リスクをどう洗い出し評価するか——リスクアセスメントには複数の手法があります。ベースライン・詳細リスク分析・組み合わせアプローチなどの特徴を比べましょう。
紺野 アキ
リスクって、どうやって『これが危ない!』って見つけるの?
銀城 ナディア 先生
それを体系的にやるのがリスクアセスメントよ。
リスクを特定し、分析して、基準と照らして評価する一連の流れね。
灰原 さや
やり方にはいくつかのリスク分析手法があるのですよね。
代表的なのが4つと聞きました。
銀城 ナディア 先生
ええ。
まずベースラインアプローチ。
あらかじめ決めた標準的な対策基準（ベースライン）を一律に適用して、達成できているか確認する方法ね。
紺野 アキ
それって楽そうだけど、細かい事情は無視しちゃわない?
銀城 ナディア 先生
鋭いわ。
手軽で早い反面、個々の実情に合わず過剰や過小な対策になりやすいのが欠点よ。
灰原 さや
次が詳細リスク分析ですね。
資産・脅威・脆弱性を洗い出し、それぞれの資産価値や発生可能性から一つ一つリスクを評価します。
薔薇崎 ねむ
それは丁寧そうですけど、大変そうですぅ……
銀城 ナディア 先生
そう、精度は高いけれど時間とコスト、専門知識が大きくかかるの。
だから全資産に使うのは現実的でないこともあるわ。
灰原 さや
3つめは非形式的アプローチですね。
担当者や外部の経験・知識に頼って評価する方法です。
銀城 ナディア 先生
手早いけれど、評価者の力量に左右されて客観性や再現性に欠けるのが弱点ね。
紺野 アキ
じゃあ結局どれが一番いいの? どれも一長一短じゃん。
銀城 ナディア 先生
そこで実務でよく推奨されるのが組合せアプローチよ。
重要な資産には詳細リスク分析を、それ以外にはベースラインを適用するの。
灰原 さや
重要度に応じて手法を使い分けることで、精度とコストのバランスをとるわけですね。
薔薇崎 ねむ
いいとこ取りなんですねぇ。
だから推奨されるんですかぁ。
銀城 ナディア 先生
そのとおり。
評価の後はリスク対応（低減・回避・移転・保有）に進むわ。
まずは自組織に合う手法選びが第一歩ね。
確認クイズ
重要な情報資産には詳細リスク分析を適用し、それ以外の資産にはベースラインアプローチを適用するなど、資産の重要度に応じて分析手法を使い分けるリスク分析手法はどれか。
- ベースラインアプローチ
- 詳細リスク分析
- 非形式的アプローチ
- 組合せアプローチ
こたえを見る
正解: 4. 組合せアプローチ
重要度に応じて複数の手法を使い分けるのは組合せアプローチで、精度とコストのバランスをとれるため一般に推奨される。ベースラインアプローチは標準的な対策を一律に適用する手法、詳細リスク分析は資産・脅威・脆弱性を個別に評価する高精度だが高コストな手法、非形式的アプローチは評価者の経験・知識に依存する手法であり、いずれも単独の手法を指す。