDCAを回し継続的に改善していくことが必要です。

③クライシスマネジメント（危機管理）

危機的な事態が発生した場合、可能な限り迅速かつ適切な対応をとり、平常状態へ復旧させることです。
リスクマネジメントは、危機を発生させないように管理しますが、クライシスマネジメントは危機が発生した場合の管理方法のことです。

まとめ

ISMS（ISO27001）のリスクマネジメントとは、

企業における情報資産を特定し、情報資 産のリスク（危険）に対してアセスメント（分析、評価）を行い企業活動のマネジメント（管理）することです。

企業におけるリスクマネジメントの導入は、情報資産が溢れている昨今の情勢では取り組むべき重要な管理方法です。

「仕組みは理解できても、自社に適した方法がよくわからない…」というケースも多いと思います。
お困りの際は、是非無料相談でコンサルタントにご相談ください。