ISMS構築｜情報セキュリティ計画の「リスク」と「機会」

無料メルマガ登録でプレゼント！書籍「セキュリティ対策の基礎知識」

情報セキュリティ計画における「リスク」と「機会」。これも多くのISMS解説書などで曖昧にされているところです。

また、どう見ても間違った方向に誘導してしまっているものも見かけます。だから余計に誤解が進んでしまうのでしょう。今回はリスクと機会の考え方について、それぞれを見ていきましょう。

この記事の目次

1 「リスク」の捉え方
2 「機会」の捉え方
3 「リスク」と「機会」が示すもの
4 経営マネジメントの「リスク」と「機会」
5 まとめ

「リスク」の捉え方

誤解が生じやすい主たる原因は“和訳”の問題です。リスクを説明する際原文では、

positive risk
negative risk

という言葉を使用しているのですが、この「positive risk」を“好ましいリスク”とか“良い方のリスク”と表現する方がいるので、余計に混乱してしまうのです。

一般に日本語で「リスク」と言うとどういうイメージを持つでしょうか。普通は良くないイメージですよね。それにも関わらず“好ましい”や“良い方”とか言われると「あれ？」と混乱してしまう。「リスク」は“良くないこと”でいいんです。もう少し正確に言うと“良くないことが起きる可能性”ですね。

情報セキュリティ計画での「リスク」とは

まず、この「リスクと機会」という言葉が「計画」に対して付いていることに注目しましょう。

計画に対してリスクがある。
このリスクは計画に対してのブレである。

ここまでは良いです。ですが、計画に対してのブレは「良いブレ」と「悪いブレ」がある、というからおかしくなるんです。「計画に対してのブレ」は全て良くない可能性があるんです。だからリスクなんです。

企業経営における様々な「リスク」

赤字のケース

例えば、営業目標で「３カ月で1000万円の売り上げ」という目標があったとします。

もちろん、３カ月で達成すれば万々歳ですね。では、３カ月で700万円しか達成しなかったらどうでしょう。この場合は問題が生じる可能性があります。これが「リスク」です。何らかの対策を考えなければなりません。

上記の様なケースでは、「リスク」がすぐに理解出来るのではないでしょうか。

黒字でも「リスク」になり得るケース

では、３カ月で1500万円を売り上げたらどうでしょう。これは万々歳ですか？…営業部員だったらそうかも知れません。ですが、“経営者”として考えた場合は、そうも言っていられないのです。

商品の手配はできるか？
原価率は確保できるか？
納期限に間に合うのか？
運転資金は確保できるか？

計画が上ブレしたことによる様々な影響を考慮しなければいけません。「黒字倒産」というのは、この様な場合に起こります。（「たまごっち」の会社なんかもそうでしたよね。）

つまり、“計画からのブレ”は、上ブレしようが下ブレしようが良くないことが起きる可能性があるということです。だからリスクなんです。計画からブレたら“どんなことが起きるのか”、予め検討した上で何らかの対策が必要となるのです。

「機会」の捉え方

では、続いて情報セキュリティ計画における「機会」についてです。これも“和訳”の影響で混乱が生じています。

まず、ここでいう「機会」は“chance”ではないことを知らねばなりません。原文では「opportunity」を使っています。SWOT分析で言う“O”です。必然的にたどり着く“機会”のことなんですね。偶然性のある“chance”ではありません。日本語ではこの両者を曖昧にして「チャンス」というカタカナ語で表記する為、誤解を受けますが、両者は本質的に違うものです。