リスクマネジメント

読み：りすくまねじめんと　／　英語表記：risk management

• セキュリティ
• 性能・監視・運用

目標の達成に影響する不確かさを把握し、評価、対応、監視を継続する管理活動。対策の効果とコストを考慮し、組織の目的に沿って対応を選び、見直していく。

イマシルちゃんの解説

リスクマネジメントは、目標の達成に影響する不確かさを調べ、対応と見直しを続ける管理活動だよ。
例えばシステムを安定して使うには、故障や情報漏えいで業務がどう困るかを考えておく必要があるんだ。
まず危険を洗い出し、発生の見込みや被害の大きさを調べて、何から備えるかを決めるよ。
この調査と判断をまとめてリスクアセスメントというんだ。
その結果をもとに、予備の機器を用意するなどの対応を選んで実行するの。
全部の危険をなくすのは難しいから、残った危険も把握し、状況が変わったら対応を見直していくんだよ。

より深い解説

評価から見直しまで

情報システムでは、守る対象、業務上の影響、脅威、脆弱性などを整理する。脅威は損害を生じさせる要因、脆弱性は悪用され得る弱点であり、同一ではない。

識別、分析、評価をまとめた活動がリスクアセスメントである。それだけで対策の実行や運用が完了するわけではない。

対応の選択肢

保険に加入しても、情報漏えいという事象そのものが起こらなくなるわけではない。費用だけでなく、利用者への影響や復旧可能性も考える。

残るリスクを管理する

対策後にも残るものが残留リスクである。担当者が黙って放置するのではなく、責任者が内容を理解し、必要な承認を行う。受入れの条件や再評価の時期を記録する。

発生可能性と損失額の積は、定量化の一つの目安になる。ただし、低頻度でも壊滅的な被害や、金額にしにくい信用の損失を単純な平均値だけで判断してはならない。

緊急時対応との違い

事故発生時の連絡、隔離、復旧は重要だが、リスクマネジメント全体の一部分である。事前の備え、教育、監視、経営上の意思決定も含む。対策を一度導入して終えるのではなく、組織やシステムの変更に合わせて再評価する。

実際の試験ではここに出る！全1問

テクニカルエンジニア（ネットワーク）

午前

• H20秋 問51

この用語が出てくる記事

• ISMS
• インシデントハンドリング