ご注意あれ。ここで勝手にトーマツ方式としているのはトーマツ社の方式という意味ではない。プロセスごとに情報資産を洗い出して、そのプロセス毎にリスク分析を行う非常にラフな方式をどう言う訳か、勝手なイメージでトーマツ方式と言っているに過ぎない。
問題：
- プロセス自体、基幹プロセス～支援プロセスが複層的に連なり、そう単純でない。単に部門に割り振ってプロセスチャートを書かせて済ませられるものではない。
- プロセスごとに情報資産を括ること自体に無理がある。情報に対する管理特性は別次元。
- 個々の情報資産に対する具体的な管理策を導き出すには関連プロセス全体をカバーする必要があるため、返って膨大な作業量になってしまう。
- 結果的には、個々の情報資産とプロセスとの連関の追求は諦めることになり、相互に連関の無いプロセス情報リスクチャートと情報資産台帳が出来上がり、両方とも中途半端で使い物にならない。
コンサルも審査員もそういうのを顧客から見せられたら、取り敢えず「よく出来ていますね」と言うが、で後は黙って通り過ぎる。いったん出来ているものをやり直すのは誰も口に出来ない。
.*.
この方式でやってしまった会社はどうすればいいの？
- 素直にやり直す。プロセス→資産洗い出し→資産ベースのリスク分析
- 無視する。リスク対応はベースラインアプローチだけで済ませる。
.*.
