なぜ「リスクアセスメント」が必要なのか
本コラムは、経済産業省・IPAが策定した「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、その要求事項を中国古典『孫子の兵法』の視点から読み解くシリーズです。
前回は「資産管理」を取り上げ、自社が何を持っているのかを把握する重要性を整理しました。
大分類：リスクの特定 ／ 中分類：リスクアセスメント（3-2）
リスクアセスメントとは何か（SCS評価制度の要求）
SCS評価制度では、次のように定められています。
脆弱性の管理体制及び管理プロセスを定め、それに基づく管理を行うこと。
この要求事項には、
- 脆弱性や脅威に関する情報収集
- リスクの評価と優先順位付け
- 対応判断と実施
- 記録と点検
が含まれています。
リスクアセスメントは調査作業ではなく、被害を受けにくい状態を維持するための活動です。
なぜリスクアセスメントが必要か（孫子における考え方）
孫子は戦いにおいて、勝敗は戦場で決まるのではなく、その前に決まると考えました。
勝兵先勝而後求戰，敗兵先戰而後求勝
―『孫子兵法・軍形篇』
（勝つ軍はまず勝つ態勢を整えてから戦い、敗れる軍は戦ってから勝とうとする）
リスクアセスメントも同じです。
問題が発生してから対処するのではなく、
- どのような脅威が存在するのか
- どのような脆弱性があるのか
- どのリスクを優先すべきか
をあらかじめ把握し、必要な対策を講じることが求められています。
勝つために戦うのではなく、勝てる状態を作ることがリスクアセスメントの本質です。
まず敗れない状態を作る
孫子はさらに次のようにも述べています。
昔之善戰者，先為不可勝，以待敵之可勝
―『孫子兵法・軍形篇』
（昔の名将はまず敗れない態勢を整え、敵に勝てる機会を待った）
サイバーセキュリティにおいても、攻撃そのものを完全になくすことはできません。
しかし、
- 情報収集を行う
- 脆弱性を把握する
- リスクを評価する
- 適切な対策を実施する
ことで、被害を受けにくい状態を作ることは可能です。
リスクアセスメントとは、「敗れない状態」を整えるための活動とも言えます。
情報収集の仕組み
評価基準では、脆弱性や脅威に関する情報収集が求められています。
例えば、
- 新たに発見された脆弱性
- 流行している攻撃手法
- 自社が利用している製品に関する注意喚起
などを継続的に把握することが必要です。
状況を把握できなければ、適切な判断も対策もできません。
判断基準と優先順位
収集した情報に対して、すべて同じように対応するわけではありません。
- 影響はどの程度か
- 発生する可能性は高いか
- どの資産に影響するのか
を踏まえて判断する必要があります。
限られた人員や時間の中で対策を進めるためには、優先順位付けが重要です。
重要なリスクから対応することで、効率的に「勝てる状態」を作ることができます。
脆弱性の把握と継続的な見直し
前回の資産管理では、「何を持っているか」を把握しました。
リスクアセスメントでは、その資産に対して
- どこに弱点があるのか
- どこが攻撃されやすいのか
- どのような影響が生じるのか
を確認します。
また、評価結果や対応内容を記録し、定期的に見直すことも求められています。
資産を把握するだけでは防御は成立せず、弱点を理解して初めて適切な対策につながります。
まとめ
リスクアセスメントとは、
- 脅威を調べる作業でもなく
- 脆弱性を確認する作業だけでもなく
- 形式的なチェックでもありません
組織が被害を受けにくい状態を維持するための戦略的な活動です。
前回の資産管理によって「何を守るか」が見えました。
次に必要になるのが、
何によって被害を受ける可能性があるのかを把握し、優先順位を付けて備えることです。
勝てる状態を整えてから戦う。
それがリスクアセスメントの本質です。
チェック：リスクアセスメントは機能しているか
以下はチェックシートです。
すべてに☑が付く状態が望ましい状態です。
- ☑ 脅威や脆弱性の情報を継続的に把握しているか
- ☑ 自社の弱点を把握できているか
- ☑ 対応すべきリスクを判断できているか
- ☑ 優先順位に基づいた対応が行われているか
- ☑ 対応内容を記録・振り返りしているか
もしこれらに一つでも☑を付けられない場合、
リスクを適切に評価できていない可能性があります。
まずは、自社にどのようなリスクが存在するのかを整理することから始めましょう。
