【必見】ISMSリスクアセスメントのやり方を徹底解説！具体例と参考例で初心者でも安心
- 【監修者】金光壮太(ISOトラストのコンサルタント)
- 3月25日
- 読了時間: 9分
▼ 目次
1. はじめに
1.1. 本記事の目的と想定読者
ISMS（Information Security Management System）を導入するうえで、リスクアセスメントはとても大切なプロセスです。なぜなら、組織が持つ情報資産（データやシステム）にどんな危険があるかをしっかりと見つけ出し、必要な対策を考えることがISMSの土台になるからです。
こんな方におすすめ:
初めてISO27001認証に挑戦する企業担当者
リスクアセスメントの方法を実務的に知りたい初心者
審査対応で「リスク評価が甘い」と指摘を受け、改善したい管理者
この記事を読むことで、ISMSのリスクアセスメントとは何か、どのように進めればよいのか、また他社事例や具体例をもとにした実践的なポイントをつかむことができます。
1.2. ISMSリスクアセスメントが重要な理由
情報資産を守るための基盤: どんな脅威があって、弱点（脆弱性）がどこにあるのか知らなければ、有効なセキュリティ対策を立てられません。
審査でも厳しくチェック: ISO27001の審査員は、「どのリスクが高いと判断し、どの管理策を導入しているか」を必ず確認します。根拠があいまいだと不適合になりやすいです。
1.3. 本記事で得られるメリット
リスクアセスメントの基本手順を初心者にもわかりやすく理解できる
具体例・参考例を通じて、すぐに実務に活かせるノウハウが得られる
審査対応のポイントを押さえることで、ISMS導入や更新がスムーズになる
2. ISMSリスクアセスメントとは？基本の考え方
2.1. リスクアセスメントの定義
ISO27001では、リスクアセスメントを「脅威や脆弱性を特定し、リスクの大きさを評価するプロセス」としています。
脅威（Threat）: 情報資産に悪い影響を与える可能性のある要因（例：ハッキング、マルウェア、自然災害、内部不正）
脆弱性（Vulnerability）: 組織の弱点（例：パッチ未適用、セキュリティルール不備、人材教育不足）
リスク（Risk）: 脅威×脆弱性の組み合わせによって起きる被害の可能性と大きさ
2.2. 初心者が混同しやすい用語
脅威は「何が起こりうるか」
脆弱性は「その脅威が成功する理由」
リスクは「脅威が発生すると、どれだけ被害が出るか（影響度）と、どの程度起きやすいか（発生可能性）」をあわせて考える
2.3. リスクアセスメントがISMSで占める位置づけ
管理策を選ぶ前段階: リスク評価が不明瞭だと、管理策を過剰に導入してコストが膨らむか、逆に重要対策を見落としてしまう
コンサル経験談: ある企業は全リスクを「高」で評価し、全対策を入れようとして運用が破綻。経営層と協議して優先度を絞った結果、効果的かつコストも抑えられた
3. リスクアセスメントのやり方：初心者向けステップ解説
3.1. ステップ①：情報資産の洗い出し
資産リストの作成
顧客データ、社員情報、会計・財務システム、製品設計図 など
他社事例: IT企業B社はプロジェクト単位でサーバーやアプリをひとつずつ洗い出し、担当者を紐づけた
重要度判定
事業に欠かせないもの、外部規制上重大なもの、顧客契約で保護が必須なものなど優先順位をつける
3.2. ステップ②：脅威・脆弱性の特定
脅威リスト: 攻撃（ハッキング、ランサムウェア、フィッシング）、自然災害（地震、台風）、人為ミス（誤送信）、盗難 など
脆弱性チェック: OS未更新、パスワード使い回し、物理施錠が甘い 等
プロの視点: 社員や現場へのヒアリング、過去トラブル報告を使うと精度が上がる
3.3. ステップ③：リスク評価（発生可能性×影響度）
スコアリングか定性評価
“高・中・低”などの3段階、あるいは数値スコアなど、組織規模や文化に合わせて
優先度を決定
発生可能性が高く、影響も大きいリスクを最優先で対策する
3.4. ステップ④：リスク対応策の選定（管理策導入）
オプション: 回避、軽減、移転、受容
附属書Aや他のセキュリティフレームワークで管理策を探し、コスト・リスクを見合いに判断
コンサル体験談: 金融機関C社は高リスク領域に多額投資し、低リスク領域は最小限対策でコストバランスを取った
3.5. ステップ⑤：文書化・周知と見直し
リスクアセスメント結果報告書: 資産、脅威、脆弱性、評価、対策を一覧化
PDCAサイクル: 半年・1年ごと、または組織変更時に再評価。継続的に改善し審査時にも常に新鮮な情報を提供
4. 具体例・参考例：リスクアセスメントのケーススタディ
4.1. 製造業A社の在庫管理システム
資産: 工場在庫システム、IoTセンサーデータ
脅威: マルウェア感染、停電、内部不正
脆弱性: OS未更新、物理施錠が甘い倉庫サーバー室
リスク評価: 発生可能性“中”、影響度“高”→ 優先度“高”
対応策: パッチ管理ツール導入、UPSによる電源確保、在庫データの定期バックアップ
4.2. IT企業B社の顧客データベース
資産: SaaS上の顧客情報、ソースコードリポジトリ
脅威: 不正アクセス、ディスク障害、開発者の離職時持ち出し
脆弱性: アクセス制御未設定、退職者のIDが残っている
リスク評価: 発生可能性“高”、影響度“中〜高”
対応策: 多要素認証（MFA）、退職即アカウント停止、クラウドへの自動バックアップ
4.3. 金融機関C社のオンラインバンキング
資産: 顧客口座情報、決済システム
脅威: フィッシング、DDoS攻撃、自然災害
脆弱性: DDoS対策装置の冗長性不足、地方支店の災害対策未整備
リスク評価: 発生可能性“中”、影響度“極めて高”
対応策: DRサイト構築、DDoS防御サービス契約、支店間データ同期をクラウド化
5. 審査対応：リスクアセスメントでよくあるチェック項目
5.1. リスク評価が本当に行われているか
審査員の質問例: 「どうやって脅威や脆弱性を見つけたの？」「影響度は何を基準に算出？」
独自情報: コンサル経験では、社内でヒアリング・過去事例調査が必須。形だけの表はすぐ見破られる
5.2. 管理策との整合
ポイント: リスクレベル“高”の資産に対し何ら対策をしていないと疑問視される
不採用理由の説明: 脅威はあるが発生確率低いなら受容など、合理的根拠を示せばOK
5.3. 最新性・継続的な見直し
審査員: 「リスク評価はいつ更新？新サービス導入後に再評価した？」
プロの視点: 半年〜1年に一度は見直しを実施、組織変更や大きなトラブル発生時も即再評価が理想
6. 運用とコミュニケーション：リスクアセスメント結果の活かし方
6.1. 全社員への教育・周知
社員がどのリスクが重要かを理解すると、セキュリティルールが浸透しやすい
他社事例: サービス業D社はリスク上位5つを掲示し、朝礼で月1回共有→ トラブル発見率が上がる
6.2. 経営層や関連部門との連携
管理策は予算が必要: 高リスク対策に投資するため、リスク金額換算など経営者の説得材料が有効
部門別対策: 部門長は“自部署に関連するリスク”を把握し、対策実施を責任もって実行
6.3. インシデント対応との連動
事故発生時: どのリスクで想定したものかを確認し、対策が効いているか検証
PDCAサイクル強化: 事故後に評価表をアップデート→ 同じリスクで再発を防止
7. よくある失敗例と回避策
7.1. リスクアセスメントが形骸化
原因: 外部コンサルに丸投げ、社員が内容を知らない
回避策: 内部メンバー中心でリスクを洗い出し、定期的に更新。コンサルは補助役に
7.2. 全部「高リスク」でコスト過剰
原因: 具体的発生確率や影響度を考慮せず、一律に深刻と判定
回避策: 経営層と相談し、“発生可能性×影響度”をちゃんと評価。受容できるリスクは低めに設定
7.3. 更新が追いつかず審査で指摘
原因: 新システム導入や組織変更時にリスク表改定を怠る
回避策: 内部監査やマネジメントレビューで「最近追加のIT資産や業務は？」と確認し、随時リスク表に反映
8. Q&A：ISMSリスクアセスメントに関する疑問
8.1. 「初心者でもリスクアセスメント表を作れますか？」
回答: 十分可能。Excelなどで“資産・脅威・脆弱性・評価・対策”を整理するシートを作り、まずは定性評価（高・中・低）から始めるのが一般的
8.2. 「リスクスコアはどう算出するのがベスト？」
回答: 組織文化に合わせる。3段階評価でもOK。大企業では5段階や数値掛け算を採用。大事なのは一貫性と運用しやすさ
8.3. 「同じ業種の他社事例は参考になる？」
回答: とても有用。ただし同じ業種でも規模やITインフラが異なるので、そのままコピーせず、自社リスクにカスタマイズすること
8.4. 「リスクアセスメント後、どのくらいの頻度で見直す？」
回答: 半年〜1年に一度＋大きな組織変更や大規模システム導入時には都度再評価。定期監査やレビューで見落としがないか確認
9. まとめ：ISMSリスクアセスメントのやり方を徹底解説！具体例と参考例で初心者でも安心
9.1. 記事の総括：ポイントの再確認
リスクアセスメントはISMS運用の土台。誤った評価や不十分な分析は、管理策のミスマッチや大きなセキュリティリスクを生む
手順: (1)資産洗い出し→(2)脅威・脆弱性特定→(3)評価（発生可能性×影響度）→(4)管理策選定→(5)文書化・定期見直し
具体例: 製造業A社、IT企業B社、金融機関C社それぞれで異なる資産と対策
審査対応: リスク評価の根拠や管理策の整合性、定期的にアップデートしている点を示せれば高評価を得られる
9.2. 次のアクション：導入・運用ガイド
Excelなどでリスクアセスメント表を簡単に作り、定性評価から始める
脅威・脆弱性を部署ごとにヒアリングし、優先度をつける
経営層と相談し、対策コストや不採用理由を整理
内部監査やレビューで定期見直し→ PDCAサイクルを回す
あとがき
ISMSリスクアセスメントは、企業が扱う情報を守るための最初かつ最重要のプロセスです。どんな脅威や弱点があるかを正しく把握しなければ、せっかくのセキュリティ対策も無駄になりがち。また、審査でもここが不十分だと不適合が出やすい部分です。本記事のステップや事例を参考にして、まずはシンプルなリスク評価から始め、組織や業務の変化に合わせて見直しを繰り返すことで、実効性の高いISMSを構築できます。最終的には、審査合格だけでなく、実際のセキュリティ強化にも大いに役立つでしょう。
この記事の監修者情報
金光壮太 (ISOコンサルタント)
大手商社にて営業を経験した後、ISOコンサルティングに従事。ISO9001、14001、27001を中心に、各業界の課題や特性に応じたシステム構築や運用支援を行い、企業の業務効率化や信頼性向上に貢献。製造業や建設業など、多岐にわたる業界での豊富な経験を活かし、お客様のニーズに応じた柔軟なソリューションの提案を得意としている
コメント