ISMS)組織が手軽に情報セキュリティを推進するための様々な知識・ノウハウを集めたサイトです。»リスク分析リスクは、「組織の活動の遂行を阻害する事象の発生の可能性」と定義され、様々な機器、システム、組織など、あらゆるものに内在しています。これらの内在するリスクを正しく把握し、大きさを測定することにより、このリスクをどのように処置すべきかについて判断することが可能になります。このプロセスをリスク分析といいます。リスク分析を正しく行うことにより、リスクを低減させる対策を効率的に行うことが可能になります。仮にリスクが内在したままの状態でも、事前にリスクの存在を正しく把握していることで、リスクが現実に発生してしまったときでも適切な対処が実施できます。一般的には、「ベースラインアプローチ(チェックリストやアンケートに答えることによりセキュリティ上の問題点を洗い出し、ベースとなる既存の基準やガイドラインから管理策を選ぶ手法です。)」と下記で解説する「詳細リスク分析」を組み合わせた「組み合わせアプローチ」を取る方法が一般的です。(GMITSで推奨)詳細リスク分析は大変なので、重要な情報資産の部分のみ詳細リスク分析を行い、全体にはベースラインアプローチで対処します。【詳細リスク分析】1.情報資産の洗い出しまずは、守るべき情報資産を洗い出します。一般的に情報資産とは、コンピュータで処理されるデータやコンピュータそのもの、ネットワーク設備など様々なものがあります。顧客から預かった紙情報なども情報資産になります。同じ種類の情報資産でも存在する場所が異なれば、別の情報資産としての洗い出しが必要です。組織の規模によりかなり膨大な数になるので、詳細リスク分析の適用範囲をあらかじめ絞り込んでおくことも必要です。洗い出した情報資産に対してこれを数値化します。一般的には情報資産の重要度を3-4段階程度に評価します。観点からそれぞれ3-4段階に分け、これらの平均値を取るやり方がより正確に評価できます。洗い出した情報資産に対して脅威を識別し評価します。具体的な脅威(攻撃)の内容を洗い出し、その発生頻度について、一般的には下記のように3段階程度に評価します。洗い出した情報資産に対して脆弱性を識別し評価します。具体的な脆弱性の内容(とられている脅威に対するセキュリティ対策)を洗い出し、一般的には下記のように3段階程度に評価します。リスクの大きさを算出します。一般的には情報資産の重要性、脅威の大きさ、脆弱性の大きさを掛け合わせたものがリスクの値となります。18算定されたリスクの値をリスク基準と比較するリスク評価を実施します。リスク基準とは、その組織にとってリスク値を低減させるような対策をとるかどうかの基準になります。リスク分析からリスク評価の一連の流れをリスクアセスメントといいます。