- PDCA：Plan − Do − Check − Act
- Cによって把握できるもの
自社の経営計画の実行状況
- Cによって把握できるもの
- PDS：計画(Plan) − 実施(Do) − 統制(See/Control)
- 計画(Planning) − 組織(Organizing) − 統制(Controlling)
- 類型
- 職能部門別組織( 職能別組織 / 機能別組織 / ファンクショナル組織)
企業において遂行される購買・生産・販売・財務などの諸活動を、その活動の機能・性質に従って分類することによって編成された組織構造
- カンパニー制組織
迅速な意思決定、経営責任の明確化を目指し、企業の中に事業領域ごとに独立した仮想的な会社組織を設ける経営組織形態 - 事業部別組織構造
利益責任（業績責任）とその業務遂行に必要な職能を製品別、顧客別、地域別などに持つことによって、自己完結的な経営活動を展開できるような組織単位（事業部）によって構成される組織構造
製品や市場ごとに社内組織を分割し、利益責任単位として権限と目標が与えられる
製品、地域などで構成された組織単位に、利益責任をもたせる- 戦略的事業単位(SBU ； Strategic Business Unit)
既存の事業部制に全社的な戦略展開の機動性を付加負荷した組織
- 戦略的事業単位(SBU ； Strategic Business Unit)
- マトリックス組織
- 事業部制組織と職能制組織との両方の特徴を生かそうとする組織
- 2人又はそれ以上の上司から指揮命令を受けるが、プロジェクトの目的別管理と職能部門の職能的責任との調和を図る組織構造
- 組織のメンバは、二つの異なる組織に属することになり、複数の報告関係が公式に存在するので、責任を負うべき管理者があいまいになる傾向がある
- 臨時編成組織
- 委員会組織
社内の共組織的な問題解決のために設けられる組織
マナー委員、100周年事業委員といった通常の職制ではない、委員という肩書きをメンバが持つ組織編成
一種の会議体であり、意思決定機関であるが、実行機関ではない - プロジェクト組織（タスクフォース組織）
特定の課題のもとに各部門から専門家を集めて編成し、期間と目標を定めて活動する一時的かつ柔軟な組織
プロジェクトはタスクフォース組織になる場合が多い - 社内ベンチャ
将来性があるがリスクが高い事業において、既存の組織単位から独立して実施させるために編成される組織
プロジェクトを順独立的な事業として遂行し、その成果に対して全面的な責任を負う起業者としての権限と責任を与えられる組織構造
- 委員会組織
- 職能部門別組織( 職能別組織 / 機能別組織 / ファンクショナル組織)
- 戦略的組織
- 社内ベンチャ
- 戦略的事業単位
- プロジェクト遂行組織
- 職能部門別組織( 職能別組織 / 機能別組織 / ファンクショナル組織)
- カンパニー制組織
- プロジェクト組織（タスクフォース組織）
- マトリックス組織
- 委員会組織
- 役職
- 経営者
基本方針に基づいて内部統制を整備及び運用する役割と最終責任を有する者 - CEO ( Chief Executive Officer )
最高経営責任者 - CIO （ Chief Information Officer ）
- 全社的観点から情報化戦略を立案し、経営戦略との整合性の確認や評価を行う
- 経営情報システムの規格や構築に際し、経営戦略と整合性を取りながら、企業の情報資源を統括する
- 情報化戦略を立案するに当たって、経営戦略を支援するために、企業全体の情報資源への投資効果を最適化するプランを策定する
- 経営戦略に基づいた情報システム戦略の策定とその実現に直接の責任をもつ役職
- 経営戦略を実現するための情報戦略の立案及び実施を主導する
- 情報管理、情報システムの統括を含む戦略立案と執行を任務として設置した役員
- CPO
個人情報保護責任者
企業や組織が保有する、顧客、従業者などの個人情報を保護する役割を担う - CCO ( Chief Customer Officer )
最高顧客責任者 - CFO ( Chief Financial Officer )
最高財務責任者
投資意思決定、資金調達、経理、財務報告を任務として設置した役員 - COO ( Chief Operating Officer )
最高執行責任者 - 監査役会
- 代表取締役
- 取締役会
- 経営者
- マネジメント組織
- PMO(Project Management Office:プロジェクト管理オフィス)
複数のプロジェクトを一元的にマネジメントすることを任務として設置した組織 - CAB(Change Advisory Board:変更諮問委員会)
要求されたシステム変更を承認又は却下することを任務として設置した組織
- PMO(Project Management Office:プロジェクト管理オフィス)
- 経営管理が適切に行われているかどうかを監視し、ステークホルダに対して、企業活動の正当性を維持する仕組みのこと
- 経営管理が適切に行われているかどうかを監視し、企業活動の健全性を維持する仕組みのこと
- 企業経営の透明性を確保するために、企業はだれのために経営を行っているか、トップマネジメントの構造はどうなっているか、組織内部に自浄能力を持っているか、などを問うもの
- 企業活動において経済的成長だけでなく、環境や社会からの要請に対し、責任を果たすことが、企業価値の向上につながるという考え方
- 企業は組織の決定や活動が社会や環境に及ぼす影響に責任を持つこと
- CSRに基づいた活動
原材料の使用量を減らすとともに、消費電力を少なくした製品を提供する -
キャロルによる四つの責任分野に分類したそれぞれの企業活動例
- 経済的責任：法人税の納付
- 法的責任：コンプライアンスの徹底
- 倫理的責任：環境会計の導入
- 社会貢献責任：文化・芸術支援活動
- IR(_Investor Relations)
投資家やアナリストに対する広報活動として、企業の経営状況を正確かつ迅速に、そして継続的に公表すること - ディスクロージャ
企業の経営状況を外部に公開すること
PCやサーバ、ネットワークなどの情報通信機器の省エネや資源の有効利用だけでなく、それらの機器を利用することによって社会の省エネを推進し、環境を保護していくという考え方
- OJT
- 日常の開発業務の中で、先輩や上司が個別に指導し、実体験から知識を習得させる技法
- 例
- 参画しているプロジェクトにおいて、モデル化のスキルを習得するため、一部の業務プロセスのモデル化を担当した
- 必要とされる技術力を持っていない要員が複数いて、プロジェクトの遂行に支障を来すおそれがあるときの教育方針
個々の技術力に応じて、受講させる集合研修やOJTの内容を変えて教育する
- Off-JT
- 社外での研修などでの技術や業務遂行能力に関するトレーニング
- 例
- セキュリティに関するスキルを習得するため、専門性の高い社外のセミナーに参加した
- 本年度の業務目標の一つとして、今後必要なスキルの習得を通信教育によって行うことを、上司と合意した
- 裁量労働制
特定の専門業務や企画業務において、労働時間は、実際の労働時間に関係なく、労使間であらかじめ取り決めた労働時間とみなす
- プレゼンテーション・文書構成
- プレゼンテーション用資料の作成
箇条書きは効果的な表現方法なので、重要な部分はできるだけ箇条書きにするのが良い - 話の展開順序方法
- 因果的順序法…原因から、結果を誘導する
- 演繹的順序法…一般的な原理やルールから、結論を推論する
- 起承転結型順序法…起承転結の4つの順序で話を展開する
- 帰納的順序法…個々の事例から、一般的な原理や法則、結論を導き出す
例)顧客に対して自社製品のプレゼンテーションを行うことになった。このとき、同業他社における複数の導入成功事例を挙げ、この製品を導入することで大きな効果が期待できることを訴求したい。 - 軽重順序法…話の内容を重要なものから順に並べる、あるいはその逆から並べる
- 問題解決順序法…問題の提起・分析・解決法の列挙・代替案の検討といった問題発見・解決のプロセスの順で進める
- 時間的順序法…出来事をその歴史的経過に従い説明する
- 空間的順序法…地図などを示しながら一の順番に説明していく
- 重点順位構成法…重要な物から順に話を展開する
- 難易構成法…問題の難易度の順に話を展開する
- 個々の内容の重要性に注目して、展開順序を決める文章の構成法
利用頻度の高いものから、システムの機能を説明する - 文章を分かりやすく記述するための工夫
- 主語と述語の関係を明確にする
- 修飾語と被修飾語が一意になるようにする
例）被修飾語：プリンタ
修飾語：小型の、カットシードフィーダを持つ、高速な
→カットシードフィーダを持つ小型の高速なプリンタ
- 帰納的順序法のプレゼンテーションの例
A社では、2年前からIT化を全社的に推進しており、その結果、250名の要員を
間接部門から直接部門に配置転換した。
B社では、ホワイトカラーの生産性向上のために、事務部門のIT化を全社的に推進しており、
これまでに生産性を25%向上させている。
C社では、・・・・・・・・・・・・・・・・・。
D社では、業務効率の向上を図るために、グループウェアを導入し、年間15%の経費削減を達成している。
したがって、間接部門の生産性と経費の節減が重要な課題となっている当社においても、
間接部門のIT化に早急に着手することが必要である。 - 帰納的構成法によるストーリ構成法
顧客に対して自社製品のプレゼンテーションを行うとき、同業他社における複数の導入成功事例を挙げ、この製品を導入することで大きな効果が期待できることを訴求する。
- プレゼンテーション用資料の作成
- モチベーション(動機付け)
- 動機付け理論
- テイラーの科学的管理法
明確で理論的、科学的な管理が動機付けにつながるとする理論 - メイヨーのホーソン実験
上司と部下の人間関係や配慮が部下の動機付けに最も影響するとする理論 - ハーンバーグの動機付け衛生理論
衛生要因を保ちつつ動機付け要因を強化させたほうが良いとする理論 - マクレガーのXY理論
- X理論
人間は本来怠け者であり、労働者は監視されないとさぼってしまうとする見方 - Y理論
人間は本来やる気を持っており、目標を設定すれば自発的に仕事に取り組むとする見方
人間は条件次第では、責任を引き受けるだけでなく、自ら進んで責任をとろうとする - マクレガーはY理論に基づいた要員管理が適切であるとした
- X理論
- マズローの欲求5段階説
- 人間の欲求には5段階あり、低次元な欲求が満たされれば高次元の欲求が強くなっていくとする理論
- マズローは自己の欲求もしくは自己実現の欲求を刺激する要員管理が適切であるとした
- 5段階の欲求(低次元順)
- 生理的欲求
生命を維持する欲求 - 安全・安定の欲求
安全に安定して暮らしたいとする欲求 - 社会的な欲求
社会の一員として認められたいとする欲求 - 自我の欲求
自分の能力や価値を他人から認められたいとする欲求 - 自己実現の欲求
人間として自己を充実させ、完成させたいとする欲求
- 生理的欲求
- テイラーの科学的管理法
- 動機付け理論
- 製造部門における品質管理(QC)の考え方を全社的に拡大し、顧客満足度の向上を中心的なコンセプトとして企業全体で品質の向上に取り組むこと
- TQMでは、品質管理において業務を定量的に分析するためのQC七つ道具、定性的に分析するための新QC七つ道具を用いる
-
リスクマネジメントの全体像
- リスクアセスメント/リスク評価
- リスク対応
- リスクの受容
-
リスクコミュニケーション
- リスクマネジメントの一環として必要に応じて実施する
-
リスクマネジメントの定義
- リスクマネジメントは、企業が業務活動を行う上で、事業に関連する様々なリスクを適切に管理する活動
-
リスクマネジメントの目的
- リスクマネジメントシステムは、リスクマネジメントを組織的に実行していくための枠組み
-
リスクマネジメントの流れ
-
リスク・マネジメント計画
- 分析対象の理解と分析計画
-
リスク分析
- 脆弱性の発見と識別
- 定性的リスク分析
- 定量的リスク分析
-
リスクの識別・評価
- 事故態様の関連分析と損失額予想
- 損失の分類と影響度の評価
-
リスクの対応策の策定
- 対策の検討・評価と優先順位の決定
- リスク対応計画
- リスク処理
- リスクの監視コントロール
-
リスク・マネジメント計画
-
リスクマネジメントシステム
- 組織のリスクマネジメント方針を定め、組織の構成員や必要に応じて関係者に対し、文書で明確に表明することが望ましい
- リスクマネジメントシステム担当責任者は、組織の最高経営者の一員であり、リスクマネジメントシステムに関する全ての業務を統括するとともに、リスクマネジメントシステム担当を統括する
-
リスクマネジメントシステム構築
- 情報セキュリティマネジメントシステム(ISMS)とリスクマネジメントシステムは必ずしも独立して構築する必要はない
- リスクマネジメントシステムは、組織の風土を反映させて定める
-
リスクマネジメントの用語
-
リスクマネジメント
-
TR Q 0008:2003 ( リスクマネジメント―用語―規格において使用するための指針)による定義
リスクに関して組織を指揮し管理する調整された活動
-
TR Q 0008:2003 ( リスクマネジメント―用語―規格において使用するための指針)による定義
-
脅威
- 情報資産に対して、悪影響を与える要因
- 組織などに被害を与える可能性がある事象の潜在的な原因
-
リスク
- 脅威が情報資産のぜい弱性を利用して、情報資産への損失または損害を与える可能性のこと
- 情報資産の量やその価値、脅威の種類や頻度、脆弱性のレベルによって、発生するリスクは異なる
- 脅威＋脆弱性→リスク
-
リスク＝事象の発生確率×事象の結果
事象の発生確率：情報資産に対する脅威の発生頻度と脆弱性のレベルに応じて変化する
事象の結果：情報資産に対する損害の大きさ
-
脆弱性
情報資産が持っているセキュリティ上の弱い部分
脅威がつけ込むことのできる情報資産の弱点
-
リスクマネジメント
- 情報資産のリスク管理の目的
リスクに対しては発生の予防と、発生による被害を最小限にする対策を行う -
情報資産の洗い出し
- 情報資産の洗い出しとは、企業や組織が保有している情報資産について、どこにあり、誰が管理し、どのような状況で取り扱われているかなどを明確にするものであり、各部署の理解と同意を得たうえで、洗い出しに協力してもらう必要がある
- 情報資産は有形・無形にかかわらず、さまざまなものが存在するため、事前にルールを定め、洗い出しの対象範囲を決めておく
- 洗い出を行う際は、作業責任者と実際に作業を行うものを事前に決めておく
- 作業責任者は、洗い出しの手順や進め方、作業期間などを決定し、作業者に指示を出す
- 洗い出しの作業を効率的に行うためには、情報の管理責任者や利用者の記入欄を設け、情報資産の分類と格付けの基準を明確にしておく
-
情報資産の機密性の格付けとレベルのマッピング
格付け レベル レベルの概要 4 極秘 特定の決められた関係者のみ開示または提供し、情報の複製は禁止または不可である 3 秘密 特定の部門にのみ、開示または提供する 2 社外秘 企業内や組織内でのみ、開示または提供する 1 公開 第三者にも開示または提供する
-
リスクの分類・種類
-
リスクによる損失の有無による分類
-
投機的リスク
利益と損失の両方をもたらす可能性のあるリスク
リスクを損失の有無により分類した場合、新規事業や新商品開発など、損失だけでなく利益を得る機会もあるリスク -
純粋リスク
損失だけをもたらす可能性のあるリスク
リスクを損失の有無により分類した場合、災害や事故など、損失のみをもたらすリスク
一般に情報セキュリティにおける管理対象となる
-
投機的リスク
-
企業活動による分類
-
戦略リスク
事業への投資や新規市場への参入など、経営者の意思決定に関わるリスク -
事業機会に関連するリスク
- 新製品開発の正否などの商品開発戦略に関するリスク
- 新規事業分野への進出にかかわるリスク
- 商品開発戦略にかかわるリスク
-
資金調達戦略にかかわるリスク
複数の企業がアライアンスによって連携して活動する際に、軽減が期待できる - 設備投資にかかわるリスク
-
オペレーショナルリスク / 事業活動の遂行に関連するリスク
- 財務報告に関するリスク
- 事務手続きに関するリスク
- 製品のリコールやシステムエラーによる情報漏洩など、企業の業務活動が原因で発生するリスク
- ネットワーク障害などの情報システムに関するリスク
- 法令違反などのコンプライアンスに関するリスク
-
ハザードリスク
- 工場廃液処理による汚染や自然災害、事故などのモノや環境などに関するリスク
-
戦略リスク
-
リスクによる損失の有無による分類
- 損失のタイプ
- 財産損失
- 責任損失
- 機会損失
- 人的損失
-
可用性が損なわれることで発生する直接的損失
システムが復旧するまでの間、代替の手段にかかる費用
-
リスクアセスメント
- リスクアセスメント
- リスク分析からリスク評価までの全てのプロセスのこと
- リスクアセスメントについて、いつ、誰がどのように実施するのかを考慮し、ISMS、情報セキュリティの要求事項、法令や規制の要求事項に適した方法を選択する
- リスクアセスメントの方法を選択する際には、実施したときに比較可能で、再現可能な結果を指す方法を選択する必要がある
- リスクアセスメントに取り組む際には、算定されたリスク値に応じてどの範囲まで受容可能かを示すリスク受容基準を設定し、受容可能レベルを特定しておく
- リスクアセスメントを行うためには、情報資産を洗い出して、資産の管理責任者を特定してから、その情報資産に対するリスクを特定する
- リスク分析
- リスク分析では、リスク因子の特定とリスク算定を行う
- 組織の規模や情報資産の量などに応じて必要な手法を利用する
- リスクの発見・確認とそれがもたらす損失を算出する
- リスク因子の特定
- 現実に発生すれば経営資源に損失をもたらすリスクが情報システムのどこに、どのように潜在しているのかを発見・確認し、その影響の大きさを測定する
- リスク因子の特定では、情報資産を洗い出し、脅威と脆弱性を特定した後、情報資産の評価基準を設定する
-
デルファイ法を利用して、プロジェクトのリスクを抽出しているもの
複数の専門家にアンケートを行い、その結果を要約する。さらに要約結果でアンケートを行い、結果を要約することを繰り返すことでリスクをまとめる - プロジェクト遂行上のリスク事象を抽出、識別し、事象の発生確率とプロジェクトへの影響度
-
予防対策：当該リスク事象の発生を未然に防ぐための対策
発生時対策：当該リスク事象が実際に発生したときの対策
受容：当該リスクへの対策をとらない
A：予防対策
B：受容
C：予防対策と発生時対策
D：発生時対策
-
予防対策：当該リスク事象の発生を未然に防ぐための対策
- リスク算定
- 災害や犯罪によって引き起こされるシステム停止や機密漏洩などの脅威を決定し、その発生確率を加味して予想損失額を算定する
- リスクの発生確率と結果の値を設定するために行う
- リスク算定の結果に応じて情報資産を脅威から保護するための対策を選定する
- 予想損失額には、直接損失、業務継続、復旧費用の他に、逸失利益などの間接損失も含める
- JIS Q 2001:2001に規定されたリスク算定の定量的評価を、組織のセキュリティ対策の優先度を検討するリスク分析に適用したもの
被害が発生する確率と被害額で評価する - リスクマネジメントにおけるEMV(期待金額価値)の算出方法
リスク事象発生時の影響金額 x リスク事象の発生確率
- リスク評価
リスクの重大さを決定するために、算定されたリスクを、与えられたリスク評価基準と比較するプロセス
- リスクアセスメント
-
リスク分析手法
-
定性的リスク分析
- リスクの発生確率と影響度を評価して、識別したリスクに等級付けをする
-
JRAM
- 財団法人日本情報処理協会(JIPDEC)が開発した定性的リスク分析手法
- 物理的セキュリティ、信頼性、アクセス管理といった項目に対して細かい質問を掲載した質問表を使い、その回答をもとに情報資産の脆弱性を分析する
-
JRMS
- JRAMをベースとし、リスクマネジメントシステムに沿って多数の項目を盛り込んだ質問表を用いる
- JRAMの質問の項目を拡充した質問表を用いる
- 情報資産に対する影響と重要度に関する質問を経営層、リスクマネジメント部門、情報システム部門、ユーザ部門などへ行い、資産の洗い出しと評価、脆弱性のレベルの評価にもとづいてリスクのレベルを評価する
-
CRAMM
- 英国財務省CCTA(現OGC)と英国規格協会(BSI)が開発した手法
- 情報資産に対する影響と重要度に関する質問表の回答をもとに資産の洗い出しと評価を行い、情報資産に対する脆弱性のレベルの評価に関する質問表の回答をもとにリスクのレベルを評価する
-
NIST SP800シリーズ
- NIST(米国国立標準技術研究所)が費用対効果の高いセキュリティ対策を可能にすることを目的として策定しているガイドライン
- システムの特徴定義、脅威の特定、脆弱性の特定、管理策の分析、脅威の発生可能性の判断、影響の分析、リスクの判断、管理策の推奨、結果の文書化の9つのステップでリスクの分析と評価を行う
-
ベースラインアプローチ
- GMITS ( Guideline for the Management of IT Security ； ISO/IEC TR 13335 ； TR X 0036)のリスク分析手法の一つ
- ベースラインアプローチでは、情報資産のリスク分析を行い、セキュリティ関連の基準やガイドラインに基づいて策定したセキュリティ対策基準(ベースライン)とどれだけ乖離しているか、その差を割り出すギャップ分析を行う
- ギャップ分析では、対策基準とどれだけ乖離しているかを割り出す
- ベースラインが高すぎると実現不可能なセキュリティ対策になり、低すぎるとセキュリティが不十分になる可能性がある
- 情報資産ごとにリスクを細かく評価しないため、リスク分析に時間やコストがあまりかからないというメリットがある
- ISO/IEC TR 13335では、ベースラインアプローチと詳細リスク分析を組み合わせてリスク分析を行うことが推奨されている
- 公表されている基準などに基づいて一定のセキュリティレベルを設定し、実施している管理策とのギャップ分析を行った上で、リスクを評価する
-
定量的リスク分析
- 検討対象以外の全ての不確実な要素をベースライン値に固定した状態で、プロジェクトの個々の不確定要素が、検討対象の目標に与える影響の度合いを調べる
- ディジジョンツリー図を使用して、選択肢に対する期待金額価値(EMV)を比較する
- リスクに関するインタビューを通じて、各WBS要素に対する三点見積りをする
-
ALE ( Annual Loss Expectancy ； 年間予想損失額)
- NISTが推奨する定量的リスク分析手法
- リスクが発生したときの損失額を割り出すことにより、そのリスクを防ぐために必要なコストを把握できるようになる
-
年間予想損失額の求め方
- SLE = 資産価値 × 特定の脅威による価値損失の割合(%)
- ARO = 1年間における脅威の発生頻度の推定値
- ALE = SLE × ARO
-
SLE ( Single Loss Expectancy ； 単一予想損失額 )
リスクの顕在化時の1回あたりの損失額 -
ARO ( Annualized Rate of Occurrence ； 年次発生率 )
脅威が1年間に何回発生すると予想されているかの確率
-
リスクマップ
- 縦軸に損害の程度を、横軸に発生頻度をとり、損害の程度の大小及び発生頻度の高低により各リスクをプロットする
- リスクマップの作成により、リスクの相関関係、どのリスクに対応すべきかが明らかになる
- リスクの保有：損害の程度が小さく、発生頻度が低い場合
- リスクの最適化：損害の程度が小さく、発生頻度が高い場合
- リスクの移転：損害の程度が大きく、発生頻度が低い場合
- リスクの回避：損害の程度が大きく、発生頻度が高い場合
-
定性的リスク分析
-
リスク管理（リスクマネジメント）
- 考えられる全てのリスクに対応することは、時間と費用がかかりすぎるので、そのリスクが発生したときの損失額と発生確率を予想し、その大きさの順に優先順位をつける
- 情報システムの機能特性を損なう不安定要因やシステムに内在する脆弱性を識別して、企業活動に生じる損失を防止、軽減するとともに、合理的なコストでの対策を行う
- 組織体が情報システムにまつわるリスクコントロールを適切に整備・運用することで、情報システムが、組織体の目的を実現するように安全、有効かつ効率的に機能する
-
リスクコントロール
-
リスク回避
- 水害を避けるために安全な高台にコンピュータセンタを移設する
- ノートPCの紛失に備えて、指紋認証の機能とPC内に保存するデータの暗号化ソフトを取り入れる
- 自社のWebサイトで掲示板を運営しているが、情報漏洩のリスクが高く、事業の利益に直接つながることもないため、廃止する
- 顧客からのアンケートの集計業務を外部に委託すると、個人情報の漏洩が発生する可能性があるため、外部への業務委託を取りやめた
- リスクの管理にコストがかかりすぎる場合や、有効な管理策がないなどの場合、リスクのもととなる情報資産や業務を排除することで、リスクの回避を行う
-
特定の情報資産の漏洩に関するリスク対応のうち、リスク回避
情報の新たな収集を禁止し、収集済みの情報を消去する
-
損失予防
- システム被害につながるリスクの発生を抑える対策に資金を投入する
-
損失軽減
- 火災に対して、コンピュータ室に消火設備を設置する
- リスクが顕在化した場合のシステム被害を小さくする対策に資金と投入する
- リスク分離
-
リスク移転
- リスクに関して、損失の負担や利益の恩恵を他社と共用すること
- 大規模な災害によるシステムの長時間停止に備えて、保険に加入する
- 情報システムが停止すると業務に多大な損害が発生するため、システムが停止した際の経済的損失の賠償オプションを含むコンピュータ保守保険に加入する
- 保険に加入するなど資金面での対策を講じること
- システムが被害を受けた場合を想定して保険をかける
- 保険に加入するなどで他者と損失の負担を分担すること
- 業務で新しいサーバを導入する必要があるが、社内には十分なセキュリティ対策を実施できる設備がないため、ホスティングサービスを利用することにした
- 大規模な災害によるシステムの長時間停止に備えて、保険に加入する
-
リスク低減
- 災害による事業中断へのリスク対策として、データセンタを関東と関西の2箇所に設置する
-
リスク受容/リスク保有
- システムを復旧するのに掛かった費用を金融機関から借り入れる
- 自社のWebサイトに脆弱性があり、不正侵入を受ける可能性があるため、万が一不正侵入が発生した場合の損害の補填費用を社内の年度予算に計上する
- リスクが顕在化しても、その影響が小さいと想定されるので、被害の負担を受容するリスク対応
- インターネットからの不正アクセスがWebサーバの被害にとどまるので、LAN上の配置は現状のDMZのままとする
- インターネットからの不正アクセスによる被害の影響範囲から、WebサーバのLAN上の配置は現状のDMZのままとする
- リスクが受容基準以下である場合や、リスクの管理策にコストがかかりすぎるなどの場合、対策を講ずることなくリスクを受容し、リスクの発生時の損害は企業内で補填すること
- 業務で立ち上げたWebサイトには脆弱性があり、不正侵入を受ける可能性があるため、万が一発生したときの調査費用を社内の年度予算に計上した
- コストなどを考えると、全てのリスクに対応して排除することはほとんど不可能であり、発生する可能性が極めて低いリスクについては対処せずにそのまま保有する場合もある
- リスク発生に備えてコンティンジェンシー予備を設ける
-
リスク転嫁
- リスクの影響や責任の一部又は全部を第三者に移す
- マイナスのリスクに対する戦略として用いられる
-
リスク最適化
- 建物への不正侵入を防ぐために、バイオメトリクス認証を用いた入退室管理システムを導入する
- リスクの発生確率や離sくの発生による影響などを最小化するための行為
- 脅威の発生の抑制、脆弱性の減少、リスク発生の検知、リスク発生後の対応策などを目標として、情報資産に応じてた管理策を講じ、実施する
- リスク対応後にもリスク受容基準以下にならないリスクに対しては、サイドリスク対策を選択する必要があり、リスクの最適化を行うとは限らない
- リスクを完全に除去できない場合は、何らかのリスクが残ることになるが、有効な対策を実施すれば、リスクの発生の可能性は低減させることができる
- リスクの最適化では、リスクマネジメントの方針及び企業内の状況や環境を考慮し、対応するリスクに応じて管理策を検討する
- 各部門で独自にデータのバックアップを行うと、事故やミスによるデータの消失が発生する可能性があるため、システム部門にデータのバックアップ作業を委任した
-
リスク回避
-
リスクファイナンス
リスクが顕在化して生じる損失に備えて、経済面の対策を講じる手段 -
リスク対策
- 予防的対策
-
防止的対策
リスクを発見し被害を軽減するための対策 -
事後的対策
発生後の次善策
-
リスク管理体制
リスク対策の実施は、権限と機能をもつ各部門にゆだね、全体管理は経営層に直結したリスク管理部門が行う -
残留リスク
- リスク対策後にも残るリスクのこと
- リスク受容基準以下であるとして受容されるリスクと、リスクの最適化などの対応の結果、残されるリスクが含まれる
- 受容基準以下として保有するリスクやリスク対応の結果受容基準以下となるリスクも残留リスクとなる
- 残留リスクもリスク管理の対象であり、管理策が必要である
- 残留リスクのうち受容されるリスクについては経営陣の承認が必要である
- 残留リスクが算出された場合には、残留リスクがリスク受容基準以下になるリスク対応計画であることを経営陣に承認してもらう必要がある
-
リスクアセスメントのレビューにおける注意事項
- リスクアセスメントの手順(定義、目的、方法)が適切に文書化されているか
- リスクアセスメントが定期的に、あるいは組織、技術、情報資産、その脅威や脆弱性の変化に応じて行われているか
- リスクアセスメントによって、情報資産、脅威、脆弱性、リスクが適切に分析、評価されているか
-
COSO ERMのフレームワーク
-
ERM ( Enterprise Risk Management )
企業が全体的な視点で統合的かつ戦略的にリスクマネジメントを行う全社的リスクマネジメント
企業の業務活動に関するあらゆるリスクについて、企業が全体的な視点で統合的かつ戦略的にリスクマネジメントを行うことを指す - 内部統制を包含するようにリスクマネジメントを行う
-
COSO ERMの戦略や業務などの「4つの目的」、統制活動やリスクの評価などの「8つの構成要素」、部門や事業体などの「4つの事業体」
目的 戦略
業務
報告
コンプライアンス構成要素 内部環境
目的の設定
事象の識別
リスクの評価
リスクへの対応
統制活動
情報と伝達
モニタリング事業体 事業体
部門
事業単位
子会社 - 適用の対象となる事業体を横断した形で全社的にリスクマネジメントに取り組むことにより、企業内における全ての従業者の関与が可能になる
-
ERM ( Enterprise Risk Management )
-
EWRMモデル ( Enterprise - wide Risk Management )
- COSO ERMをベースにしした内部統制やリスクマネジメントを実現するためのフレームワーク
- 災害やシステム障害など予期せぬ事態が発生した場合でも、重要な業務の継続を可能とするために事前に策定される行動計画
- 大規模な災害などによって、企業活動を支える重要な情報システムに障害が発生したような場合でも、企業活動の継続を可能にするために、あらかじめ策定する計画
- 事業継続計画の策定において、事故や災害などの種類にかかわらず、事業を中断させない、あるいは万が一業務が中断した場合であっても、短期間で回復させるような内容とする必要がある
- 事業中断の原因とリスクを想定し、未然に回避又は被害を受けても速やかに回復できるように方針や行動手順を規定したもの
- 事故や災害が発生した場合の手順や体制、資産などを含む対応計画を策定し、業務プロセスにおける脅威と脆弱性の分析であるビジネスインパクト分析を行った上で、事業存続のために尤も優先順位の高い業務プロセスを選定し、対応計画を策定する
- 事業継続管理においては、事業継続計画を実効性のあるものとするために、復旧時間を設定した教育や訓練の結果を検証し、事業継続計画の策定、導入、運用、見直し、継続的改善などを実施するためのPDCAサイクルに基づいて取り組まなければならない
- 大規模な災害などによって、企業活動を支える重要な情報システムに障害が発生したような場合でも、企業活動の継続を可能にするために、あらかじめ策定する計画
-
BCP策定に際して、目標復旧時間となるもの
災害による業務の停止が深刻な被害とならないために許容される時間 -
災害を想定した事業継続計画(BCP) を策定する場合に行うビジネスインパクト分析の実施事項
許容される最大停止時間を決定する -
システム障害を想定した事業継続計画(BCP)を策定する場合、ビジネスインパクト分析での実施事項
情報システムに許容される最大停止時間を決定する -
内閣府の”事業継続ガイドライン”による事業継続計画の継続的改善のプロセス
- 災害や事故の発生後の対応
- BCP発動
発生事象の確認、対策本部の速やかな立上げ、確実な情報収集、BCP基本方針の決定を実施する - 業務再開
最も緊急度の高い業務を対象に、代替設備や代替手段に切り替え、復旧作業の推進、要員などの経営資源のシフトを実施する - 業務回復
最も緊急度が高い業務や機能が再開された後に、代替設備や代替手段の運営を継続しながら、さらに業務範囲の拡大を実施する - 全面復旧
代替設備や大体手段から本番環境への切替手順を伸張に確認した上で、平常運用への移行を実施するとともに、BCPの見直しなど総括を実施する
- BCP発動
-
災害対策（コンティンジェンシープラン）
-
バックアップテープ
バックアップ対象の装置の破損と同時に破損しないように、別の場所に保管する -
コンティンジェンシープランにおける留意点
- 企業のすべてのシステムを対象とするのではなく、システムの重要度と対策コストを勘案して決定する
- 企業の全てのシステムを対象とするのではなく、システムの復旧の重要性と緊急性を勘案して対象を決定する
-
情報システムの災害時対応計画の策定における留意点
災害対応計画はリスク分析の結果に基づいて策定し、組織体の長が承認する -
顧客管理システム、受発注管理システム及びコールセンタシステムをそれぞれ別の拠点で稼働させ、これらをネットワークで接続し、障害時には相互に補完する
運用はそれぞれの拠点で実施する -
情報システム/コンピュータセンタ
障害復旧までの見込み時間の長さによって、いくつかの対応方法を盛り込んだコンティンジェンシープランを策定する - 情報システムのセキュリティコントロールを予防、検知、復旧の三つに分けた場合の復旧に該当する
-
バックアップテープ
- ディザスタリカバリ
- 計画する際の検討項目
- 業務の継続性を維持するために必要な人員計画と交代要員の要求スキル
- 業務を代替する遠隔地のシステム環境と、通常稼働しているシステム環境との設備投資の比率
- システムが再稼働したときに災害発生前のどれだけ最新の状態に復旧させるか
- 災害発生時からシステムを再稼働するまでの時間
- 評価指標
- RPO ( Recovery Point Objective / 復旧時点目標 )
システムが再稼働したときに災害発生前のどれだけ最新の状態に復旧できるかを示す指標 - RTO ( Recovery Time Objective / 復旧時間目標 )
災害発生時からシステムを再稼働するまでの時間を示す指標
- RPO ( Recovery Point Objective / 復旧時点目標 )
- 計画する際の検討項目
UCLは上方管理限界、 CLは中心線、LCLは下方管理限界
