この章で学ぶこと

第1〜2章では「何が脅威で、攻撃者はどう動くか」を学びました。この章からは視点を変え、組織がこうした脅威にどう向き合うか——情報セキュリティマネジメントの土台を学びます。まず情報セキュリティの基本原則（何を守るのか）を押さえ、次にリスクマネジメントの基礎、リスクアセスメントの手法（どう測るか）、リスク対応（どう手を打つか）という順で積み上げます。次章では、この土台の上に立つ組織・標準・ガイドラインを学びます。

情報セキュリティの基本原則と設計思想

情報セキュリティが守るべき対象は、伝統的に機密性（許可された人だけがアクセスできること）・完全性（情報が正確で改ざんされていないこと）・可用性（必要なときに使えること）の3要素（CIA）で説明されます。2027年シラバスではこれに加えて、本人や情報が偽物でないことを保証する真正性、誰が何をしたか後から追跡できる責任追跡性、後になって「やっていない」と言わせない否認防止、システムが意図通り一貫して動作する信頼性も明記されており、CIAだけでは説明しきれない現代的な要件を補っています。

システムを設計する段階での考え方としては、1つの対策が破られても次の対策で守る多層防御(Defense in Depth)、設計の最初からセキュリティを組み込むセキュリティ・バイ・デザイン、初期設定の状態が最も安全になるようにするセキュア・バイ・デフォルト、必要最小限の権限だけを与える最小権限の原則、故障時に安全側・安全な状態に倒すフェイルセーフ／フェイルセキュア、そして第1章で学んだ攻撃対象領域をそもそも小さくしておく攻撃対象領域の最小化があります。これらは個々の対策技術（第6〜7章）の背後にある「なぜその対策をするのか」の理由づけになる考え方です。

扱う用語（精選・13語）

• 機密性／完全性／可用性／真正性／責任追跡性／否認防止／信頼性
• 多層防御(Defense in Depth)／セキュリティ・バイ・デザイン／セキュア・バイ・デフォルト／最小権限の原則／フェイルセーフ／フェイルセキュア／攻撃対象領域の最小化

リスクマネジメントの基礎と情報資産

組織的にリスクを扱う枠組みの国際規格がリスクマネジメント(JIS Q 31000)です。日常的に発生しうる出来事を情報セキュリティ事象、その中でも実際に損害や悪影響につながる可能性が高いものを情報セキュリティインシデントとして区別します。業務上必要な人にだけアクセス権を与える利用者アクセス権の管理(need-to-knowの原則など)は、前節の最小権限の原則を実務に落とし込んだものです。

クラウドサービスを利用する場合、どこまでを事業者が守り、どこからを利用者が守るのかを明確にするクラウドサービスの責任共有モデルの理解が欠かせません。自社のサーバーだけでなく外部委託やクラウドサービスの利用時における情報セキュリティまで含めて考える必要があります。リスクを管理する第一歩は、何を守るべきかを把握することです。組織が保有する情報資産を一覧化した情報資産台帳を作り、それぞれの情報資産を取り巻く脅威を洗い出します。

扱う用語（精選・9語）

• リスクマネジメント(JIS Q 31000)／情報セキュリティ事象／情報セキュリティインシデント
• 利用者アクセス権の管理(need-to-knowの原則など)
• クラウドサービスの責任共有モデル／外部委託やクラウドサービスの利用時における情報セキュリティ
• 情報資産台帳／情報資産を取り巻く脅威

リスクアセスメントの手法

リスクには様々な種類があります。業務プロセス上のミスによるオペレーショナルリスク、取引先経由で波及するサプライチェーンリスク、外部サービスの障害に起因する外部サービス利用のリスク、従業員の不用意な投稿によるSNSによる情報発信のリスク、国際情勢に起因する地政学的リスクなど、リスクの種類を正しく分類することが対策の第一歩です。

リスクの大きさを金額で見積もる代表的な指標が、1回の損失発生でどれだけ損害が出るかを表す単一損失予想額(SLE)、それが年間何回起こるかを表す年間発生率(ARO)、両者を掛け合わせた年間の予想損失総額である年間予想損失額(ALE)です（ALE = SLE × ARO）。リスクを分析する進め方には、簡易的に一律の基準で評価するベースラインアプローチ、経験や知見に頼る非形式的アプローチ、時間をかけて緻密に評価する詳細リスク分析、これらを組み合わせる組合せアプローチがあり、国際規格ISO/IEC 27005がリスクマネジメントの実施手順を定めています。

具体的なプロセスとしては、まずリスクをどこまで許容するかというリスク基準を定め、リスクの大きさの度合いであるリスクレベルを、発生可能性と影響度を軸にしたリスクマトリックスで可視化します。特定のリスクに対して責任を持つリスク所有者、リスクの発生源であるリスク源を明確にしたうえで、リスクアセスメントのプロセス(リスク特定・リスク分析・リスク評価)を進めます。組織や個人がリスクをどれだけ積極的に取るか、あるいは避けるかという姿勢をリスク態度(リスク選好・リスク回避的態度)と呼び、数値化しにくい要素を言葉で評価するリスクの定性的分析と、金額や確率で数値化するリスクの定量的分析を組み合わせて評価します。

扱う用語（精選・14語）

• リスクの種類(オペレーショナルリスク・サプライチェーンリスク等)
• 単一損失予想額(SLE)／年間発生率(ARO)／年間予想損失額(ALE)
• リスク分析のアプローチ／ISO/IEC 27005
• リスク基準／リスクレベル／リスクマトリックス／リスク所有者／リスク源／リスクアセスメントのプロセス／リスク態度／リスクの定性的分析／リスクの定量的分析

リスク対応とその後の管理

リスクの大きさを評価したら、具体的にどう手を打つかというリスクコントロールを検討します。選択肢は4つに整理でき、そもそもその活動自体をやめるリスク回避、対策によってリスクの大きさを下げるリスク低減(軽減)、保険や外部委託でリスクを他者と分担するリスク移転(共有)、対策コストが見合わないためそのまま受け入れるリスク保有(受容)というリスク対応の選択肢から、状況に応じて選びます。

対応を決めたら実行に移すためのリスク対応計画を作り、組織内のリスクを一覧管理するリスク登録簿に記録します。関係者にリスクの状況を伝えるリスクコミュニケーションも欠かせません。どれだけ対策を講じても、リスクをゼロにすることはできず、対策後もなお残るリスクを残留リスクと呼びます。最終的に、この残留リスクを組織として受け入れてよいかを判断するリスク受容の承認を経て、一連のリスクマネジメントのサイクルが完結します。

扱う用語（精選・7語）

• リスクコントロール／リスク対応の選択肢(リスク回避・リスク低減・リスク移転・リスク保有)
• リスク対応計画／リスク登録簿／リスクコミュニケーション
• 残留リスク／リスク受容の承認

AIで学ぶ

ここまでの用語は、ChatGPTやClaudeなどの生成AIに以下のプロンプトを投げかけると、比較表つきでさらに深く掘り下げて学習できます。コピーして使ってみましょう。

あなたは情報処理安全確保支援士（SC）試験の講師です。「リスクマネジメントと情報セキュリティの基本原則」の範囲について、以下の用語を初学者向けに**関連づけながら**説明してください（単体の丸暗記より、リスクマネジメントの一連の流れ「情報資産の洗い出し→リスクアセスメント→リスク対応→残留リスクの受容」のどこに位置する用語かを理解したほうが記憶に定着しやすいためです）。ALE=SLE×AROの関係が分かる計算例も1つ示し、用語同士の違いが分かる**比較表**を最後に付けてください。

【基本原則と設計思想】機密性、完全性、可用性、真正性、責任追跡性、否認防止、信頼性、多層防御(Defense in Depth)、セキュリティ・バイ・デザイン、セキュア・バイ・デフォルト、最小権限の原則、フェイルセーフ／フェイルセキュア、攻撃対象領域の最小化
【リスクマネジメントの基礎】リスクマネジメント(JIS Q 31000)、情報セキュリティ事象、情報セキュリティインシデント、利用者アクセス権の管理、クラウドサービスの責任共有モデル、外部委託やクラウドサービスの利用時における情報セキュリティ、情報資産台帳、情報資産を取り巻く脅威
【リスクアセスメントの手法】リスクの種類、単一損失予想額(SLE)、年間発生率(ARO)、年間予想損失額(ALE)、リスク分析のアプローチ、ISO/IEC 27005、リスク基準、リスクレベル、リスクマトリックス、リスク所有者、リスク源、リスクアセスメントのプロセス、リスク態度、リスクの定性的分析、リスクの定量的分析
【リスク対応とその後の管理】リスクコントロール、リスク対応の選択肢(リスク回避・リスク低減・リスク移転・リスク保有)、リスク対応計画、リスク登録簿、リスクコミュニケーション、残留リスク、リスク受容の承認

このプロンプトが「情報資産の洗い出し→リスクアセスメント→リスク対応→残留リスクの受容」という一連の流れを軸に整理させているのは、この章の用語がバラバラの知識ではなく、リスクマネジメントという1つのプロセスの各段階に対応しているためです。ALE=SLE×AROのような計算例を実際に手を動かして確認すると、暗記ではなく理解として定着します。

章末チェック

最後に、この章で学んだ知識をアウトプットして定着させましょう。全問に答えたら「答え合わせ」を押してください。

この章のまとめ

この章では、機密性・完全性・可用性をはじめとする情報セキュリティの基本原則、リスクマネジメントの基礎、ALE/SLE/AROを使ったリスクアセスメントの手法、そしてリスク対応の選択肢と残留リスクの受容までを学びました。ここで押さえた「リスクをどう測り、どう手を打つか」という一連の流れは、次章で学ぶ組織・標準の話や、第5章のISMS運用管理策の土台になります。

次章では、この土台の上に立つ情報セキュリティ関連組織と、国内外の標準・ガイドラインを学びます。→ 第4章 情報セキュリティ関連組織・標準・ガイドライン