情報セキュリティマネジメントシステム
上述の「リスクマネジメントの実践」では、リスクマネジメントプロセス(risk management process)が行われる。具体的には
組織内外の状況を把握する組織の状況の確定、
リスクアセスメント(後述)、
リスクを修正するリスク対応、
期待されたパフォーマンスレベルとの差異を特定し、適切性、妥当性、有効性を検証するモニタリングおよびレビュー
のサイクルを回し、適時関係者間で必要なコミュニケーション(リスクコミュニケーション)を取る。
リスクマネジメントプロセスの中核となるリスクアセスメント(risk assessment)は以下の3つの作業からなる。
リスク特定:リスクの発見、認識、記述
リスク分析:リスクの特質を理解し、リスクレベルを理解する
リスク評価:リスク分析の結果をリスク基準(リスクの重大性を評価するための目安とする条件)と比較し、リスクが受容もしくは許容可能かどうかを決定
ISMSでは特に情報セキュリティリスクアセスメントに関する指針を定めている。そこで定められている作業は前述の3つを含む以下の9つに分類できる:リスクアセスメントの取組方法の定義、リスク特定、リスク分析、リスク評価、リスク対応、管理策の決定、適応宣言書の作成、情報セキュリティリスク計画書の作成、残留リスクの承認。
「リスクアセスメントの取組方法の定義」では、リスク基準を策定し、情報セキュリティリスクアセスメントの一貫性、妥当性、比較可能性を保証するためのプロセスを定めて文書化する。 リスク基準は以下の2つを含まねばならない:
組織として保有する事を許容するリスクの水準であるリスク受容基準
情報セキュリティアセスメントを実施するための基準
「リスク特定」ではリスクの特定とそのリスク所有者の特定をする必要がある。そのために、資産の洗い出しを行う事で資産目録を作成し、各資産の管理責任者を特定し、各資産の脅威と脆弱性の明確化を行う事が望まれる。
「リスク分析」ではリスクの起こりやすさと起こった場合の結果を分析し、これらに応じてリスクレベルを決定する。
「リスク評価」ではリスク分析結果とリスク基準を比較し、リスク対応のための優先付けを行う。JIPDECではリスクレベルとリスク受容基準を数値化した上で両者を比較する方法を例示している。
「リスク対応」ではリスク受容基準を満たすリスクはリスクを受容するという意思決定(リスク受容)を行った上でリスク保有する。