会員限定
2015/05/31 掲載

「本当に残留リスクはない？」リスク対応と残留リスク

情報セキュリティの投資対効果を追求する

ありがとうございます！
いいね！した記事一覧をみる

会員になると、いいね！でマイページに保存できます。

セキュリティ総論

|

タグをもっとみる

情報セキュリティマネジメントを導入し、リスク対応を行い、教育や監査も実施しているにも関わらず、情報漏えい事件を起こしてしまった、という組織が後を絶たない。一方、情報セキュリティマネジメントには、以前から残留リスクという考え方があるにも関わらず、リスク対応しているので残留リスクはないとする組織が多数見受けられる。今回は、リスク対応と残留リスクについて再び考察してみたい。

執筆：加藤道明

加藤道明

○シニアセキュリティコンサルタント ○JIPDEC ISMS主任審査員（ISJ-B00023） ○財団法人日本科学技術連盟所属MS審査員（ISMS、ITSMS、BCMS） ○平成15年度保健医療福祉分野ISMS制度WGメンバー ○電気情報通信学会員　金沢工業大学大学院（情報工学専攻）卒業、1986年関西日本電気入社、日本電気、住商情報システムのセキュリティ・ソリューション課長を経て、2004年9月独立開業、現在に至る。　基幹業務システム（主に販売管理と生産管理）と情報通信およびセキュリティに精通。1997年、金沢市と米国サンフランシスコのオフィス間にVPN（仮想閉域網）を構築。以来、ネットワークセキュリティ、情報セキュリティマネジメント、個人情報保護に関して、コンサルティングや教育およびシステム設計で数多くの実績を持つ。また、行政系介護支援事業における個人情報保護コンサルティングおよび同事業情報セキュリティ委員会事務局などの経験もあり。ISMS/BS7799、プライバシーマーク認証取得および運用、また、システムセキュリティ設計の実績豊富。

これまでの連載

▲ 閉じる ▼ すべて表示

リスクマネジメントの枠組み

　　リスクマネジメントの枠組みを整理すると図1のようになる。まずは、事業上の課題と利害関係者からのニーズ及び期待を洗い出し、リスクアセスメントを実施し、リスクアセスメントの結果よりリスク対応計画を策定する。続いて、リスク対応計画を実施してもなお残る残留リスクについても明確にし、リスク対応計画を併せてリスク所有者の承認を得る。リスク対応計画の実施にあたっては、目標を定め、実施し、そのパフォーマンス評価として、定めた目標の達成状況を評価・レビューする。これがリスクマネジメントの基本的な枠組みであり、それぞれのアウトプットが次のインプットになることが重要なポイントである。