情報セキュリティや個人情報保護の監査において、リスクアセスメントで選択した対策と点検そして監査が一致しないケースが多い。リスクアセスメントで選択した対策が遵守事項として文書化されていないケースもある。たとえば、入館証の紛失というリスクがあった場合、注意喚起は行っているものの、その注意喚起を遵守事項として文書化せず、また、日常の点検や内部監査でも触れていないケースがある。これでは、リスクに対する対策の実効性が担保されているとは言い難い。

　過去3回、「これからのリスクアセスメント」と題して、リスクアセスメントの意義、身近な脅威と脆弱性、そしてリスクアセスメントの失敗例についてご紹介させていただいた。今回は、リスクアセスメントと遵守事項の文書化、そして点検と監査の関連についてご紹介したい。