はじめに
本記事は、David Sutton 著『Information Risk Management, 2nd Edition（情報リスク管理 第2版）』（BCS, The Chartered Institute for IT 刊）を読んで得た知識を整理・要約したものです。
情報セキュリティといえばCIA（機密性・完全性・可用性）、あるいはISMS/ISO 27001という言葉が真っ先に浮かぶかと思います。しかし本書はそれをあくまで"入口"と捉え、「情報リスクをどう体系的にマネジメントするか」 という実務的な問いに正面から向き合っています。セキュリティの知識はあるが、リスク管理のフレームワーク構築には自信がない──そんなエンジニアや情報管理担当者に特に刺さる一冊です。
本書の構成
本書は大きく3つのパートに分かれています。
- 基礎知識の整理（第1〜3章）：情報とは何か、CIAとは何か、リスク管理プログラムとは何か
- リスク評価プロセス（第4〜6章）：リスクの特定 → 脅威・脆弱性の評価 → リスク分析・評価
- リスク対応と運用（第7〜11章）：リスク治療、報告、コミュニケーション、英国政府ガイドライン
付録も充実しており、分類リスト・脅威・脆弱性・テンプレート・用語集など、実務ですぐ参照できる資料が揃っています。
第1章：情報リスク管理が必要な理由
データと情報の違い
本書はまず「情報とは何か」という問いから始めます。データは単なる事実の集合であり、それが意味ある文脈に整理されて初めて情報となります。一方で本書では、データと情報を厳密に区別するよりも、「どちらも所有者にとって価値があり、同様に保護される必要がある」という実用的な立場をとっています。
情報のライフサイクル
情報には次のようなライフサイクルがあります。
生成 → 記録 → 加工 → 共有・利用 → アーカイブ → 廃棄（または更新）
このサイクルの各段階において、情報が意図しない損失・変更・破壊から保護されていることを確認する必要があります。情報リスク管理の役割はここにあります。
IoT・AI・リモートワークという現代的課題
第2版では初版以降に重要性が増した3つのトピックが取り上げられています。
- IoT：センサー・スマートデバイスは利便性の反面、デフォルト設定のまま放置されると攻撃対象になりやすい
- AI：医療診断・自動運転など、AIが扱う情報の完全性が損なわれると、生命に関わるリスクになりうる
- リモートワーク：個人PC・VPN・通信帯域・ユーザー教育など、情報リスクが一気に複合化する
能力成熟度モデル（CMM）
情報リスク管理プログラムへの取り組みレベルを「レベル1（初期）〜レベル5（最適化）」で評価するCMMの考え方が紹介されています。自組織の現在地を確認する際の目安として有用です。
第2章：情報セキュリティの基礎の見直し
CIA三原則と追加の要素
よく知られたCIAに加え、本書では以下を補足要素として位置づけています。
| 要素 | 概要 |
|---|---|
| 機密性（Confidentiality） | 許可された者のみがアクセスできる |
| 完全性（Integrity） | 情報の正確性・完全性を維持する |
| 可用性（Availability） | 必要なときに利用できる状態を保つ |
| 否認防止性（Non-repudiation） | 行為の発生とその主体を証明できる |
| 認証（Authentication） | 主体の資格情報を検証できる |
| 説明責任（Accountability） | 行動と決定を特定の主体に紐付けられる |
| 信頼性（Reliability） | 一貫して意図した動作をする |
情報分類
英国政府の分類体系を例に、「最高機密・機密・公的情報」という3区分が紹介されています。商業組織では「極秘・機密・個人・社内限・公開」などの独自スキームを設けるケースが多いです。
重要なのは、分類が決まると自動的に取り扱い方法（保管・共有・廃棄）に制約が課されるという点です。
また、ENISA（欧州ネットワーク情報セキュリティ機関）が考案した**トラフィックライトプロトコル（TLP）**──RED / AMBER / GREEN / WHITE という色分けによる情報共有スキームも紹介されており、インシデント対応コミュニティ等で広く普及しています。
PDCAサイクルとの関係
情報リスク管理の高レベルプロセスとして、Plan-Do-Check-Act（PDCA） サイクルを適用できます。
- Plan：組織の状況把握とリスク管理方針の策定
- Do：リスク評価フレームワークの実装
- Check：監視・レビューによる結果の確認
- Act：継続的な改善とインシデント対応
第3章：情報リスク管理プログラムの設計
プログラムを「プロジェクト」ではなく「継続的活動」として捉える
本章のメッセージを一言で言えば、「情報リスク管理は単発プロジェクトではなく、組織の日常業務に統合された継続プロセスである」ということです。
プログラムには次の要素が必要です。
- 目標・範囲・目的の明確化
- 役割と責任の定義（戦略層・戦術層・運用層の3層構造）
- ガバナンス：取締役会レベルを含む意思決定フロー
- リスク基準：リスク選好度、治療基準の策定
- トレーニング：全スタッフ向けの意識向上
- コミュニケーションと協議：早期から関係者を巻き込む
- 監視とレビュー：進捗の定量的・定性的な確認
リスク選好（Risk Appetite）
リスク処理基準の観点では、戦略的な4つのオプションが示されています。
- 回避（Avoid/Terminate）：活動自体を行わない
- 軽減（Reduce/Modify）：影響度または発生確率を下げる
- 移転（Transfer/Share）：保険やアウトソーシングで第三者に移す
- 受容（Accept/Tolerate）：コスト対効果を踏まえてリスクを受け入れる
重要なのは、リスクを「無視」することは選択肢に入らないという点です。リスクを受容したとしても、継続的な監視と記録が必要です。
第4〜5章：リスクの特定と脅威・脆弱性の評価
リスク評価プロセスの出発点はリスク特定です。対象となる情報資産を洗い出し、それぞれに対して以下を評価します。
- 影響（Impact）：機密性・完全性・可用性が損なわれた場合の結果
- 脅威（Threat）：情報資産に損害を与えうる事象や行為者
- 脆弱性（Vulnerability）：脅威が顕在化しやすい弱点
特徴的なのは、既存のコントロール（制御策）を評価する視点も含まれている点です。脅威が存在しても、有効なコントロールがあればリスクは低下します。
第6章：リスク分析とリスク評価
特定した情報を組み合わせて、各脅威の**リスクランク（優先度）**を算出します。
リスク = 発生可能性 × 影響度
本書ではリスクマトリックスの作成方法が説明されており、定性的なスコアリング（低・中・高）を半定量的な金額レンジに対応させることで、より実用的な優先順位付けが可能になります。評価結果はリスク登録簿（Risk Register）に記録します。
第7章：リスク治療（リスク処理）
リスク評価後は、各リスクへの対応を決定します。本書では3層の管理策を紹介しています。
- 戦略的管理：回避・軽減・移転・受容
- 戦術的管理：検出・指示・是正・予防の各コントロール
- 運用的管理：手続き的管理・物理的管理・技術的管理
コントロールは単独で用いるだけでなく、組み合わせてリスクを最小化することが推奨されています。
第8〜9章：報告・コミュニケーション・監視
リスク報告の重要性
情報リスク管理プログラムのコミュニケーションプロセスは以下の目的を持ちます。
- 新しいリスクの発見と記録
- 既存リスクの処理状況の報告
- 経営陣への定期的な可視化
特に経営層への報告では、**「影響をどう定量化するか」**が重要です。技術的な詳細よりも、ビジネスへの影響度を中心に据えたレポーティングが求められます。
継続的監視とレビュー
リスク環境は常に変化します。監視の観点では次の2点が強調されています。
- リスクの状況（影響度・発生確率）が変化していないかを定期的に確認する
- 処理が困難なリスクを隠さず、早期に上位者に報告する
第10〜11章：NCSCとHMGガイドライン
英国固有の内容が多い章ですが、以下の点は日本のエンジニアにとっても参考になります。
- NCSC認定サイバープロフェッショナル（CCP）スキーム：スキルフレームワーク（IISP・SFIA）に基づく資格体系。情報セキュリティを職能として体系化する際の参考になります。
- HMG Cyber Essentials・Cyber Security: 10 Steps：英国政府が推進するサイバーセキュリティ入門ガイドライン。SMBから大企業まで幅広く適用できる実践的な枠組みです。
付録の活用
本書の付録は実務での活用を意識した構成になっています。
| 付録 | 内容 |
|---|---|
| 付録A | 情報リスクの分類と説明 |
| 付録B | 典型的な脅威と危険の一覧 |
| 付録C | 典型的な脆弱性の一覧 |
| 付録D | 管理策の全体像（戦略・戦術・運用） |
| 付録E | CRAMM / FAIR / OCTAVEなど主要手法の解説 |
| 付録F | 影響評価・脅威評価・脆弱性評価・リスク登録のテンプレート |
| 付録G | Cyber Essentials / 10 Steps などHMGガイドライン |
| 付録I | 定義・基準・用語集 |
特に付録Fはすぐ使えるテンプレート集です。自組織のリスク評価を始める際の出発点として活用できます。
読んでみての所感
本書は「情報セキュリティの教科書」ではなく、「リスク管理プログラムを作り上げ、運用するためのガイド」です。ISO/IEC 27001やNIST CSFと並べて読むと、「なぜそのコントロールが必要か」の文脈がより深く理解できます。
英国の法制度・政府ガイドラインに多くのページが割かれているため、日本のエンジニアには直接適用しにくい箇所もあります。ただし、CIAを超えた情報保証の概念・PDCAとリスク管理の接続・リスク選好の定義・3層の管理策構造など、フレームワーク設計の考え方として普遍的に使える知識が詰まっています。
ISMS構築や社内セキュリティ基盤の整備に取り組むエンジニア・アーキテクトに広くお勧めできる一冊です。
まとめ
| トピック | ポイント |
|---|---|
| 情報のライフサイクル | 生成〜廃棄の各段階でリスク管理が必要 |
| CIA＋α | 否認防止・認証・説明責任・信頼性も重要な要素 |
| 情報分類 | 分類がコントロールの制約を自動的に決める |
| リスク管理プログラム | 継続的な活動として組織に統合する |
| リスク選好 | 回避・軽減・移転・受容の4択、「無視」は選択肢外 |
| リスク評価 | 発生可能性×影響度、半定量的スコアが実用的 |
| コミュニケーション | 早期から関係者を巻き込み、経営層に可視化する |