リスクアセスメント（箇条6.1.2）

組織は、情報セキュリティのリスクを見つけ、分析し、評価する方法を決めます。方法は規格が決めるのではなく、組織が決めます。大事なのは、同じ方法をくり返し使えば同じような結果になること、それぞれのリスクにリスク所有者（そのリスクに責任を持つ人）が決まっていることです。

リスク対応（箇条6.1.3）

評価したリスクに、減らす・避ける・移す・受け入れるなどの対応を選び、必要な管理策を決めます。その管理策を附属書Aと見比べ、抜けが無いかを確かめます。最後に、リスク対応の計画を作り、リスク所有者が計画を承認し、残るリスク（残留リスク）を受け入れます。

適用宣言書に書くこと

• 必要な管理策
• それを含めた理由
• 実施しているかどうか
• 附属書Aの管理策を除いたときは、その理由

監査での追い方

監査では「リスクの一覧 → 選んだ対応 → 適用宣言書 → 実施の証拠」と、1本の線でたどれるかを見ます。適用宣言書で「実施済み」なのに手順も記録も無い、除外の理由が書かれていない、リスクの一覧と適用宣言書が食い違う、といった点がよく見つかります。

• リスクアセスメントの方法と、リスク所有者
• リスク対応の選択肢と、計画の承認
• 適用宣言書に書く4つのこと
• リスクから証拠まで、1本の線でたどる監査