動態的リスクニーズの変化、技術の変化、産業組織の変化などによるリスク。静態的リスク自然災害、人間のミスにより生じるリスク。これはギャンブル同様にマイナスだけでなく、プラスの可能性もある。純粋リスク自然災害、人災などで生じるリスク。情報セキュリティのリスク分析で対象とする。†リスク分析はリスク発見、リスク特定、リスクアセスメント(リスク策定)にわけて実施される。損害を及ぼす可能性を明らかにすること。重要なリスクを特定して管理対象にすること。リスクアセスメント(リスク策定)リスクの顕在化確率や影響を定量的・定性的に把握すること。分析したリスクに対して対策を施していく。リスク評価システムを監査する。その結果を次回のリスク分析に活用する。リスク分析の結果、情報システムのどの部分に弱点があるかを知ることができる。これに基づいて、予想損失額の大きい順やリスクランクの大きい順などの順位付けを行い、評価して、セキュリティ対策を講じて、実施していく。リスク分析は一度行えばよいというものではない。上記のサイクルを絶えず繰り返して、安全で安定した情報システムの運用を図っていかなければならない。†リスクアセスメントの結果の需要水準以下ではないが、情報資産価値が非常に高く、脅威の発生頻度が低い残留リスクに対しては、事業継続計画を実行できるように反映していく。リスク低減済みの情報資産であっても、その情報資産価値が最高位のものに対しては、「それでも事故が発生したら」という発想で、事業継続管理の対象にすることが望ましい。†リスク処理の方法はリスクコントロールとリスクファイナンスにわけられる。リスクコントロールは、リスクそのものをどうにか制御使用とするもの。リスクファイナンスは、リスクに対して財務的対応によってどうにかしようとするものである。情報セキュリティを考えるときは、リスクを測り、分析し、その対策を講じ、実施することが重要である。情報セキュリティにとって、リスク分析の持つ意味は大きい。リスクは「危険」という意味であるが、一般的には予想される結果とのずれの度合いのことである。この結果を標準あるいは基準として捉えると、情報セキュリティにあってはセキュリティ基準ということができる。コンピュータシステムの運用管理を充実させ、その安全性や信頼性を向上させるための運用面での対策基準。†すべてのリスクに対応することは時間と費用がかかるために、損失額と発生確率を予想してリスクの大きさの順に優先順位をつける。頻度は低いが金額が大きいものは、経営者が意思決定を行う。ここで、対策費用についてもリスク分析の対象となる点に注意が必要である。Analysis:故障の木解析)という。†リスク分析法は大別して、次の2つの方法がある。定量的リスク分析法(定量的手法)一定期間内に発生する損失を原因別に金額で表示する。定性的リスク分析法(定性的手法)予想される損失を相対的な数値(大きさ・影響度の順位)で表す。・日本でも最近は情報セキュリティリスクを数値化して、事前に十分な対策を行う方向にある。・結果が金額で表されるのでわかりやすいというメリットがある。予想損失額を算出することは容易なことではないが、対象となるデータについて、次のようなコストを合算した値を計算して求める。式にすると次のようになる。年間予想損失額(ALE)を損失を発生する予想頻度(f)、損失発生一回当たりの予想損失額(i)とする。300年に1回ならf=1、30年に1回ならf=2、3年でf=3、そして100日≒0.3年でf=4と定義する。一種類のデータについて、インテグリティ(改変と破壊)・機密性・可用性についてワークシートに記入し分析を行う。一定期間に生じると予想される損失を原因別または金額の大きい順に表示するには次のように計算する。(リスク)=(予想損失額)×(発生確率)予想損失額は損害発生により直接損失を被る資産と、営業機会を失うことによる間接的損失額の和である。・リスク分析ではできれば定量的に金額で表示して行うことが望ましい。すべての段階において定量的に評価するのは難しい。定量的リスク分析法よりも容易に主要なリスクを知ることができるので、定性的な方法によって主要なリスクを知った上で、それについて定量的な分析を行うとリスク分析を効果的に行うことができる。・予想損失を金額で評価することが困難な場合、相対的な数字(ランク付け)で表す。・情報セキュリティ分野においては一般的に使用される手法である。PD3002にて提示されている詳細リスク分析のみであり、ほかは独自の観点からの評価手法を展開している。同じようにインタビューを行い、得られた答えに点数を割り付け、その得点を集計してリスクの大きさを表す方法。スレッドシナリオ法リスク分析チームを編成し、ブレインストーミングによって発生する可能性がある脅威を拾い上げる。このデータをもとに起こり得るリスクシナリオを作成し、発生する可能性の大きさにしたがってリスクをランク付けして、相対的な値を与える。情報セキュリティ対策として最も適切な方法である。メリット適切な体制を組んでリスク分析が実施できる。体系的、効果的な分析方法を検討・選択した上で実施できる。PDCAサイクルによってリスク分析の結果が最適であったか確認できる。継続的に情報セキュリティ活動を行っていくため、その都度適切な内容でのリスク分析ができる。デメリットマネジメントシステムを運用するための作業工数が必要になる。リスク分析を開始する前に体制組みや分析方法の決定などの準備が必要になる。分析の対象範囲が限定的で扱う資産が少なく、検討すべき対策がある程度見えてしまっている場合の手法である。メリット早くスタートできる。作業の全体量が相対的に少なくなる。デメリットマネジメントシステムがないので、対策の実施までフォローされない。進め方の良し悪しについてチェックされないまま進む場合が多くなり、プロジェクト担当者の自己満足で終わってしまう危険がある。†とにかく何らかの対策をして、危険な部分を洗い出さなければならない場合の手法である。メリットとにかく早い。デメリット効果があるかどうかは、実施者の経験とスキルに依存する。中規模・大規模の企業では、大きな効果は期待できない。小規模企業であっても業務が多岐にわたっている場合は、大きな効果は期待できない。リスク分析の中で全社的巻き込みができないため、対策実施がうまくできない可能性が高くなる。†リスクは時間の経過によって変化し続ける。リスクは場所や人によって大きく左右される。リスクを定量的(金額)に洗い出すことは必要だが、絶対的な方法はなく、ある程度の妥協は必要である。リスクはある程度までは機械的に洗い出せるため、分析ツールやシステムを活用することは有効な手段といえる。リスク分析の品質を上げるためには、実際の業務やシステムを熟知している者の協力が不可欠である。リスク分析は迅速にかつ定期的に実施する必要がある。リスク分析の結果、緊急度の高い項目があった場合は、ポリシーの策定を待つことなく、即座に対策を実施する。インタビュー(4594d)。