令和6年度
中小企業サイバーセキュリティ
社内体制整備事業
第３回
第６編：ISMSなどのフレームワークの種類と活用方法の紹介【レベル３】

中小企業サイバーセキュリティ 社内体制整備事業

セミナー内容
編
第1編
第2編

第3編

テーマ
サイバーセキュリティを取り巻く背景
中小企業に求められるデジタル化の推進とサイバーセキュリ
ティ対策
これからの企業経営で必要なIT活用とサイバーセキュリティ
対策
セキュリティ事象に対応して組織として対策すべき対策基準と具体的な実施
各種ガイドラインを参考にした対策の実施
図❷

第4編
第5編

図❸

2

中小企業サイバーセキュリティ 社内体制整備事業

セミナー内容
編
第6編
第7編

第8編

テーマ
ISMSなどのフレームワークの種類と活用法の紹介
ISMSの構築と対策基準の策定と実施手順

具体的な構築・運用の実践
中小企業が組織として実践するためのスキル・知識と人材育
成
全体総括
図❷

第9編
第10編

図❸

3

中小企業サイバーセキュリティ 社内体制整備事業

セミナー内容第11章. セキュリティフレームワーク
第12章. リスクマネジメント

図❷

図❸

4

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

第11章. セキュリティフレームワーク
セキュリティフレームワークの概要
情報セキュリティマネジメントシステム（ISMS）
サイバー・フィジカル・セキュリティ対策フレームワーク（CSF）
図❷

サイバーセキュリティ経営ガイドライン
図❸5

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

セキュリティフレームワークの概要

セキュリティフレームワークの役割と重要性【参照：テキスト11-1-1.】
P3

セキュリティフレームワークの定義
セキュリティ対策を行うために定義された指針やセキュリティ対策基準、ガイドライン、ベストプラクティス集のことを指します。

セキュリティフレームワークを利用するメリット
図❷

効果的なセキュリティ対策

信頼性の確保図❸6

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

セキュリティフレームワークの概要【参照：テキスト11-1-1.】
P3

代表的なセキュリティフレームワーク
項番

フレームワーク名

1

ISMS

2

ISO/IEC27017

3

CSF
CPSF

4
5

6789

別途詳細

別途詳細
別途詳細

サイバーセキュリティ経営ガイドライン 別途詳細
PCI DSSPMSCIS Controls
ISA/IEC62443

概要[ISO/IEC27001,27002]
網羅的なセキュリティフレームワーク
クラウドサービス対象のセキュリティフレームワーク
重要インフラ対象のセキュリティフレームワーク
Society5.0における産業社会が対象のセキュリティフレー
ムワーク
図❷
経営者を中心としたセキュリティ対策

クレジットカード産業を対象としたデータセキュリティ基準図❸
個人情報保護具体的なサイバー攻撃アプローチ
産業オートメーションおよび制御システム7

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

フレームワーク選択の重要性

代表的なセキュリティフレームワークの概要【参照：テキスト11-1-2.】
P4

ISO/IEC27017• 対象：クラウドサービスの提供者と利用者。
• 目的：クラウドサービスのリスク低減、適切な利用のための組織体制の確立。
• ISO/IEC27002をベースに作成。
• ISO/IEC 27001は情報セキュリティのマネジメントシステム規格。
• ISO/IEC 27017を通じて、ISO/IEC 27001を強化し、クラウドサービス向けの情報セキュリティ管理体制の構築が可能。
図❷

図❸

8

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

フレームワーク選択の重要性

代表的なセキュリティフレームワークの概要【参照：テキスト11-1-2.】
P5

PCI/DSS（国際的なクレジット産業向けのデータセキュリティ基準）• 対象：クレジットカード情報を取扱う全ての事業者。
• 名称：Payment Card Industry Data Security Standard (略称：PCIDSS)。
• 目的：カード会員情報の適切な管理。
• 国際カードブランド5社が共同で策定した国際基準。
• 基準内容：ネットワークアーキテクチャ、ソフトウェアデザイン、セキュリティマネジメント、ポリシー、プロシジャ。
• 12の要件で規定。
図❷

図❸

9

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

フレームワーク選択の重要性

代表的なセキュリティフレームワークの概要【参照：テキスト11-1-2.】
P5

PMS（個人情報保護マネジメントシステム）• 目的：組織が取扱う個人情報の安全・適切な管理。
• 規格：JIS Q 15001。
• 主な内容：事業者が個人情報を適切に取扱う方法の規定。
• プライバシー保護：直接の目的ではないが、結果的に保護される。
• PMSの基本：個人情報保護方針の設定と、その方針に基づくPDCAサイクルの実行。
図❷

図❸

10

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

フレームワーク選択の重要性

代表的なセキュリティフレームワークの概要【参照：テキスト11-1-2.】
P6CIS Controls• 目的：サイバー攻撃の現状・傾向をもとに、組織のサイバーセキュリティ対策と優先順位を決定するフレームワーク。
• 重点：あらゆる企業の最も基本的・重要な対応。
• 特徴：ネットワークの詳細設定、ログ管理などの具体的・技術的対策が中心。
• アプローチ：多岐にわたる対策から、自社の実施すべき対策と優先順位を導出。
図❷

図❸

11

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

フレームワーク選択の重要性

代表的なセキュリティフレームワークの概要【参照：テキスト11-1-2.】
P6

ISA/IEC62443• 主題：産業用自動制御システムのセキュリティ対策・プロセス要件の国際標準規格。
• カバー範囲：ISO/IEC 27001では十分にカバーされない工場やプラントの制御システムのセキュリティ。
• 対象：ソフトウェア・ハードウェアを含む制御関連のデータ処理基盤。
• 特徴：システムだけでなく、運用に関わる「人」と「業務」も対象。
図❷

図❸

12

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

情報セキュリティマネジメントシステム（ISMS）【参照：テキスト11-2.】
P7

ISMSの概要• 定義：ISMSは情報セキュリティマネジメントシステムの略。
• 目的：組織の情報セキュリティリスクの適切な管理。
• 地位：国際規格の存在により、代表的なセキュリティフレームワークとして認識。
• 達成目標：情報の機密性、完全性、可用性をバランス良く維持・改善し、信頼を提供。
• 対策範囲：技術的対策、従業員教育・訓練、組織体制の整備を含む。
図❷

図❸

13

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

情報セキュリティマネジメントシステム（ISMS）【参照：テキスト11-2.】
P7

情報セキュリティの3要素
機密性（Confidentiality）
情報に対するアクセスを適切に管理すること
完全性（Integrity）
情報が正確であり、完全である状態を保持すること
可用性（Availability）
情報を必要な時に使えるようにしておくこと

図❷図❸

14

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

情報セキュリティマネジメントシステム（ISMS）【参照：テキスト11-2.】
P8

ISO/IEC 27001とJIS Q 27001

ISMSのための要求事項をまとめた国際規格が、ISO/IEC 27001
ISO/IEC 27001を日本語訳し、日本産業規格としたものが
JIS Q 27001
使用用途• 組織のマネジメントおよび業務プロセスを取り巻くリスクの変化への対応• 情報セキュリティ要求事項を満たす組織の能力を内外で評価するための基準
図❷

図❸

15

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

NISTサイバーセキュリティフレームワーク（CSF）

CSFの概要••••••【参照：テキスト11-3-1.】
P9

CSFはNISTが作成したサイバー攻撃対策のフレームワーク。
防御だけでなく、検知・対応・復旧のインシデント対応が含まれる。
要求事項は汎用的で、多様な企業に適用可能。
指示書やノウハウ集ではない。
利用方法は実施する組織に委ねられている。
CSFを理解し、サイバーセキュリティ対策の検討が必要。
図❷

図❸

16

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

NISTサイバーセキュリティフレームワーク（CSF）

CSF2.0 の3つの構成要素【参照：テキスト11-3-1.】
P9, P10「コア」の概要
サイバーセキュリティ対策の一覧「ティア」の概要
対策状況を数値化するための成熟度評価基準「プロファイル」の概要
サイバーセキュリティ対策の現状とあるべき姿を記述するためのフレームワーク
図❷

図❸

17

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

NISTサイバーセキュリティフレームワーク（CSF）

コアとは【参照：テキスト11-3-1.】
P10, P11

業種・業態や企業規模に依存しない共通のサイバーセキュリティ対策の一覧を定義したものです。

図❷

図❸

18

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

NISTサイバーセキュリティフレームワーク（CSF）【参照：テキスト11-3-1.】
P12, P13

ティアとは組織におけるサイバーセキュリティリスクへの対応状況を評価する際の指標を定義したものです。指標はティア1～ティア4までの4段階があります。

ティア1
部分的であるティア2
リスク情報を活用している

ティア3
繰り返し運用可能である

ティア4
適応している
図❷図❸19

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

NISTサイバーセキュリティフレームワーク（CSF）

プロファイルとは【参照：テキスト11-3-1.】
P13, P14

組織ごとの考慮点を整理したもので、サイバーセキュリティ対策の現状と目標状態を明示します。これにより、必要な改善点のギャップを特定できます。「あるべき姿」は、ビジネス要求やリスク許容度、リソースをもとに策定されます。

図❷図❸

20

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

NISTサイバーセキュリティフレームワーク（CSF）

CSF 2.0 の特徴••••【参照：テキスト11-3-1.】
P14, P15, P16

フレームワークの適用範囲拡大
新たな機能「ガバナンス」の追加
フレームワーク活用のためのコンテンツ強化サプライチェーンリスクマネジメントの強化

図❷

図❸

21

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

NISTサイバーセキュリティフレームワーク（CSF）

NIST SP 800シリーズとCSFの関連性【参照：テキスト11-3-2.】
P16

CSFの下位概念に位置づけられているのが、NIST SP 800シリーズです。
実施すべきタスクと手順、推奨技術の特定など、セキュリティ管理の手法について具体的に明記されています。

図❷

図❸

22

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

NISTサイバーセキュリティフレームワーク（CSF）

CSFとISMSの関連性【参照：テキスト11-3-3.】
P17, P18

主な共通点• 汎用性が高い• サイバーセキュリティ対策方法• 任意性がある
主な相違点• 第三者認証制度の有無• 目標への到達手段

図❷

図❸

23

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

サイバー・フィジカル・セキュリティ対策フレームワーク【参照：テキスト11-4.】
P19

CPSFの概要

Society5.0でサイバー空間とフィジカル空間が融合。
サプライチェーンが『価値創造過程』として変化。
新しいサプライチェーンにはサイバー攻撃のリスク増。
政府が『サイバー・フィジカル・セキュリティ対策フレームワーク』(CPSF)を策定。
• CPSFは既存のISMSやCSFをもとに、サイバーとフィジカルの両方のセキュリティ対応。
••
•
•

図❷

図❸

24

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

サイバー・フィジカル・セキュリティ対策フレームワーク【参照：テキスト11-4.】
P19

CPSFの目的と適用範囲

目的
CPSFは新たな産業社会のバリュークリエイションプロセスを理解し、リスクを明確化し、セキュリティ対策を整理すること。
適用範囲
新たな産業社会のバリュークリエイションプロセス全体。
図❷

図❸

25

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

サイバー・フィジカル・セキュリティ対策フレームワーク【参照：テキスト11-4.】P20

3層構造モデルサイバー空間におけるつながり[第3層]
自由に流通し、加工・創造されるサービスを創造するためのデータの信頼性を確保フィジカル空間とサイバー空間のつながり[第2層]
フィジカル空間・サイバー空間を正確に”転写”する機能の信頼性を確保（現実をデータに転換するセンサーや電子信号を物理運動に転換するコントローラなどの信頼）図❷

企業間のつながり[第1層]
適切なマネジメントを基盤に各主体の信頼性を確保

図❸26

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

サイバーセキュリティ経営ガイドライン

経営者が認識するべき3原則
原則1

原則2

【参照：テキスト11-5-1.】
P22

経営者は、サイバーセキュリティリスクが自社のリスクマネジメントにおける重要課題であることを認識し、自らのリーダーシップのもとで対策を進めることが必要
サイバーセキュリティ確保に関する責務を全うするには、自社のみならず、国内外の拠点、ビジネスパートナーや委託先など、サプライチェーン全体にわたるサイバーセキュリティ対策への目配りが必要
平時および緊急時のいずれにおいても、効果的なサイバーセキュリティ対策を実施するためには、関係者との積極的なコミュニケーションが必要
図❷

原則3

図❸

27

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

サイバーセキュリティ経営ガイドライン

経営の重要10項目（指示1～6）【参照：テキスト11-5-1.】
P22, P23【サイバーセキュリティリスクの管理体制構築】
指示1 サイバーセキュリティリスクの認識、組織全体での対応方針の策定
指示2 サイバーセキュリティリスク管理体制の構築
指示3 サイバーセキュリティ対策のための資源（予算、人材など）確保【サイバーセキュリティリスクの特定と対策の実装】
指示4 サイバーセキュリティリスクの把握とリスク対応に関する計画の策定
指示5 サイバーセキュリティリスクに効果的に対応する仕組みの構築
指示6 PDCAサイクルによるサイバーセキュリティ対策の継続的改善
図❷

図❸

28

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

サイバーセキュリティ経営ガイドライン

経営の重要10項目（指示7～10）【参照：テキスト11-5-1.】
P23【インシデント発生に備えた体制構築】
指示7 インシデント発生時の緊急対応体制の整備
指示8 インシデントによる被害に備えた事業継続・復旧体制の整備【サプライチェーンセキュリティ対策の推進】
指示9 ビジネスパートナーや委託先などを含めたサプライチェーン全体の状況把握および対策
図❷【ステークホルダーを含めた関係者とのコミュニケーションの推進】指示10 サイバーセキュリティに関する情報の収集、共有および開示の促進
図❸29

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

サイバーセキュリティ経営ガイドライン
ガイドラインの読み方（経営者）【参照：テキスト11-5-2.】
P26, P27

役割• 「3原則」の理解• 重要10項目について、情報セキュリティ対策の責任者に指示を出す• リーダーシップの発揮
認識すべきこと• ERMにサイバー攻撃のリスクを含めること• サプライチェーン上のリスクを認識すること• サイバーセキュリティ対策は担当者に丸投げしてはいけない• サイバーセキュリティ対策は投資と位置づけること
図❷

図❸

30

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

サイバーセキュリティ経営ガイドライン
ガイドラインの読み方（担当幹部）【参照：テキスト11-5-2.】
P27, P28

役割• 重要10項目を理解すること• 経営者に対して適宜状況報告を行い、経営者が適切な判断を行うために必要な情報を提供すること認識すべきこと• 経営者から指示される内容に関して、より具体的な取組を検討し、セキュリティ担当者に対して指示をする必要があること
図❷

図❸

31

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

サイバーセキュリティ経営ガイドライン【参照：テキスト11-5-3.】
P28

サイバーセキュリティ経営ガイドラインの実践の流れ

図❷

図❸

32

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

第12章. リスクマネジメント
リスクマネジメント：概要
リスクマネジメント：リスクアセスメント
リスクマネジメント：リスク対応
図❷

図❸

33

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：概要
リスクマネジメントプロセス
リスクマネジメントプロセス（ISO31000）【参照：テキスト12-1-1.】
P31

リスクマネジメントとは存在するリスクを効率的に管理し、発生する可能性がある損失を回避したり低減したりするプロセス全体のこと

ISO31000での構成要素
図❷

図❸

34

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：概要【参照：テキスト12-1-1.】
P32

情報セキュリティリスクマネジメント（ISO/IEC27005）

図❷

図❸

35

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：概要【参照：テキスト12-1-1.】
P33

情報セキュリティリスクマネジメント（ISO/IEC27005）

図❷

図❸

36

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：概要【参照：テキスト12-1-1.】
P34

ISO/IEC 27001におけるリスクマネジメント手順

図❷

図❸

37

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-1.】
P35

リスク基準の確立必要なリスク基準

図❷

図❸

38

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-2.】
P36, P37

リスク特定アプローチ手法と特徴• 資産ベースのアプローチ• 事象ベースのアプローチ• リスク所有者の特定

図❷

図❸

39

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-2.】
P37

リスク特定（資産ベースのアプローチ）
アプローチ手法

図❷

図❸

40

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-2.】
P38

リスク特定（資産ベースのアプローチ）
情報資産の洗い出し（例）

図❷

図❸

41

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-2.】
P39, P40

リスク特定（資産ベースのアプローチ）
機密性・完全性・可用性が損なわれた場合の影響度を評価
評価値

評価基準
法律で安全管理（漏えい、滅失又はき損防止）が義務付けられている

3
機
密性

守秘義務の対象や限定提供データとして指定されている
漏えいすると取引先や顧客に大きな影響がある
自社の営業秘密として管理すべき（不正競争防止法による保護を受けるため）漏えいすると自社に深刻な影響がある

2

漏えいすると事業に大きな影響がある

1

漏えいしても事業にほとんど影響はない••

該当する情報の例
個人情報（個人情報保護法で定義）
特定個人情報（マイナンバーを含む個人情報）••

取引先から秘密として提供された情報
取引先の製品・サービスに関わる非公開情報

••
•
•

図❷
自社の独自技術・ノウハウ
取引先リスト
特許出願前の発明情報
見積書、仕入価格など顧客（取引先）との商取引に関する情報
図❸
自社製品カタログ
ホームページ掲載情報••42

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-2.】P40

リスク特定（資産ベースのアプローチ）
機密性・完全性・可用性が損なわれた場合の影響度を評価
評価値

評価基準
法律で安全管理（漏えい、滅失又はき損防止）が義務付けられている••

改ざんされると自社に深刻な影響または取引先や顧客に大きな影響がある

•
•
•
•
•
•

該当する情報の例
個人情報（個人情報保護法で定義）
特定個人情報（マイナンバーを含む個人情報）
取引先から処理を委託された会計情報
取引先の口座情報
顧客から製造を委託された設計図
自社の会計情報 図 ❷
受発注・決済・契約情報
ホームページ掲載情報•

廃版製品カタログデータ

3
完
全性

2

改ざんされると事業に大きな影響がある

1

改ざんされても事業にほとんど影響はない

図❸43

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-2.】P40

リスク特定（資産ベースのアプローチ）
機密性・完全性・可用性が損なわれた場合の影響度を評価
評価値

該当する情報の例
顧客に提供しているECサイト
顧客に提供しているクラウドサービス

利用できなくなると自社に深刻な影響または取引先や顧客に大きな影響がある••

2

利用できなくなると事業に大きな影響がある••製品の設計図商品・サービスに関するコンテンツ
図❷（インターネット向け事業の場合）

1

利用できなくなっても事業にほとんど影響はない•廃版製品カタログ

3
可用性

評価基準

図❸

44

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-2.】
P41

リスク特定（資産ベースのアプローチ）
影響度の評価をもとに重要度を算定
重要度3

情報資産の価値・事故の影響の大きさ
事故が起きると、「 法的責任を問われる」「 取引先、顧客、個人に大きな影響がある」「 事業に深刻な影響を及ぼす」など、企業の存続を左右しかねない
図❷

2

事故が企業の事業に重大な影響を及ぼす

1

事故が発生しても事業にほとんど影響はない
図❸45

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-2.】
P42

リスク特定（事象ベースのアプローチ）
アプローチ手法

図❷

図❸

46

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-2.】
P42

リスク特定（事象ベースのアプローチ）
リスク特定の例
リスク評価値
機密性 情報が漏えいする類の事象ではない

ネットワーク障害により、リモートによる会議が中断
ネットワーク障害の原因がサイバー攻もしくは実施できなくなり、完全性 撃やマルウェアの場合、情報が被害を取引先や顧客に影響を及ぼ受ける可能性がある事象であるす恐れ
ネットワークが利用できなくなり、自可用性 社や取引先、顧客に大きな影響をおよぼす事象である

重要度 リスク所有者
1

3図 ❷

3○○○○

3
図❸

47

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-3.】
P43

リスクの分析
リスク分析の例「リスクレベル」＝「重要度」×「被害発生可能性」
図❷

図❸

48

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-3.】
P43

リスクの分析
被害発生可能性とは起こりやすさ（脅威）3

通常の状況で脅威が発生する（いつ発生してもおかしくない）2

特定の状況で脅威が発生する（年に数回程度）

1

通常の状況で脅威が発生することはない（通常発生しない）

つけ込みやすさ（脆弱性）
3

対策を実施していない（ほぼ無防備）

2

部分的に対策を実施している（一部対策を実施）図 ❷1

必要な対策をすべて実施している（対策を実施）図❸「起こりやすさ」と「つけ込みやすさ」の換算表で算出する49

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-3.】
P43

リスクの分析
被害発生可能性の換算表
つけ込みやすさ（脆弱性）
被害発生可能性の換算表

起こりやすさ
（脅威）

32

1332

122

1

111

図❷11

図❸

50

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-3.】
P44, P45

リスクの評価
リスク評価（例）リスクレベル評価値

重要度

リスクレベル

低中
高

被害発生可能性

32139632642132

リスク評価
そのままで受容可能管理下で受容可能
受容できない図❷1

記述

それ以上の活動なしにリスクを受容可能
リスクマネジメントの観点からフォローアップを実施し、中長期に図❸わたる継続的改善の枠組みにおいて活動を設定することが望ましい
リスクを低減するための対策を短期間で行うことが絶対に望ましい。
そうでない場合、活動の全部又は一部を拒否することが望ましい
51

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-2-3.】P45

対応策の検討
リスク対応の選択肢の選定方法

図❷

図❸

52

第６編 ISMSなどのフレームワークの種類と活用法の紹介【レベル３】

リスクマネジメント：リスクアセスメント【参照：テキスト12-3.】
P48

対応策の検討
残留リスク図❷図❸53

令和６年度
中小企業サイバーセキュリティ社内体制整備事業