リスクアセスメントの合理性

資産の重要性評価ロジックは素直に、C,I,A個々の評価であるにも拘らず妙なことをする組織が後を絶たない。資産を３色のフィルターで見る癖が人間にはないから無理も無いが、ISMSをやる以上は分けて見る目を持たないといけない。

• 審査員A：重要視する要素（CIAのいずれか一つ）だけで評価しても構わない。
• 審査員B：CIAを完全に独立して評価すること。
• 審査員C：上のどちらでも構わないし、C*I*Aでも、C*C*I*Aでも、C+I+Aでも構わない。要は組織が納得して決めている方法なら問わない。
  

規格が求めている独立した評価はCIAを認識すれば十分とする考え方が基本ですが、方針・受容基準・受容レベル等から評価ロジックに論理性が認められないケースが審査を受けるときに問題になります。これは本当はロジックの問題ではなくて工数の問題なのです。最初から厳密にやると工数がかかりすぎるし、現場の状況とのギャップが大きい過ぎる。

当初は工数のかからない方法をとり、善事改善のアプローチを取るのが普通の感覚。