セキュリティリスク台帳とは｜脅威・弱点・業務影響を分けて書く

セキュリティリスク台帳は、心配なことを並べる表ではなく、どの業務に何が起き、誰が何をするかを合意するための資料です。脅威は被害を起こす要因、弱点は悪用される条件、影響は起きた場合の業務上の結果として分けます。「ランサムウェアが怖い」だけでは、優先して改善する場所を決められません。

リスク評価では、公開範囲や利用状況、情報の重要度、既存の管理策を確認します。技術的に深刻な弱点でも到達経路が限られる場合があり、逆に点数が低めでも重要業務に直接関わる場合があります。判断の根拠と不確実な点を明記し、対策後に残るリスクを誰が受け入れるのかを決めます。

複数の対応を一つの業務で比較する学習はSGのリスク対応ケースで、台帳の項目から対策の併用・残留リスク・承認までつなげられます。

評価値は事実そのものではなく、決めた尺度に基づく判断です。組織ごとに異なる尺度を混ぜて順位を付けたり、対策を予定しただけで残余リスクを低くしたりしないようにします。

一つの行に複数の異なる事故を詰め込まず、対象と被害の経路を具体化します。対策の完了には、設定の反映や訓練結果などの根拠を求めます。評価の見直し日は、導入・変更や事故の後にも設けてください。

リスクの受容は担当者一人の都合で決めず、権限を持つ責任者が判断します。受容理由と再確認する条件を残すことで、放置した項目と区別できます。

尺度を作る時は、低・中・高の例を業務に近い言葉で示します。停止が一部署で済む場合と顧客への提供を止める場合、公開情報と顧客情報では影響が異なります。数値を付ける前に、同じ前提で評価しているかを関係者と合わせます。根拠が取れない発生確率を精密な百分率にしないようにします。

対策費用だけで判断すると復旧の負担や契約への影響を見落とします。逆に最大の損害だけを並べても選択できません。実行可能な選択肢と残るリスクを比較し、対応しない項目にも判断者と見直し条件を残します。

サイバーセキュリティの学習ガイドで、このテーマを資産・リスクと運用管理の中に位置付けてください。関連する前提は情報資産台帳の作り方、脆弱性の優先度はCVSSだけで決める？KEV・公開範囲・業務影響の比較で確認できます。

資格対策との接点は情報・サイバーセキュリティ管理士の概要へ。用語を理解した後は登録不要の無料お試し20問で、別の状況でも判断できるか確かめてください。記事のテーマを全て公式の出題項目とする説明ではありません。