どの対策に、
優先して投資すべきか。
売上・業務停止・顧客対応・契約への影響を整理し、許容できるリスクと対応が必要なリスクを明確にします。
CYBERSECURITY RISK ASSESSMENT
サイバーセキュリティ
リスクアセスメントサービス守るべき事業から、
打つべき対策を。
何が起きると、どの業務に、どれだけ影響するのか。
技術上の課題を事業のリスクに結び付け、
経営と現場が合意できる改善計画をつくります。
FROM EXPOSURE TO DECISIONASSESS · PRIORITIZE · ACT
BUSINESS OBJECTIVES事業継続／情報保護／取引の信頼
重要業務とデジタル基盤の依存関係
ID・端末権限 / 認証 / 運用
クラウド・AIデータ / 連携 / 設定
委託先・外部接続契約 / 依存 / 責任分界
脅威・弱点＋発生可能性＋事業影響
MANAGEMENT DECISIONS優先順位 / 対応方針 / 投資計画
01事業影響を明確化
02証跡でリスクを評価
03実行できる計画へ
01 / 評価の目的
事業に残るリスクを、
根拠とともに評価します。
対策を導入していても、重要業務への影響や復旧の実効性が見えていなければ、次の投資は決められません。インフォセックアドバイザリーは、事業・システム・運用を横断して評価し、対応の根拠と優先順位を整理します。
どの対策に、
対策は、実際に
機能しているか。
規程や自己申告に加え、設定・ログ・運用記録を確認。対策の実装状況と、確認できていない事項を区別します。
経営へ、根拠を持って
説明できるか。
リスクシナリオ、判断根拠、責任者、対応期限を一つの台帳にまとめ、継続的に追跡できる状態をつくります。
02 / 評価対象
重要業務を起点に、
依存する仕組みまで。
全社の現状把握から、クラウド移行・AI導入・委託先変更に伴う個別評価まで。目的に合わせて対象と評価の深さを設計します。
ガバナンス・リスク管理
経営の関与、責任分担、リスク許容基準、例外承認、経営報告、改善管理。
重要業務・データ
業務停止の影響、情報の機密性、データフロー、復旧目標、システム間の依存。
ID・端末・ネットワーク
多要素認証、特権管理、外部公開、ネットワーク分離、脆弱性管理、監視。
クラウド・SaaS・AI利用
共有設定、アクセス権、API連携、入力データ、生成結果の扱い、AIの操作権限。
委託先・サプライチェーン
委託先の重要度、再委託、リモート接続、事故連絡、契約・サービスへの依存。
インシデント対応・復旧
検知から判断・連絡までの体制、バックアップ保護、復元テスト、事業継続計画。
OT・制御システムを含む場合は、安全性や稼働への影響を踏まえ、評価対象・手法・実施条件を事前に確認します。
03 / 評価方法
「何が起きるか」を具体化し、
評価の根拠を残す。
重要業務と資産を特定し、脅威がどの弱点を通じて、どの事業影響につながるかをシナリオで整理。発生可能性と影響度を、事前に合意した尺度で評価します。
01 / CONTEXT
事業・範囲
守るものと
許容基準を決める
02 / SCENARIO
脅威・弱点
侵害・停止に至る
シナリオを描く
03 / EVIDENCE
現行対策
設定・記録・運用で
有効性を確認する
04 / DECISION
残存リスク
低減・回避・共有・保有の
対応方針を決める
尺度をそろえる
影響は業務停止、情報漏えい、顧客・契約、財務、安全性などから定義。発生可能性は外部公開、攻撃経路、既存対策、実際の運用を踏まえます。
不確実性を見える化する
確認済みの事実、合理的な仮定、証跡不足を区別。情報が足りない項目は「低リスク」と扱わず、追加確認事項として明示します。
対策後まで追跡する
現在の残存リスクと対策後の目標を分け、責任者・期限・完了条件を設定。必要に応じて改善後の再評価まで支援します。
準拠性のギャップ、統制の成熟度、事業リスクは別々に評価します。CVSSやフレームワークのスコアだけで、事業上のリスクを決めることはありません。
04 / 成果物
評価結果を、
次のアクションへ。
経営向けの要約と、現場が使うリスク台帳をつなげます。評価根拠から改善の完了条件まで、判断の経緯を追える成果物を提供します。
評価結果の例
説明用サンプルリスクシナリオと対応方針の例
R-01 / BUSINESS INTERRUPTION特権IDの侵害から、
特権IDの侵害から、
基幹業務の停止へ。
特権IDが侵害され、業務データと同一環境のバックアップが暗号化。受発注業務の停止が長期化するシナリオを評価します。
- 確認する証跡
- 認証・権限設定、バックアップの分離状況、復元テスト記録。
- 優先する対応
- 特権IDの保護、バックアップの隔離・保護、復旧手順の実証。
- 完了の判断材料
- 業務部門と合意した復旧目標に対し、復元結果と所要時間を確認。
発生可能性 →
現在目標
事業への影響度 →現行対策を踏まえた評価追加対策後の目標
点の位置は説明用の仮定です。実案件の評価や対策効果を示すものではありません。尺度・境界は案件ごとに定義します。
経営向けサマリー
主要リスク、事業影響、対応選択肢、意思決定事項。
リスク台帳・評価根拠
シナリオ、現行対策、根拠資料、残存リスク、確認課題。
改善ロードマップ
優先順位、担当、期限、依存関係、完了条件と再評価計画。
05 / 進め方
スコープを合意し、
判断に必要な証跡を集める。
経営・業務・ITの関係者が同じ前提で進められるように、対象、評価基準、必要資料、報告先を最初にそろえます。
- 01スコープ・評価計画
目的・対象・判断基準を合意
重要業務、対象システム、対象組織、リスク許容基準、評価尺度、成果物と期限を定義します。
- 02証跡一覧・追加確認事項
資料確認・ヒアリング
資産・システム構成、規程、既存診断結果、設定や運用記録を確認し、業務部門とIT部門へヒアリングします。
- 03リスク台帳・評価根拠
シナリオ分析・リスク評価
脅威、弱点、既存対策、事業影響を結び付け、発生可能性・影響度・残存リスクを評価します。
- 04改善ロードマップ
対応方針・改善計画を策定
緊急度、効果、実行負荷、対策間の依存関係から優先順位を設定し、責任者と完了条件を整理します。
- 05最終報告書・経営サマリー
報告・合意形成・次回評価へ
経営と現場に結果を説明。対応方針や保有するリスクの判断を支援し、見直しのタイミングを決めます。
期間・費用
対象業務・拠点・システム数、評価基準、資料の整備状況、技術確認の有無に応じて個別にお見積りします。
準備いただく主な情報
業務・システム構成図、資産台帳、主要な規程、既存の診断・監査結果、委託先一覧。未整備の場合も、現状からご相談いただけます。
06 / 対応基準
目的に合わせて基準を選び、
一つの評価につなげる。
リスク管理の方法論と、対策の要求事項を組み合わせます。対象となる契約・業界・情報の種類に合わせ、適用する文書と版を合意します。
全体像・ガバナンス
NIST CSF 2.0
GOVERNを含む6つの機能で現状と目標を整理し、事業の優先事項と対策を結び付けます。
公式情報 ↗リスクの特定・分析・対応ISO/IEC 27005:2022
ISO/IEC 27005:2022
／ NIST SP 800-30 Rev.1
評価の前提、リスクシナリオ、可能性・影響、リスク対応を整理するための方法論として参照します。
経営リスクとの統合
NIST IR 8286 Rev.1
リスク台帳と事業影響を通じて、サイバーリスクを全社的リスクマネジメント（ERM）につなげます。
公式情報 ↗要求事項とのギャップ確認も組み合わせて
ISO/IEC 27001、取引先の独自基準、SCS評価制度の要求事項などを必要に応じて参照。NIST SP 800-171は、CUIの取扱いと契約上の適用要件・版を確認して評価範囲を設定します。AI利用は、データ・権限・外部連携等のサイバーリスクを評価し、必要に応じてNIST AI RMFも参照します。
規格情報の更新日：2026年10月28日。認証・公式評価の取得や特定の適合判定を保証するサービスではありません。
07 / 当社の支援
規格の理解を、
現場で動く改善へ。
インフォセックアドバイザリーは、リスク評価と規格・統制の確認をつなぎ、現状把握から改善計画、経営報告まで支援します。
01事業と技術を同じ言葉で
業務停止や取引への影響と、ID・構成・運用上の課題を結び付け、経営と担当者が共通の判断材料を持てるようにします。
02既存の情報を評価に活かす
診断・監査結果、ISMSの管理資料、委託先の回答などを整理。追加確認すべき事項を絞り、評価の根拠として活用します。
03改善の責任と完了を明確に
提言ごとに担当、期限、完了条件を設定し、必要に応じて技術検証や監査、規程・運用改善へつなげます。
08 / よくあるご質問
よくあるご質問
脆弱性診断やセキュリティ監査との違いは？
リスクアセスメントは、脅威や弱点が事業に及ぼす影響を評価し、対応の優先順位を決めます。脆弱性診断は技術上の弱点の検出、監査は定めた要求事項への適合確認が中心です。既存の診断・監査結果を評価の根拠に活用できます。
全社ではなく、特定のシステムだけでも依頼できますか？
はい。特定の業務、システム、クラウド・SaaS、AI利用、委託先との接続などに対象を絞れます。範囲を限定する場合も、重要な依存関係や対象外となる部分を明示します。
資料が十分に整っていなくても進められますか？
お持ちの資料とヒアリングから着手し、不足する情報を整理します。確認できない点は仮定や未確認事項として記録し、追加調査の必要性と評価への影響を示します。
リスクを金額で示すことはできますか？
業務停止時の影響、復旧費用などの根拠データが利用できる場合は、金額レンジによる整理を検討できます。前提や不確実性を明示し、データが不足する段階では定性評価を基本に進めます。
システムへの攻撃テストも含まれますか？
通常は資料、ヒアリング、合意した証跡の確認が中心です。脆弱性診断やペネトレーションテストが必要な場合は、対象、実施権限、稼働への影響、実施時間などを別途合意します。
評価後の改善も支援してもらえますか？
評価結果をもとに、規程・運用の見直し、対策の実施計画、監査・技術検証などの支援範囲をご提案します。改善状況を確認するための証跡と、再評価のタイミングも整理します。
START WITH YOUR BUSINESS
次の対策を決める前に、
事業のリスクを明らかに。
目的や対象がまだ明確でなくても、ご相談いただけます。
現状の課題、対象業務、希望時期をお聞かせください。