情報資産を洗い出す

守る対象は、顧客名簿や見積書のようなデータだけでなく、パソコン、紙の書類、人の知識も含みます。情報資産台帳に、名前・置き場所・管理する人・重要度（機密性・完全性・可用性の高さ）を書き出すところから始めます。

リスクアセスメント

リスクを特定し、どれくらい大きいかを分析し、組織の基準と比べて対応が要るかを評価します。この講座の例では、リスク値を「資産価値 × 脅威 × 脆弱性」で出します。
- 顧客名簿 … 3 × 2 × 3 = 18
- 見積書のフォルダ … 2 × 3 × 2 = 12
- 社内報 … 1 × 2 × 2 = 4

「10以上は対応する」という基準なら、顧客名簿と見積書のフォルダが対象です。

リスク対応の4つ

• 低減 … 対策をして、起きる可能性や損害を小さくする
• 回避 … そのリスクのある活動をやめる
• 移転 … 保険や外部委託で、損害の負担を他に移す（共有とも呼ぶ）
• 保有 … 小さいリスクを、分かったうえで受け入れる（受容とも呼ぶ）

ISMS

ISMS（情報セキュリティマネジメントシステム）は、組織として方針を決め、リスクに基づいて対策を選び、運用し、点検して直す仕組みです。計画・実行・点検・改善のPDCAを回します。国際規格は ISO/IEC 27001 で、管理策は組織的・人的・物理的・技術的の4つに分けて整理されています。

• 情報資産台帳の作り方
• リスクの特定・分析・評価と、リスク値の計算
• リスク対応の4つ（低減・回避・移転・保有）
• ISMSのPDCAと、管理策の4つの分類