実践編の3回目は【特定】の後半、リスクアセスメントです。前回（第7回）の棚卸しで作った資産台帳を使って、「自社はどこから危ないのか」を評価し、対策の優先順位を決めます。難しい専門手法は要りません。★3レベルなら、Excelの台帳に列を2つ足すだけで始められます。
■ リスク＝「起きやすさ×影響の大きさ」
リスクアセスメントと聞くと身構えますが、考え方はシンプルです。資産ごとに、
- その資産で嫌なことが起きたら、どれくらい困るか（影響の大きさ）
- その嫌なことは、どれくらい起きやすいか（起きやすさ）
の2つを見積もり、掛け合わせて大きいものから手を打つ――これだけです。精密な数値化よりも、「全資産を同じ物差しで見比べて、順番を決める」ことに意味があります。
■ ステップ1：資産ごとに「嫌なこと」を想像する
まず、台帳の資産それぞれについて、起こり得る「嫌なこと（脅威）」を挙げます。典型は次の3つで、ほとんどの資産はこのどれかに当てはまります。
| 嫌なこと | 例 | 起きやすい場所 |
|---|---|---|
| 止まる | ランサムウェアで基幹システムが停止、機器の故障 | 更新されていないサーバ、バックアップのない機器 |
| 漏れる | 顧客名簿の流出、メール誤送信、クラウドの設定ミス | 持ち出しPC・USB、野良IT、共有設定が緩いクラウド |
| 乗っ取られる | メールアカウントの不正利用、なりすまし送信 | 使い回しパスワード、多要素認証なしのアカウント |
最近の事例でも、メールアカウントが乗っ取られて取引先へ大量のなりすましメールが送られる、委託先のサービス経由で自社の顧客情報が漏れる、といった被害が相次いでいます。「うちならどれが起きそうか」を資産ごとに考えるのが、このステップです。
■ ステップ2：台帳に2列足して簡易評価
次に、台帳に「影響度」「起きやすさ」の2列を追加し、それぞれ高・中・低の3段階で付けます。
- 影響度：第7回の重要度（止まると業務が止まるか／漏れると信用を失うか）をそのまま使えます。
- 起きやすさ：次のどれかに当てはまれば「高」が目安です。
- インターネットから直接アクセスできる（公開サーバ、VPN機器、クラウド）
- 更新・パッチ適用が止まっている、またはサポート切れ
- 多要素認証がない／パスワードを使い回している
- 管理者が決まっていない（第7回で見つけた「野良IT」など）
「影響度・高×起きやすさ・高」が最優先。この組み合わせを一覧にすれば、それがそのまま自社の対策ロードマップになります。
■ ステップ3：対応の方針を決める――4つの選択肢
リスクへの対応は、実は4種類しかありません。
- 低減する：対策して起きにくく・被害を小さくする（更新、多要素認証、バックアップ等）。★3対応の中心はこれです。
- 回避する：やめてしまう（使っていない公開サーバの停止、不要なデータの削除）。
- 移転する：他者に引き受けてもらう（サイバー保険、信頼できる事業者への委託）。
- 受容する：影響も起きやすさも小さいものは「今は何もしない」と決めて記録する。
ポイントは4の「受容」も立派な判断だということです。すべてに対策はできません。「やらないことを、経営者が分かったうえで決めて記録する」――これができていれば、限られた予算でも筋の通った対策になります。
■ やりがちな失敗3つ
- 精密にやろうとして挫折する：最初から全資産を細かく分析しようとすると必ず止まります。まず「高×高」を10個見つけるつもりで。
- 1回やって終わりにする：リスクは変わります。年1回の見直し（第6回・第7回とセット）と、新しい機器・サービス導入時の追記を習慣に。
- 担当者の感覚だけで決める：影響度の判断は経営判断そのものです。結果は必ず経営者と共有し、対応方針（特に「受容」）は経営者が決めてください。
■ よくある質問
Q1. 専門知識がなくても本当にできますか？
A. 3段階×3段階の簡易評価は、ISOのような厳密な手法の”入門版”として広く使われている考え方です。★3水準の第一歩としては十分で、まず回し始めることが大切です。
Q2. どんな頻度でやり直せばよいですか？
A. 年1回の定期見直しに加え、大きな変化（新システム導入、拠点追加、テレワーク開始など）のタイミングで該当部分だけ見直せば十分です。
Q3. 評価した後、何から対策すればよいですか？
A. 「高×高」の資産に対する低減策からです。多くの中小企業では、多要素認証の導入・バックアップの整備・更新の徹底のどれかがまず挙がります。次回以降の【防御】編で順に解説します。
次回（第9回）からは【防御】編に入ります。まずは不正アクセス対策の要、アクセス管理――パスワードと多要素認証です。
台帳づくりからリスク評価、優先順位付けまで、ヨドックが伴走します。