リスク対応：受容、移転、軽減、回避

リスクを特定して分析した後、組織はそのリスクにどう対処するかを決める必要があります。リスク対応とは、可能性、影響、是正にかかる費用に基づいて、各リスクへの対応を選択し、実施するプロセスです。広く認められている対応の選択肢は、受容、移転、軽減、回避の4つです。常に正しい単一の選択肢があるわけではありません。適切な選択は、ビジネスの状況、リスクアペタイト、利用できるリソースによって決まります。

リスク軽減とは、セキュリティ対策を実施してリスクの可能性または影響を小さくすることです。これは最も一般的な対応方法です。たとえば、ファイアウォールを導入してネットワーク侵入の可能性を下げる、ソフトウェアにパッチを適用して既知の脆弱性を解消する、MFAを導入して認証情報の窃取による影響を抑える、といった方法があります。軽減によってリスクが完全になくなるわけではありません。対策を適用した後には残存リスクが生じるため、再評価する必要があります。

リスク移転とは、リスクによる金銭的な影響を第三者に移すことです。最も一般的な例はサイバー保険です。組織が保険料を支払い、保険会社が補償対象のインシデントによる損失を補償します。リスクは契約によって移転することもできます。クラウドプロバイダーとのサービスレベル合意書（SLA）によって、データ侵害の責任をベンダーに負わせたり、契約の補償条項によって取引先に責任を移したりできます。重要なのは、移転によってリスクそのものがなくなるのではなく、金銭的な負担だけが移るという点です。

リスク受容とは、追加の対策を実施せず、リスクを認識したうえで許容することです。これは、軽減の費用が予想損失を上回る場合や、リスクが組織のリスクしきい値を下回る場合に行われます。受容は、適切な権限を持つ責任者（通常はリスク所有者または経営幹部）が行う文書化された意図的な意思決定でなければなりません。誰も対応しなかったためにリスクを放置する、文書化されていない暗黙の受容は正式な受容とは異なり、監査上の指摘につながります。

リスク回避とは、リスクを生み出す活動を行わないことで、リスクを完全になくすことです。たとえば、組織が決済カード情報を直接保存しないことを決定し、カード処理を第三者のトークン化サービスにすべて委託すれば、PCI-DSSの適用範囲を完全に回避できます。リスクが許容できないほど高く、費用対効果の高い軽減策や移転策が存在しない場合、回避が適しています。ただし、回避によってビジネス機会を断念することになる場合もあります。

対応方法を選択する際は、リスクへのエクスポージャーと対応にかかる費用を比較します。ALEが50,000ドルで、軽減策の年間費用が10,000ドルなら、軽減策は明らかに費用対効果に優れています。ALEが5,000ドルで、軽減策の年間費用が30,000ドルなら、受容または移転のほうが適切な可能性があります。組織はリスクアペタイト（経営層が許容するリスクの大きさ）と、特定のリスクカテゴリーにおいてリスクアペタイトからどの程度のずれを許容できるかを示すリスク許容度も考慮します。

リスクアペタイトとは、目標を達成するために組織が受け入れる意思のある、広範で戦略的なリスクの水準です。多くの場合、取締役会が定めます。リスク許容度とは、特定のリスクカテゴリーにおいて許容される変動幅です。組織全体としてのリスクアペタイトは低くても、特定の製品ラインでは評判に関するリスクの許容度を高く設定する場合があります。これらのしきい値によって、リスクを受容するのが適切な場合と、上位者へのエスカレーションが必要な場合が決まります。

コスト、技術的な制約、レガシーシステムなどの理由で理想的な軽減策を実装できない場合、代替策としての対策によって、別の方法でリスクを低減できます。たとえば、古いシステムがMFAに対応できない場合、監視の強化、ネットワーク分離、追加のログ記録によって補うことができます。代替策としての対策は、正当な理由とともに文書化し、適切な権限者の承認を得ることで、PCI-DSSなどのフレームワークでも有効なリスク対応として正式に認められています。

リスク対応を適用した後も、ほとんどの場合、ある程度のリスクは残ります。残存リスクとは、対策を導入した後に残るリスクです。リスク所有者は、これを正式に認識して受容する必要があります。残存リスクが許容可能なしきい値を超えている場合は、追加の対策が必要です。リスク対応の判断と残存リスクのレベルはリスク登録簿に記録し、脅威の状況が変化した場合を中心に、定められた間隔でレビューする必要があります。

コンプライアンスフレームワークによって、許容されるリスク対応の選択肢は制限されます。HIPAAでは、保護対象医療情報の処理を回避することは認められておらず、組織はそのリスクを低減または移転する必要があります。PCI-DSSでは、費用対効果の分析にかかわらず、特定の管理策の実施が義務付けられています。こうした制約を理解しておくことで、組織が望む対応（管理策の不備を受容するなど）が、罰金やカード決済処理権限の喪失につながり得る規制要件に違反する事態を防げます。

リスク対応は、サードパーティとサプライチェーンのリスクにも適用されます。ベンダーやパートナーが自社のシステムやデータにアクセスできる場合、そのセキュリティ態勢は自社のリスクプロファイルの一部になります。対応の選択肢には、契約上の管理策（移転）、ベンダーのセキュリティ評価（低減）、代替ベンダーの選択（回避）、または定期的なレビューを前提とした正式なリスク受容があります。サプライチェーンの侵害事例（SolarWinds、XZ Utils）は、サードパーティリスク管理がSecurity+試験で重視される理由を示しています。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、リスク低減は管理策によって発生可能性または影響を下げること、リスク移転は保険会社などの第三者に金銭的な影響を移すこと、リスク受容はリスクを許容するという文書化された意思決定であること、そしてリスク回避はその活動を実施しないことでリスクをなくすことであると学びました。次は、主要なセキュリティフレームワークであるNIST RMF、ISO 27001、CIS Controlsについて概観します。