もう迷わない！情シスのための「リスクアセスメント評価表」作成ガイド
情報システム部門（情シス）にとって、セキュリティ対策の土台となるのが「リスクアセスメント」です。ISMS（ISO 27001）やPマークの更新、あるいは経営層への予算申請など、欠かせない業務の一つといえます。
一方で、「評価項目が多すぎて、どこから手をつければいいか分からない」「評価基準が主観的になってしまう」「作成しただけで活用できていない」といった課題も抱えがちです。
この記事では、情シスが現場で実際に使えるリスクアセスメント評価表の作り方と、評価基準のポイントを解説します。
情報セキュリティ対策の課題と解決方法に関する資料はこちらからダウンロードできます！
目次[非表示]
なぜ「リスクアセスメント評価表」が必要なのか？
リスクアセスメントの目的は、管理すべき情報資産や業務基盤の優先順位を決め、限られたリソース（予算・人手）を最適化することです。リスクアセスメント評価表を作成することで、以下の3つのメリットが得られます。
▼リスクアセスメント評価表のメリット
リスクの可視化：なんとなく危険と感じていた事象を数値化し、組織全体で共有できる
投資の正当化： セキュリティ対策費の必要性を、経営層へ客観的に説明できる
属人化の防止： 担当者が変わっても、同じ基準でリスクを判断できる
このように、リスクアセスメント評価表は、作業効率と分析精度のバランスを保ちながら、実務と意思決定の両方に活かせるセキュリティ対策の土台になります。
評価表を構成する「5つの基本要素」
リスクアセスメント評価表を作成する際は、まず次の5つの要素が必要です。
▼リスクアセスメント評価表の5つの基本要素
情報資産： 何を守るか（例：顧客管理システム、社用PC、社員名簿、サーバー）
脅威： 何が起こるか（例：不正アクセス、紛失・盗難、設定ミス、自然災害）
脆弱性： どんな弱点があるか（例：OSが古い、パスワードが単純、運用ルールが不十分）
発生可能性：どのくらいの頻度で起こりそうか。
影響度： 実際に発生したときの被害はどのくらいか。
これらの要素を整理し、統一された評価軸を持つことが必要です。
ITリスクについては、こちらの記事で解説しています。
リスク値の算定ステップ
リスクアセスメントでは、リスクの大きさを数値として把握します。リスク値（リスクの大きさ）を算出することで、対応の必要性や優先順位を判断し、どのリスクに対して、どのような対策を講じるべきかを決定できます。リスク値は、一般的に以下の数式で算出します。
▼リスク値の計算式
リスク値 = 発生可能性 × 影響度 |
このリスク値を算出するためには、「発生可能性」と「影響度」の評価基準を定義しておくことが不可欠です。
STEP 1｜評価基準を定義する
「高い」「低い」という言葉は人によって感覚が異なります。そのため、数値と評価内容を対応づけた基準表を事前に用意しておくことがポイントです。
▼【発生可能性】の評価基準例
スコア | 頻度・現状 |
3（高） | 過去1年以内に発生している、または対策が未実施である |
2（中） | 過去に業界内での発生事例があり、対策が一部にとどまっている |
1（低） | 発生した事例がほぼない、または高度な対策が完了している |
▼【影響度】の評価基準例
スコア | 事業継続・費用面 | 信頼・法的側面 |
3（大） | 全社業務が停止する | 報道発表が必要 |
2（中） | 一部部署の業務が停止する | 顧客への個別説明・謝罪が必要となる |
1（小） | 業務への影響は軽微で、数時間で復旧可能である | 内部的な是正処置で対応可能である |
評価基準を定義しておくことで、効率的で公平な評価につながります。
STEP 2｜リスク値の判定と対応
定義した評価基準をもとにリスク値を算出し、対応の優先順位を決定します。すべてのリスクに同じ対応を行うのではなく、リスク値に応じて対応レベルを判断することが重要です。
▼判定基準と対応レベル
リスク値 | 対応レベル |
6～9 | 直ちに対応が必要（最優先の投資・対策対象） |
3～4 | 計画的に対応を検討 |
1～2 | 現状維持、または許容（リスク受容） |
このように、リスクを数値化し対応レベルを把握することで、限られたリソースを優先度の高いリスクへ効率的に配分できます。
情シスが陥りやすい「3つの落とし穴」
せっかく作成したリスクアセスメント評価表も、使い方次第では十分に活用されなくなります。実務に活かすために、以下の3つの点に注意しましょう。
1.最初から完璧を求めすぎない
すべてのPC、USBメモリ、SaaSを1つずつ評価しようとすると、作業量が膨大になります。まずは「個人情報を取り扱う」「停止すると売上や業務に直結する」といった影響の大きい重要資産に絞ってスモールスタートするのが現実的です。
2.情シスだけで完結させない
システムの脆弱性は情シスで把握できますが、業務への影響度は現場のユーザーでなければ分からない部分も多くあります。「このデータが1日使えないと、具体的にどのように困るか」と現場へヒアリングを行うことで、精度の高い評価につながります。
3.評価して満足して終わる
リスクアセスメント評価表は「診断書」であり、その後の対策が本番です。リスク値が高いものに対し、「いつまでに、誰が、どの予算で対策するのか」といったリスク対応計画とセットで運用することが重要です。
評価だけで終わらせず、具体的なアクションにつなげることで、リスクアセスメント評価表は本来の意味を持つといえます。
まとめ
この記事では、情シスが現場で実際に活用できるリスクアセスメント評価表について、以下のポイントを解説しました。
リスクアセスメント評価表が必要とされる理由
評価表を構成する5つの基本要素
リスク値の算定ステップ
情シスが陥りやすい運用上の落とし穴
リスクアセスメント評価表は、セキュリティ対策の土台となります。情シス担当者に求められるのは、限られたリソースのなかで、どのリスクを優先的に対応すべきかを判断し、実行につなげることです。
『FGLテクノソリューションズ』では、安定したITインフラ運用を支えるため、セキュリティ対策や保守管理をはじめとしたIT分野の幅広いサポートを行っています。貴社のセキュリティポリシーや運用状況に応じて、必要な対策をご提案いたします。
情報セキュリティ対策の課題と解決方法に関する資料はこちらからダウンロードできます！
