2020年04月09日 05時00分 公開
特集/連載

いまさら聞けない「リスク評価」「リスク分析」「リスク管理」の違いとは?各プロセスの連携は必須

「リスク評価」「リスク分析」「リスク管理」は何が違うのか。セキュリティ対策と予算計画の適切な意思決定をするために、これらの違いを理解しよう。

[Katie Donegan,TechTarget]

 「リスク評価」「リスク分析」「リスク管理」は、同じ意味で使用されることが少なくはなく、同義語であると考える人もいる。しかし実際にはそれぞれが独自のプロセスだ。IT管理者やビジネスリーダーはこれを理解しておく必要がある。

 基本的には、リスク評価は「情報」であり、リスク分析は「処理」であり、リスク管理は「計画」だ。本稿はこれらの違いと、優れた情報セキュリティ対策を実現するためにこれらを組み合わせる方法を詳しく説明する。

目次

リスク評価とは

 リスク評価は、既存のセキュリティ対策や、潜在的な脅威に対する組織の体制を評価する。リスクが緩和できない場合に発生する可能性のある影響も説明する。

 組織やその業界によって、リスク評価の目標は異なる。一般的な目標としては、

  • 現時点で保有しているリスクの種類や量をまとめた「リスクプロファイル」の策定
  • IT資産やデータ資産のインベントリ作成
  • セキュリティ対策のコストのサポート

などがある。

 組織はリスクを評価する際、リスク評価の一般的なフレームワーク(骨組みとなるドキュメント集)を使用した方がよい。フレームワークは、特にITインフラのセキュリティリスクに関する情報を優先順位付けして共有するのに役立つ。理想的には、フレームワークには技術的な背景を持つ人にも持たない人にも分かる言葉が含まれていることが望ましい。

リスク分析とは

ITmedia マーケティング新着記事

news051.jpg

ミレニアル世代・Z世代の離職意向が低下、コロナ禍を機に精神的健康も改善――Deloitte調査
世界各国のミレニアル・Z世代約2万7500人を対象にした年次調査。今回は新型コロナウイル...

news078.jpg

新規事業の実態 最重要KPI「100%以上達成」は約2割――クニエ調査
新規事業の「最重要KPI」「スケジュール遅延」「開発規模」の結果に対して、その要因とな...

news056.jpg

福田康隆氏、NEC東海林直子氏らが語る営業のデジタルシフト まずどこから始めればいい?
お客さまに会って課題を与えてもらうスタイルから、営業自身が課題を先に探して提示する...