個人情報におけるリスク分析とは？必要項目や手順を解説

個人情報において、リスク分析を実施することは重要です。とくにPマークやISMSでは、個人情報のリスクを分析し、対策を講じる手順を確立することが求められます。

しかし事業者の中には、個人情報のリスク分析について深く理解できていない方もいるでしょう。

そこで本記事では、個人情報におけるリスク分析について解説します。分析表の作成手順や注意点も取り上げるので、ぜひ参考にしてください。

個人情報におけるリスク分析とは

個人情報におけるリスク分析とは、データを取り扱う中で想定されるリスクを洗い出し、軽減を図る行為のことです。個人情報をあらかじめ定めた範囲外で利用しないための手順を確立し、維持することを目的としています。

具体的には、取得した個人情報を利用する際に、どのような事故や事件が起こりうるのかを検討し、対策を講じます。リスク分析を効果的に実施することによって、各リスクに応じた最適なセキュリティ体制を構築できます。

なお、Pマーク（プライバシーマーク）やISMSの取得では、個人情報のリスク分析が重要視されます。

個人情報のリスク分析に必要な項目

個人情報のリスク分析に必要な項目は以下のとおりです。

• リスクの種類・原因
• リスクの影響度・発生確率
• リスクへの対策・実施期間

これらの情報を、後に紹介するリスク分析表に落とし込むことで、個人情報のリスク分析を効果的に実施できます。順番に見ていきましょう。

リスクの種類・原因

リスクが生じる原因を明らかにし、それに対してどのような対策を取るのかを分析する必要があります。

また、不正アクセスやヒューマンエラー、サイバー攻撃、物理的な脅威など、リスクの種類を把握することも重要です。

リスクの影響度・発生確率

リスクが発生した際に、事業に対してどれほどの影響が及ぶかを明らかにする必要があります。具体的な影響としては、財務的な損失や業務の遅延、ブランドイメージの低下などが挙げられます。

また、リスクの発生確率もあわせて確認しましょう。リスクが発生する可能性を把握することで、対策の優先度や選択肢を明確にできます。

リスクへの対策・実施期間

発生したリスクに対して、どのような対策を実施するのかを明確にしましょう。なお、リスク対策における責任者を設置することで、より効率的に対策を実施できます。

また、対策の実施期間も設定しましょう。対策をいつまでに実施するのかを決めることで、スケジュール管理や対策の優先度を検討しやすくなります。

個人情報のリスク分析表を作成する手順

個人情報のリスク分析では、リスク分析表が活用されます。

リスク分析表とは、取得した個人情報に起こりうるリスクの分析結果や対策を、表形式でまとめたものです。リスク管理台帳ともよばれます。

ここからは、個人情報におけるリスク分析表の作成手順を解説します。

1. リスクを認識する
2. 影響度の高い順に仕分けする
3. 対策の優先度を決める

順番に見ていきましょう。

1.リスクを認識する

まずは、自社の業務内容を見直し、起こりうるリスクを認識します。とくに個人情報を頻繁に取り扱う事業では、多くのセキュリティリスクが考えられるため、慎重に精査しましょう。

具体的には、JIS規格の要求事項（ライフサイクル）にあわせてフローを作成し、各事項で取り扱う個人情報を洗い出してリスクを認識します。JIS規格の要求事項（ライフサイクル）は、以下6つの流れによって構成されています。

自社が持つ個人情報に対して、取得から廃棄するまでに起こりうるすべてのリスクを認識する必要があるため注意しましょう。

ただし、異なる個人情報でもライフサイクルが始点から終点まで同じ場合はグルーピングが可能です。リスク分析表の作成を効率よく実施するためにも、グルーピングを活用しながら進めましょう。

なお、リスクの認識では外部の意見も組み込みましょう。社内では把握できないリスクも、第三者の視点を活用すれば発見できるケースがあります。

さまざまな視点から、可能な限り多くのリスクを認識しましょう。

2.影響度の高い順に仕分けする

次に認識したリスクから、事業に重大な影響を及ぼす可能性が高いものを仕分けします。リスクを仕分けしたうえで、対策の対象とするかを決めましょう。

たとえば、財務面・信頼面での損害が想定されるなら、事業に重大な影響を及ぼす恐れがあるため、早急に対策をおこなう必要があります。

しかし、リスクが起こる頻度が低く財務面や信頼面における被害も少ない場合は、無理に対策を講じる必要はないでしょう。

3.対策の優先度を決める

仕分けが完了したら、対策の対象となったリスクの優先度を決めます。リスクの発生確率と損害の度合いを含めて、総合的に算定する必要があります。

算定結果から、リスクマネジメントとしてどのような対策を実施するべきか、重要度のランク付けをおこないましょう。

なおリスク分析表の作成は、一度で完璧に実施できるケースはほぼありません。なぜなら、認識できていないリスクが後から浮上したり、事業内容の変更でリスクの種類が変わる可能性があるからです。

はじめから高い精度でリスク分析を実施するのではなく、何度も実施することでより精密なリスク分析表を作成できるでしょう。

個人情報のリスク分析で注意すべきこと

個人情報のリスク分析では、情報資産の価値を把握することが重要です。

情報資産とは企業が集めた「人」「物」「金」にかかわる情報で、具体的には顧客情報や財務データ、通信インフラなどが該当します。情報資産の価値を把握することで、リスク対策の優先度をより明確にできます。

また、リスクの認識について細かく考えすぎないことも大切です。起こりうるリスクをすべて洗い出していると、終わりが見えなくなってしまいます。

たとえば、PCに不正アクセスされて情報が盗まれるのは現実で起こる可能性があるため、リスクとして認識するのは妥当です。

しかし、会社にトラックが突っ込んでデータが破損するというリスクは可能性が極めて低いため、対策の対象にする必要はないでしょう。

あくまでも、現実的なリスクを考えましょう。

個人情報におけるリスク分析の具体例

ここからは、リスク分析表を作成する際に参考になる具体例を3つ紹介します。

一つ目は、総務省が公開する「地方公共団体における情報資産のリスク分析・評価に関する手引き」です。情報資産におけるリスク分析や評価に関する指針が詳しく解説されています。情報資産台帳のサンプルも記載されているので、リスク分析表を作成する際に参考にするとよいでしょう。

二つ目は、経済産業省が公開する「リスクアセスメント・ハンドブック」です。リスクアセスメントの実施手順や導入事例がまとめられています。

最後に紹介するのは、IPA（独立行政法人情報処理推進機構）が公開する「制御システムのセキュリティリスク分析ガイド」です。

制御システムのセキュリティを高めるためのリスク分析方法が解説されています。図解付きでわかりやすいため、ぜひ参考にしてください。

まとめ：リスク分析を実施して個人情報を適切に扱おう

個人情報を取り扱う業務では、リスク分析が重要視されます。本記事を参考にリスク分析を実施し、自社のセキュリティ性能を高めましょう。

なお、分析表を作成する際はすべてのリスクを考慮するのではなく、現実的なものに絞って効果的な対策を講じてください。