基礎概念

リスク

Risk

定義

リスクとは「脅威が脆弱性を突いた場合に生じる潜在的な損害の大きさ」で、一般に「リスク＝脅威の発生可能性 × 影響度」で表現されます。同じ脆弱性でも、それが組織の重要資産に関わるものか・攻撃者が実際に狙っているかによって現実のリスクレベルは大きく変わります。リスク管理では「特定→評価→対応→監視」のサイクルを繰り返し、対応策には①低減（技術的対策）②移転（サイバー保険・アウトソース）③回避（該当システムを使わない）④受容（対策コストより損失が小さい場合）の4種類があります。ISO 27001・NIST CSF・SOC 2などのフレームワークに共通するのは「すべてを守ろうとするのではなく、リスクの高いものから優先的に対策する」という思想です。経営判断としてのリスク受容はドキュメント化と定期的な見直しを行い、残留リスクを常に見える化しておくことが重要です。