★ 本記事のテーマ
「MECE(もれなくかぶれなく)」 かつ「シンプル」
作らないと目的達成ができません
実際に「リスクアセスメント表」を作成して、わかった重要なポイントを解説します。
- ① 自分の首をしめがちなリスクアセスメント表
- ② 【重要】リスクアセスメント表の作り方を解説！
- ③ リスクアセスメントの目的はシンプルに「リスクを除去」すること
① 自分の首をしめがちなリスクアセスメント表
ISMSに限らず、マネジメントシステムでは、リスクを特定することが重要で、よくアセスメント表を作ります。
でも、重要と分かっていても「いいイメージ」ないですよね！
よくあるISMSリスクアセスメント表
よくあるISMSリスクアセスメント表を図にしてみます。
あなたの組織やあなたが担当するリスクアセスメント表も似たものではないでしょうか？
リスクアセスメント表の問題点
上図のリスクアセスメント表は
作り直した方がよいでしょう。
なぜか？
理由は簡単です！
「Ｎｏ！」と思いますよね！
それが理由です！
ではどこが、いやと思うところかを解説します！
★ リスクアセスメント表の課題
図でまとめましたが、
- 脅威やリスクを挙げるとき、
MECEかつ粒度をそろえないから、
読み手が「なぜ？」と思いながらの活用することになる - 項目がMECEかつ粒度がバラバラなため、
100個近くの項目と拡大しがち。
100個もリスク対応はやってられない。 - 課題と施策が単に裏返しで終わると、
根本的な解決にならない。 - 点数付けに手間をかけるが、
その値に意味はそもそもない。 - リスク対応として「受容」、「回避」、「低減」など、
あいまいなレベルを入れがち。
本来「除去」以外必要か？
なので、
② 【重要】リスクアセスメント表の作り方を解説！
QCプラネッツがおススメな「リスクアセスメント表」の作り方を解説します。
リスクアセスメントは最もsimpleであれ！
簡単です！
- 脅威やリスクの項目化はMECEかつ粒度をそろえる
- 項目がMECEかつ粒度を維持しつつ最小限に抑える
- 課題を解決する施策を考える
- リスクレベルを最小限にする。
何と言っても
です。
よく、リスクレベルは「高」、「中」、「低」と三段階にしますが、
ＱＣプラネッツからおススメしたいのは
そもそも、
リスクが有れば、無くすことが重要だし、それ以外の活動は要らない。
くらいの割り切りが重要です。
リスクをMECEかつシンプルに分ける
情報セキュリティにおけるリスクをMECEかつシンプルに分けてみます。ここは、クリティカルシンキングが得意な人が担当するとベターです。
自分の首を絞めるリスクアセスメント表になるので要注意です。
先ほどの、「よくあるしんどいリスクアセスメント表」では、リスク項目が次の16になっていました。
- 自然災害
- 火災
- 停電
- 断水
- ハードウェアの故障
- ネットワーク構成要素の技術的障害
- 操作ミス
- 保守的エラー
- 資源の誤用
- 盗難
- 記憶媒体の不正使用
- 不正な方法でのソフトウェア使用
- 悪意のあるソフトウェア
- 不正なユーザによるネットワークへのアクセス
- 不正な方法でのネットワーク設備の使用
- 違法行為
いかがでしょうか
違和感があります。
MECE(漏れかぶれ)でないし、粒度もあっていないから
ＱＣプラネッツも見た瞬間、思考停止になりました。
この表では表を管理するだけで精一杯で、
組織の情報セキュリティ対策まで
効果が出せるとは思えません。
★16個の項目の問題点
- 「自然災害」、「火災」、「停電」、「断水」とあるが、
「火災、停電、断水」は自然災害？人災？どちらとも読める。 - 「操作ミス」と「保守的エラー」は
何が違う？同じ？
同じ場合もあるのでは？ - などなど…
「記憶媒体の不正使用」、
「不正な方法でのソフトウェア使用」、
「悪意のあるソフトウェア」、
「不正なユーザによるネットワークへのアクセス」
「不正な方法でのネットワーク設備の使用」は
その下にある
「違法行為」と何が違う？同じ？
といろいろツッコミ所があると、リスクアセスメント表は使いたくないとなるはず。
★リスクの分け方をＱＣプラネッツが提唱
リスクを層別していくと、次の項目分けを提唱します。
いかがでしょうか？
- MECEかつシンプルに層別した
- 層別すると8種類で済む
- 情報セキュリティのリスクは最終的には
「情報破壊」と「情報漏洩」の２つである - この層別で、「各リスク項目を列挙」しても、
少ない項目で網羅的にリスク対策ができる
(100項目にはならないはず)
リスクアセスメント表を提唱
先程、提唱したリスクアセスメント表をさらに書くと下表になります。
3段階ではなく、2段階の
「高」と「低」だけとしてはいかがでしょうか？
どうでしょうか？
是非、活用してみてください。
③ リスクアセスメントの目的はシンプルに「リスクを除去」すること
リスク評価・レベルは最小限でいい
リスク評価は、
- リスク受容
- リスク回避
- リスク低減
- リスク除去
など、いろいろありますが、
の１本立てでよいと考えますし、
リスクレベルは「高」と「低」
の２つでよいでしょう。
リスクアセスメントの目的を見失うな！
いろいろな声を聴いて
たくさんあるリスク評価や
3以上あるリスクレベル
になる気持ちは十分わかりますが、
他のマネジメントシステムより要求が多く、
煩雑になりがちな情報セキュリティだからこそ
１つ１つの対応はシンプルを追求しましょう。
リスクアセスメントですが、
煩雑なリスクアセスメント表に飲まれてはいけない！
リスク除去できればシンプルなアセスメントで十分！
手段が目的化するという履き違いがよく発生するところです。
まとめ
以上、「ISMS,ISO27001リスクアセスメントがわかる」を解説しました。
- ① 自分の首をしめがちなリスクアセスメント表
- ② 【重要】リスクアセスメント表の作り方を解説！
- ③ リスクアセスメントの目的はシンプルに「リスクを除去」すること