Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。最新の動向を知ることができる場として、好評を得ています。Academy」や、すべてのITパーソンに向けた「新エバンジェリスト養成講座」などの講座を企画しています。EnterpriseZine編集部ならではの切り口・企画・講師セレクトで、明日を担うIT人材の育成をミッションに展開しております。市場を勝ち抜く企業はどこにIT部門から“組織変革”を~気鋭のトップランナーを訪ねる~EnterpriseZine編集部が最旬ITトピックの深層に迫る。ここでしか読めない、エンタープライズITの最新トピックをお届けします。前回は、情報セキュリティのリスクの構成要素である「脅威」と「脆弱性」について説明しました。これまでの連載で説明した通り、情報セキュリティ対策を実施するには、組織を取り巻く情報セキュリティ上のリスクにどんなものがあり、それによってどのような被害や影響を及ぼす可能性があるのかを知らなければなりません。そのために欠かせない作業が「リスクアセスメント」です。今回は、情報セキュリティにおける「リスクアセスメント」のプロセスとアプローチについて解説いたします。3「リスク算定」と「リスク評価」リスクアセスメントにおけるポイント情報セキュリティにおける「リスクアセスメント」とは?情報セキュリティ上のリスクに包括的かつ体系的に対応するために、組織を取り巻くリスクを明らかにしなければなりません。そこで、リスクの分析や評価を行ったうえで、どのようにリスクに対応するかを決定していくことが必要となります。この一連の作業項目を「リスクアセスメント」と呼んでいます。情報セキュリティにおけるリスクは、一般的に以下のような式で示されます。脆弱性この式によって求められる値を、一般に「リスク値」と呼んでいます。このリスク値を算出することにより情報セキュリティ上のリスクがどの程度なのか、その度合いを知ることができるようになります。識別、評価できなければならないのです。「リスクアセスメント」は、一般的に下の図表のような流れで行われます。今回は、この流れのリスク算定までのプロセスとリスク分析の主な手法について、解説していきます。リスクアセスメントの流れこの中で、前回説明した脅威と脆弱性の識別や評価は、以下のような流れとなります。前回までのおさらいも兼ねて、その流れを見ていきましょう。組織が保有している(情報)資産を識別し、その資産に関連する脅威を識別します。その脅威に関連する脆弱性を識別し、これらを関連付けます。そのうえで、組織において損害が発生するような脅威がどのくらいの可能性で発生しうるかを評価します。プロフェッショナルフェローソフトバンク、日本ユニシスを経て、現職。情報セキュリティコンサルティング、情報セキュリティ監査業務を経て、現在は主にセキュリティ教育業務を担当。政府機関やIT資格団体等の委員も務めている。主な所有資格は、CISSP。Day、DataTechという、3つのイベントを開催しております。それぞれ編集部独自の切り口で、業界トレンドや最新事例を網羅。20:10INFORICH、新サービス「CheerSPOT」「NaviSPOT」を発表──黒字転換で事業拡大へ新着記事一覧を見るイベントイベントカレンダーを見る講座イベントカレンダーを見る「EnterpriseZine」(エンタープライズジン)は、翔泳社が運営する企業のIT活用とビジネス成長を支援するITリーダー向け専門メディアです。データテクノロジー/情報セキュリティ/システム運用の最新動向を中心に、企業ITに関する多様な情報をお届けしています。イラストの無断転載を禁じます。記載されているロゴ、システム名、製品名は各社及び商標権者の登録商標あるいは商標です。