リスク評価は、既存のセキュリティ対策や、潜在的な脅威に対する組織の体制を評価する。リスクが緩和できない場合に発生する可能性のある影響も説明する。

　組織やその業界によって、リスク評価の目標は異なる。一般的な目標としては、

• 現時点で保有しているリスクの種類や量をまとめた「リスクプロファイル」の策定
• IT資産やデータ資産のインベントリ作成
• セキュリティ対策のコストのサポート

などがある。

　組織はリスクを評価する際、リスク評価の一般的なフレームワーク（骨組みとなるドキュメント集）を使用した方がよい。フレームワークは、特にITインフラのセキュリティリスクに関する情報を優先順位付けして共有するのに役立つ。理想的には、フレームワークには技術的な背景を持つ人にも持たない人にも分かる言葉が含まれていることが望ましい。

リスク分析とは

　組織に影響を及ぼす可能性の最も高い脅威を特定し、これらの脅威に対する組織の脆弱（ぜいじゃく）性を分析することが、リスク分析の主な目的だ。リスク分析は、組織の意思決定に影響を与える可能性がある脅威に対処するためのコストを推定し、管理するために実施する。リスクを適切に分析するためには、さまざまなネガティブイベントを考慮する必要がある。ネガティブイベントの一例は、自然災害、公衆衛生問題、人為的な事象（従業員の悪意のある行為や偶発的な脅威）などだ。

　リスク分析は最初のステップとして、リスク評価調査を実施する。次に組織はその結果を特定して分析。さらにリスク管理計画を策定して実施する。継続的にリスクを監視し、その結果に応じて計画を更新することが必要だ。

　一般的にリスク分析には2つの手法がある。定性的なものと定量的なものだ。定性的なリスク分析は、リスク発生の可能性とその潜在的な影響を予測する。影響は低、中、高のいずれかのランクを付ける。定量的な分析は、各リスクのコスト面での影響を推定する手法だ。

リスク管理とは

　リスク管理とは、リスクを管理するための管理方針、手順、慣行を体系的に適用することを指す。リスクを管理するためには、組織がリスクを特定し、評価し、取り扱い、監視し、伝達することが必要だ。

　これらの条件を遂行するために、組織が実行できる戦略が幾つかある。一般的なリスク管理の戦略には、リスクの回避、リスクの低減、リスクの共有、リスクの保持などがある。リスク管理計画は、組織のリスクプロファイルの幾つかの重要な要素を明確化する必要がある。具体的には、リスクを管理するためにどのようなステップを踏む必要があるか、それらのステップのためにどのように予算を組むかといったことだ。

　組織はリスク管理戦略を策定する過程で、最も重要な脅威と、想定外のコストが発生する可能性を特定する必要がある。この計画プロセスで学んだことは、新たに発見されるリスクに対する防御を強化したり、それらのリスクにより良く対処するための追加予算を要求したりするために利用できる。

リスクの評価、分析、管理の相互連携

　リスク評価、分析、管理にはそれぞれ異なる役割があり、相互に連携することで最適に機能する。リスク評価から得られる情報をリスク分析の際に調査することによって、リスク管理計画を現実的なものにできる、といった具合だ。組織がリスク軽減策を最適化するためには、リスク評価、分析、管理を実施するチームが、それぞれの取り組みが他のチームや組織全体の防御にどのような影響を与えるかを知っておく必要がある。