リスク値について考えてみる

リスク値について考えてみる

本来は年間の期待損失額（金額）です。受容する水準は、経営層レベル、部門長レベル、マネジャーレベル、担当者レベルで、それぞれの予算との関連で決めてもいい。小規模企業だと１００万円を超える決済も経営層に行くが、大規模企業なら１億円でも部門長で決済できてしまう。組織規模が反映できるので有効なアプローチに思われる。経営層決済を受容基準にするのか、部門長決済を受容基準にするのか。

• [期待損失額]=[CIAが脅かされた時の損失額]×[脅威の頻度]×[脆弱性]

脅威の頻度は年間の発生確率。
脆弱性は脅威の発生に対して受け入れる確率（防御できない確率）
因みに、脅威×脆弱性＝実現頻度と理解できる。

.*.

金額ベースの評価が困難な場合、ポイント制の評価を採用する組織が多い。むしろ、簡便なポイント制でリスク分析を進めるところが主流だそうだ。

ポイント制で、リスク値は最大で４×４×４＝64。最小値は１。

ポイント制の最大欠陥は金額の大きさ（深刻度）が単なる１－４のランク分けされて、臨場感を欠落させること。小手先を使うことで、リスク値の過小評価が簡単に出来てしまうこと。その為に、いくつかの工夫を施すことになる。

＜リスク値の評価における工夫の例＞

1. 資産価値最大（４）の場合、脅威の頻度（１）、脆弱性（１）以外（＝実現頻度１以外）は受容しない。企業存続～事業存続の瀬戸際に追い込まれる事態を回避するため。資産価値４は無限大に通じると理解しておくことが重要になる。結果、リスク値４のみ受容。またはリスク値８以上は対策を要求。
2. 資産価値最小（１）の場合、全ての脅威（４）、脆弱性（４）を受け入れる。対策を要求しない。リスク値16まで受容。
3. 資産価値（３）の場合、中長期的に１回の発生（脅威１×脆弱性4）を下回ることを求める。リスク値１２は受容せず、次のレベルとなるリスク値９まで受容。
4. 資産価値（２）の場合、中長期的に1回の発生を認める。脅威１、脆弱性４。リスク値８まで受容。次のレベルとなるリスク値16は受容しない。

これを、CIAそれぞれに対して独立して実施する。

.*.

リスク値算定ロジックを見るとリスクが分かる

リスク値算定ロジックを見るとリスクが分かる

リスク値ってリスクの程度を定量化に近いところで捕らえて、合理的な取り組みに生かそうとするものです。

リ スク値は、誰かのガイドの作り方が悪いのでしょうが、出鱈目が多い。冗談でやっているんだろうと思うくらいナンセンスなロジック。リスク値と書くから分か りにくい。単純に考えれば損害額です。そのまま金額算定でも良いし、あるスパンでランク分けしても良い。その金額を出したら事業継続不可というのがまあ最 大として、後は3段階か5段階か適当に区切って、諸試算の便宜を図って良い。

情報試算の資産価値が理解できていないから、リスク値なんて出てこない。資産価値と言うから難しい。これ最大損害額のことなんだけど。

資産価値とリスク値は同じ単位ですね。そこに脅威・脆弱性を持ってきても、確率以外の処理は存在しない。

資産価値（最大損害額）*実現確率＝期待損害額（リスク値）

実現確率は実現確率＝脅威*脆弱性としてさらに要素分析を行うことも出来る。

頓珍漢は、足し算が登場したり、二乗計算が登場したり、適当な（根拠の無い、いい加減なの意味）重み係数が登場したりすること。真実は単純な計算式で表現できるのに。

リスク値の算定ロジックの出来は事務局のお頭の出来を示す指標。頓珍漢が登場したら、この組織のマネジメントシステムは苦労する訳だ。問題事務局でも彼らに頑張ってもらわなければならない。

.*.

もう一つ注意事項がありました。

脅威と脆弱性。無理やり分けようとすると苦労します。相対的な関係にありますから。

.*.