INFORMATION SECURITY / RISK MANAGEMENT
情報セキュリティのリスク特定とは？ 脅威・脆弱性の違いから対策まで
「情報が漏れるかもしれない」で終わらせず、何が・なぜ・どう困るのかを説明できるようになるための入門ガイド。
身近な場面：小さなネットショップを運営しているとしたら？
注文を受け付けるサイトには、お客さんの氏名、配送先住所、注文履歴が保存されています。ある日「顧客情報が流出したらどうしよう」と心配になりました。しかし、心配しているだけでは、何を優先して直せばよいか判断できません。
リスク管理は、不安を「具体的に説明できる問題」に変え、限られた予算で対策を選ぶための仕組みです。
1. まずは「脅威」「脆弱性」「リスク」を分ける
この3つは混同されがちですが、指すものが違います。情報セキュリティの用語体系を整理するJIS Q 27000 / ISO/IEC 27000でも、区別して扱われています。
脅威（Threat）
被害を引き起こす可能性のある原因
例：攻撃者による不正アクセス、ランサムウェア、停電
脆弱性（Vulnerability）
脅威につけ込まれ得る弱点
例：弱い管理者パスワード、未修正のソフトウェア、バックアップ不足
リスク（Risk）
目的に対する不確かさの影響
例：不正ログインで顧客情報が流出し、顧客対応や信用低下が発生する可能性
脅威が存在しても、適切な保護策があれば被害の発生可能性を下げられます。反対に脆弱性が残っていても、どのような脅威が利用できるのか、影響はどの程度かを見なければ、優先順位は決められません。
理解を助ける模式図。実際のリスクは資産の価値、既存の管理策、発生の不確かさ、影響などを踏まえて評価します。
2. 「リスク特定」で、心配事を説明できる形にする
リスク特定（Risk Identification）は、リスクを発見・認識・記述するプロセスです。何が起点となるのか、どんな事象が起き得るか、その原因と結果は何かを整理します。
| 整理する項目 | ネットショップの例 |
|---|---|
| 守りたい資産 | 顧客データベース（氏名・住所・注文履歴） |
| リスク源・脅威 | 外部の攻撃者による不正ログイン |
| 弱点・原因 | 管理者の共通パスワードと多要素認証の未導入 |
| 想定する事象 | 管理画面への不正ログインと顧客データの持ち出し |
| 起こり得る結果 | 個人情報の漏えい、顧客への連絡、業務停止、信用低下 |
「サイトが危ない」では対応しづらくても、「共通パスワードが悪用され管理画面に侵入される」という記述なら、パスワードの個別化や多要素認証を検討できます。リスク特定は対策の優先順位を決める前の作業です。
3. 特定・分析・評価・対応は別々の仕事
リスク特定
何が起こり得るかを見つけ、原因・事象・影響を記述する。
リスク分析
発生可能性や影響の大きさ、既存の管理策などを調べ、リスクの水準を把握する。
リスク評価
分析結果を判断基準と照らし合わせ、受け入れられるか、優先的に対応すべきかを決める。
リスク対応
リスクを変えるための選択と実施。低減・回避・共有（移転を含む）・受容などを検討する。
たとえば「顧客情報が漏れる可能性」を見つけるのが特定、可能性と被害規模を調べるのが分析、対応の優先度を判断するのが評価、多要素認証などを導入するのが対応です。リスク評価とリスク対応は名前が似ていますが、意思決定と対策実行という点で違います。
4. 対策によってリスクはどう変わる？
以下のラボでは、ネットショップの情報漏えいシナリオを題材に、対策前後のリスク水準を比べます。可能性と影響をそれぞれ1〜5の仮の尺度で設定し、積をリスク点数として表示します。
INTERACTIVE LAB
リスク特定・評価・対応を体験
シナリオを選び、対策をONにしてリスク点数がどう変わるかを確かめましょう。
守りたい資産
顧客データベース
脅威
外部の攻撃者
脆弱性・原因
弱い管理者認証・広すぎるアクセス権
起こり得る事象
管理画面への侵入と顧客情報の持ち出し
事業への影響
顧客対応・信用低下・業務負担
実施するリスク対応を選択
対策前
20 / 25点
可能性 4 × 影響 5 = 高リスク
選択した対策の実施後
20 / 25点
可能性 4 × 影響 5 = 高リスク
まだ効果を見込める対策が選ばれていない状態です。対策はシナリオによって効き方が異なります。
教育用の仮想モデルです。現実のリスク点数や個々の対策効果を保証するものではありません。リスクの受容可否は組織が定める基準で判断します。
この点数は説明用の単純化したモデルです。実際の現場では、個人情報の性質、被害の連鎖、法的な義務、管理策の実効性なども考慮し、組織ごとの基準に基づいて判断します。
5. 対応策は「セキュリティ製品を買う」だけではない
リスク低減
多要素認証を導入する、管理画面のアクセス元を制限する、監視を行う、定期的に復旧訓練を行うなど、可能性や影響を下げる方法です。
リスク回避
扱う必要がない情報の収集をやめる、危険性の高い機能を廃止するなど、そもそも原因となる活動をしない判断です。
リスク共有・移転
保険や契約などで損失の一部を他者と分担する方法です。ただし、委託や保険だけで自社の説明責任や信用への影響がなくなるわけではありません。
リスク受容
費用と効果を比較し、残るリスクを認識して受け入れる判断です。誰が、どの基準で、いつ見直すかを決めておくことが大切です。
6. 「対策したら終了」ではない
攻撃手法、システム構成、事業環境は変化します。新しい管理画面を公開した、委託先を変更した、顧客情報の種類が増えた――そうした変更があるたび、リスクを再特定して見直す必要があります。
実務で使える確認ポイント
- 守るべき情報やサービスが明確か
- 誰が・どんな弱点を利用し得るかを説明できるか
- 起こり得る結果が事業への影響につながっているか
- 対策の実施者と期限、残留リスクの責任者が決まっているか
- システム変更やインシデントを受けて見直す仕組みがあるか
まとめ
脅威は被害の原因、脆弱性は利用され得る弱点、リスクは目的に対する不確かさの影響です。リスクを特定してから、分析・評価・対応へ進むことで、ただ不安を挙げるだけでなく、根拠を持って守り方を決められます。
セキュリティの第一歩は、難しいツールを導入することよりも先に、「何を守り、何が起き、なぜ困るのか」を具体的な文章で説明することです。