ガバナンスの文書と役割

方針（ポリシー）は「何を目指すか」、標準は「必ず守る具体的な基準」、手順は「どうやるか」、ガイドラインは「おすすめ」です。データには、持ち主（オーナー）、管理者（コントローラ）、処理する人（プロセッサ）、保管する人（カストディアン）という役割があります。

リスクの見積もり

起きやすさと影響の大きさで見積もります。数字で出す定量的な方法では、資産の価値 × 損失の割合（EF）で1回の損失（SLE）を出し、SLE × 1年に起きる回数（ARO）で年間の予想損失（ALE）を出します。

リスクへの4つの対応

• 移転（Transfer） … 保険などで他に移す
• 受容（Accept） … 承知のうえで受け入れる
• 回避（Avoid） … その活動をやめる
• 軽減（Mitigate） … 対策で小さくする

リスクは一覧（リスク登録簿）にまとめ、担当者と、どこまで受け入れるか（リスク選好・許容度）を決めます。

事業への影響（BIA）

どこまで止まってよいか（RTO）、どこまでデータを失ってよいか（RPO）、直すのにかかる平均の時間（MTTR）、故障までの平均の時間（MTBF）を決めます。

取引先のリスク

取引先を選ぶ前に評価し、監査する権利を契約に入れます。SLA、MOU、MSA、SOW、NDA などの契約の種類を見分けます。

• 方針・標準・手順・ガイドラインの違いと、データの役割
• SLE・ALE の計算と、対策の費用対効果
• リスクへの4つの対応と、リスク登録簿
• BIA の RTO・RPO・MTTR・MTBF と、取引先との契約