ISMS（ISO27001）のリスク受容基準とは、自社で取り扱っている情報資産のリスクに対して、対策を行うかどうか決定する基準のことです。

ISMS（ISO27001）を構築する上で、リスク受容基準を数値化して情報資産の重要度・脅威・脆弱性それぞれのスコアを決めてリスク対策を行うといいでしょう。

１．リスク受容基準とは

リスク受容基準とは、自社で取り扱っている情報資産のリスクに対して、対策（＝リスク対応）を行うかどうかを決定する基準のことを指します。

ISMS（ISO27001）の構築段階で、

・どの基準を超えたらリスク対策を行うのか
・どの程度のレベルのリスクなら対策をしないのか

を明確にする必要があります。

２．リスク受容基準の決め方事例

具体的なリスク受容基準を考えていきましょう。
組織によって多少考え方が違う部分もありますが、是非参考にしてみてください。

やり方は様々あるのですが、今回は、リスク受容基準を数値化して合計スコアで考えていきます。

情報資産のリスクについて

①重要度
②脅威
③脆弱性

の３つの観点でスコアを決めます。

・合計スコアが「10」を超えた情報資産はリスク対応を行う必要がある
・合計スコアが「10」未満の情報資産は、リスクを受容する（＝リスクを認識しながらも対策は行わない）
と仮定していきます。

今回はサンプルで基準を「10」としてみました。 スコア最低値が「５」で最高値が「15」のため、中央値である「10」を基準にしました。

まず「10」を基準と設定して一度リスクアセスメントをやってみて、
「10だと厳しすぎる…」となれば、11とか12に上げればいいですし、
「10だと易しすぎる…」となれば、９や８に下げましょう。

基準値を低く設定すればするほど厳しくなりますし、基準値を高く設定すると易しくなります。

３．リスク受容基準を用いてリスクアセスメントをしてみよう

①重要度
情報資産の重要度スコアは、情報セキュリティの３大要素である機密性・完全性・可用性の３つの観点から数値化します。
機密性・完全性・可用性でそれぞれスコアを出して、合計してください。

■機密性(Confidentiality)

■完全性(Integrity)

■可用性(Availability)

②脅威
次に脅威のスコアを下記の表で出しましょう。

③脆弱性
最後に、脆弱性のスコアを出しましょう。

例として、「履歴書」のスコアを出してみましょう。

まずは重要度の機密性。
採用選考中だったり入社前の人材の情報もある場合は社外秘にあたるので、スコアは「２」になります。

続いては完全性。
たとえば履歴書内の電話番号に誤りがあった場合、連絡がとれなくなり業務に差しさわりが発生するなら、「２」となります。

最後に可用性。
１日程度の利用停止が許容できるが、利用停止があった場合、業務・サービスに影響を及ぼすに該当するとして、「２」とします。

つまり、重要度は、機密性「２」、完全性「２」、可用性「２」で、「６」となります。

続いて、②脅威のスコアを考えていきましょう。
履歴書を紛失した場合、業務停止にはならないが信用を失うことにもつながるので「２」とします。

最後に③脆弱性のスコアを決めていきます。
組織での履歴書の取り扱いを見て判断し、今回は「３」とします。

以上で情報資産の重要度、脅威、脆弱性のスコアが決まりました。
６＋２＋３＝11
合計スコアは「11」となります。
基準である「10」を超えているので、「リスク対応が必要」という結論に至ります。

やり方によっては、足し算でなく掛け算を用いて点数を出すケースもあります。
その場合、重要度×脅威×脆弱性　８×２×２＝32　となり、基準は27前後になるケースが多いように思います。

ここまでがリスクアセスメントです。

こちらの記事でもISMSのリスクアセスメントについて解説しておりますの是非でご覧ください。
ISMS(ISO27001)リスクアセスメントとは｜手順と実施方法３選

まとめ

ISMS（ISO27001）のリスク受容基準とは自社で取り扱っている情報資産のリスクに対して、対策を行うかどうか決定する基準です。

基準値を低く設定すればするほど厳しくなりますし、基準値を高く設定すると易しくなります。

ISMS新規認証取得・運用について詳しく知りたい方はコチラ
月額4万で全ての作業をサポート！新規認証コンサルティング
審査認証率100%！運用・更新コンサルティング

ISO・Pマークについてのお悩みはありませんか？

プロのコンサルタントにお気軽にご相談ください。

• 無料お問合せ
• オンライン
  相談予約

ISO・Pマークについてのお悩みはありませんか?

プロのコンサルタントにお気軽にご相談ください。

• 無料お問合せ
• オンライン相談予約