情報セキュリティ対策の極意　潜在リスクの可視化からガバナンスまで総まとめ

「あの有名企業でも情報漏えいか…。うちは大丈夫だろうか？」

大企業の情報管理に関する不祥事の記事を読むたびに、不安に襲われてしまう情報セキュリティ担当、コンプライアンス教育担当の方は少なくないのではないでしょうか。

今どき、情報セキュリティ対策を「何も実施していない」という企業はないでしょう。しかし、「うちは大丈夫」と言い切れる企業もほぼないと思います。

なぜなら、情報セキュリティの「安心・安全」は、企業がいくら頑張っても、予算をかけても、目に見える形で構築できるものではないからです。それは、従業員一人一人の肩にかかっており、裏を返せば（少なくとも）従業員の数だけ、情報セキュリティ上のリスクが存在することになります。

それゆえ、形としての「完璧」を目指す情報セキュリティ対策は、従業員一人一人を縛り上げるような結果になってしまいがちです。

安全性を求めて対策を強化すれば業務効率が落ち、抜け穴をなくそうと制度上の機密性を高めれば制度自体の可用性が失われてしまいます。その影響をダイレクトに受けるのは、いつも従業員です。

では、どのような情報セキュリティ対策が真に合理的といえるのでしょうか。これに対して本稿が用意している解は、「有機的な情報セキュリティ対策の仕組み構築と、従業員の意識の底上げ」です。

企業は人でできています。まず、全ての従業員が自社の情報セキュリティの考え方と必要な手続きを理解し、自主的かつ応用的に業務に活用していけるようにします。そして、その中でPDCAサイクルを回し、企業全体で自社の情報資産を守っていく体制を作ります。

この一連の流れを実現することは、すなわち従業員を「リスクの源」と見なすのではなく「信頼できるパートナー」に変えるプロセスに等しいでしょう。

Microsoft Corporationは2020年6月、攻撃があっても動じない「Security Posture」[1]という考え方を提唱しました。それによると、今後の企業のセキュリティ対策では、攻撃ごとの対策を行うよりも、ぜい弱性のない状況をつくり上げ、維持していくことが重要になります。

これが実現できたとき、「うちは大丈夫」と言えるようになるのではないでしょうか。通り一遍のツールやルールを導入するだけでは「安心・安全」はやってきません。ぜひ本稿を参考に、情報セキュリティのスパイラルアップを目指しましょう。

＼情報セキュリティの基本的な知識をわかりやすく、楽しく学べるeラーニング／

「情報セキュリティ対策」以外にも、「ARCSモデル」や「エンプロイアビリティ」など、近年話題の人事系キーワードについて詳しく知りたい場合は、163の用語を解説している「人事用語事典」をご利用ください。
⇒ダウンロードする

1. 情報セキュリティ対策、事始めは「現状把握」のための3ステップ

上で述べた「有機的な情報セキュリティ対策」とは、どのようなものでしょうか。

それは、それぞれの対策に根拠があり、明確な目的が設定され、業務とのつながりが明らかになっている状態です。そしてそのことが従業員に明示され、PDCAサイクルが回っている状態です。

これを実現するためには、次の3つのステップが必要です。

言い換えると、「（1）私たちが守るべきものは何で、（2）それにはどのような価値があり、（3）どのようなリスクを有しているかをクリアにする」ということになります。

これは、対策を打つ前のいわば「現状把握」に当たります。何事においても言えることですが、何かを計画・実行するに当たって「己を知る」作業、「現在地を確認する」作業というのは非常に重要です。一つ一つ、丁寧に見ていきましょう。

1-1. 自社の「情報資産」を特定する

情報セキュリティ対策で守るべき対象は「情報資産」です。情報資産には、有形のものと無形のものがあります。

有形資産とは、例えばサーバーやコンピューターなどのハードウェア、ネットワーク機器、紙に印刷されたデータなどです。

無形資産とは、例えば顧客データ・人事データ・営業データなどのデータ、会話や電子メール、ブランド、従業員のスキルや能力から人の記憶まであります。

知識の経済化が進む今日では、特に組織における無形資産の重要性が増しているといえます。

また、資産は「その資産を所有・管理している当事者でなければ特定が難しい」という問題があります。自社の資産が何かを特定する際は想像で特定するのではなく、当事者やその管轄部署の責任者を含めたヒアリングが必要です。

1-2. 情報資産としての価値を評価する

自社の資産価値が特定できたら、情報セキュリティの観点から評価を行います。評価軸は「機密性」「完全性」「可用性」の3つです。

この3つは、日本工業規格 JIS Q 27001「情報セキュリティマネジメントシステム－要求事項」に定義されている情報セキュリティの構成要素であり、頭文字をとって「CIA」といわれます。

機密性、完全性、可用性とは何か、JIS Q 27001の定義を基に、それぞれ見ていきましょう。

機密性（Confidentiality）

“認可されていない個人、エンティティ又はプロセスに対して、情報を使用不可又は非公開にする特性。”

つまり、機密性とは情報へのアクセスのしやすさ（しにくさ）を指します。例えば、アクセス権の設定、ID・パスワードによる認証などが機密性を高めるための手段です。

完全性（Integrity）

“資産の正確さ及び完全さを保護する特性。”

つまり、完全性とはその情報資産が正確かつ完全な状態に保たれることの重要性を指します。重要性が高い場合は、その情報資産は改ざんや誤りから保護されなければなりません。

例えば、ファイアウォール、侵入検知／防御システム、アクセス制御、デジタル署名などが完全性を高めるための手段です。

可用性（Availability）

“認可されたエンティティが要求したときに、アクセス及び使用が可能である特性。”

つまり、可用性とはその情報資産が利用できることの影響度合いを指します。これが高い場合、許可された利用者は必要なときに情報や関連する資産にアクセスできなければなりません。同時に、情報の紛失や破損、システムの停止などから保護されていなければなりません。

例えば、電源対策、ハードウェア強化、バックアップ／リカバリ、回線やシステムの二重化などが可用性を高める手段です。

では、この3つの要素を使ってどのように資産を評価していくのでしょうか。

一般財団法人日本情報経済社会推進協会の「法規適合性に関するISMSユーザーズガイド」[2]では、それぞれの要素の評価基準を以下のように例示しています。

＜機密性の基準例＞

＜完全性の基準例＞

＜可用性の基準例＞

こういった指標を自社で定め、資産を評価していきます。

例えば、営業概況レポート（週次の役員会議で売り上げなどが報告されるレポート）であれば、以下のような評価になります。

・機密性：3
　→営業戦略が見えるため競合他社に流出するとビジネスに大きな影響が出る
・完全性：2
　→改ざんされると問題があるが、修正が可能なためビジネスへの影響はない
・可用性：2
　→現状が見えにくくなるため支障はあるが、代替手段で対応が可能

資産価値は、3×2×2＝12です。

上記はあくまで基準例のため、数値を掛け合わせるのではなく足す、最も数値が高いものを採用するなど、自社に適した内容を検討してください。

1-3. 情報資産に対応する「リスク」を明らかにする

「情報資産（守るべきもの）とその価値」を明らかにしたら、それぞれの情報資産について「事故（インシデント）が発生する可能性」すなわち「リスク」を明らかにしていきます。

インシデントは「ぜい弱性に脅威が結び付く」ことで起こります。よってリスク（可能性）を明らかにするためには、その構成要素である「脅威とぜい弱性」について明らかにする必要があります。

そのためのステップは、次の3つで構成されます。

1つずつ確認していきましょう。

（1）脅威を評価する

情報セキュリティにおける「脅威」とは何でしょう。それはインシデントを起こす「要因」となるものです。

GMITS（Guidelines for the Management for IT Security）[4]によると、情報セキュリティにおける脅威は大きく「人為的脅威」と「環境的脅威」の2つに分類され、人為的脅威は「意図的な脅威」と「偶発的な脅威」の2つに分類されます。

＜情報セキュリティにおける脅威＞

これを見ていただくと分かる通り、脅威がゼロになることは決してありません。

一方で、これらがどの程度の脅威なのかを評価することは可能です。脅威の度合いは「発生可能性」で評価します。発生可能性は、頻度によって「低い」「中程度」「高い」を数値で表現する方法が一般的です。

一般財団法人日本情報経済社会推進協会の「ISMSユーザーズガイド」[5]では、以下のような例を示しています。

＜情報セキュリティにおける「脅威」の発生可能性＞

引用元：一般財団法人　日本情報経済社会推進協会『ISMSユーザーズガイド－JIS Q 27001:2014(ISO/IEC 27001:2013)対応』，平成26年4月14日，p.107． 

こういった判断基準で脅威の度合いを評価します。

（2）ぜい弱性を評価する

情報セキュリティにおける「ぜい弱性」とは、脅威によって利用される可能性のある弱点や欠陥のことで、「バグ」や「セキュリティホール」といった表現をされるものです。このぜい弱性と脅威が結び付いて情報セキュリティ・インシデントが発生します。

情報資産には必ず何かしらのぜい弱性がありますが、ぜい弱性はそれ単体ではインシデントにはなりません。このため、脅威が存在しないぜい弱性は情報セキュリティ上対策を施す優先順位を下げてよいということになります。

ぜい弱性の評価では、情報資産が持つ弱点の度合いを評価します。何も対策を施さず、弱点がそのままになっているのであればぜい弱性は「高い」といえます。このように、ぜい弱性も脅威同様、多くの場合「低い」「中程度」「高い」の3段階で評価されます。

では、ぜい弱性はどこに、そしてどのように存在するのでしょうか。

ぜい弱性は、バグやセキュリティホールといったハードウェア、ソフトウェア上の弱点・欠陥に存在するものと、適切な運用がされていないために情報セキュリティが維持できなくなっているものの2種類が存在します。

以下はぜい弱性をチェックするための「ぜい弱性」と「関連する脅威」の例です。

引用元：駒瀬彰彦「情報セキュリティマネジメントシステム基礎講座（4）：ISMS構築で重要なリスクアセスメントの手法：GMITS-Part3」，『＠IT』http://www.atmarkit.co.jp/ait/articles/0210/17/news001.html（閲覧日：2020年12月1日）

このように、情報資産と脅威をセットにして「ぜい弱性の度合い」を確認してください。

（3）リスク値を算出する

ここまでのステップで求めてきた値を式に当てはめ、情報資産のリスク値を算出します。リスク値を求める式[6]は以下の通りです。

算出に当たっては、以下のようなマトリックス表を使います。

＜リスク値算出のためのマトリックス ＞

引用元：一般財団法人　日本情報経済社会推進協会『ISMSユーザーズガイド－JIS Q 27001:2014(ISO/IEC 27001:2013)対応－リスクマネジメント編』，2015年3月31日，p.47．

この表を使って情報資産ごとにリスク値を算定します。数値が大きいほどリスクが大きい情報資産です。

【例】
脅威＝3（機密性、完全性、可用性の評価のうち最も数値の高いものを採用）
ぜい弱性＝2
資産の価値＝4
→リスク値＝24（3*2*4）

例の場合、以下のようにプロットされます。

ここまでで、（1）私たちが守るべきものは何で、（2）それにはどのような価値があり、（3）どのようなリスクを有しているか、が明らかになりました。

この結果を踏まえ、リスク値の高いものから順に、それぞれの対策をどうしていくかを検討していきます。

人事に関する注目トピックを毎週お届け！⇒メルマガ登録する

2. 情報セキュリティ対策を検討する

自社が有する情報資産についての「現状把握」が済んだら、いよいよ対策を講じていきます。

情報セキュリティ対策は対策を施す4つの領域（種類）に分けられ、それぞれに5つの機能があります。効果的なセキュリティ対策を施すには、各領域でどの機能を備えていくかを十分に検討していく必要があるのです。

まず、対策を施す領域（対策の種類）とは、以下の3つです。

そして、それぞれの領域に対し、5つの機能が定義されます。

情報セキュリティ対策は、優先度の高いものから、この5つの機能をバランス良く組み合わせて行っていくことが肝要です。

なお「抑止」と「予防」は似ていますが、抑止は「人という脅威」への対策であり、予防はハードウェアやネットワークのぜい弱性への対策と考えてください。

先ほど「効果的なセキュリティ対策を施していくには、各領域でどの機能を備えていくかを十分に検討する必要がある」と述べましたが、それは、企業が実施する情報セキュリティ対策が往々にして「防止機能の実装」に偏りがちなためです。

システムを導入したり強化したりすることで防止機能を強化することは簡単ですが、それらは以下のような問題を伴います。

・コストがかかる
・制約が従業員にかかる場合は生産性を損なう可能性がある
・手間が増えることにより従業員の不満が高まる

つまり、「厳しくすることは簡単だが、失うものもある」ということを考慮する必要がある、ということです。

「『守り』を固めるためにコストをかけるのはやむなし」というスタンスになりがちな情報セキュリティ対策に、例えば「利益貢献」といった「攻め」の観点を加えることで、自社独自の情報セキュリティ対策が構築できるはずです。

3. 対策の成否を握る情報セキュリティの「マネジメント」と「ガバナンス」

情報セキュリティ対策を成功に導くには、適切なフレームワークと体制が必要です。そのために必要なのが、情報セキュリティマネジメントと情報セキュリティガバナンスです。

情報セキュリティマネジメントとは、企業・組織における情報セキュリティの確保に組織的・体系的・継続的に取り組むことです。

情報セキュリティガバナンスとは、情報セキュリティマネジメントを機能させ、組織内に徹底させるための仕組み（経営者の方針決定、状況のモニタリング、及び利害関係者に対する情報開示と利害関係者による評価）を構築・運用することです。

情報セキュリティマネジメントは経営者が情報セキュリティにおけるリスクに関して企業・組織を規律することであり、情報セキュリティガバナンスはその経営者を規律すること、と言い換えてもよいかもしれません。

3-1. 情報セキュリティ「マネジメント」のフレームワーク

情報セキュリティマネジメントのフレームワークは、情報セキュリティマネジメントシステム（ISMS: Information security management system）と呼ばれています。

そして、ISMSのプロセスはPDCAサイクルによって管理されます。ここでは「PDCAサイクルとは何か」ということについて触れませんが、ここまで触れてきたことを実行することで、理想的なPlanを立てるのに十分な情報が手元に集まっているはずです。

その情報を基に立てたPlanからこのサイクルを回すに当たって、大きな影響を及ぼすのが情報セキュリティガバナンスです。

3-2. 情報セキュリティ「ガバナンス」のフレームワーク

情報セキュリティガバナンスには、以下のようなフレームワークが定義されています。

図表）情報セキュリティガバナンスのフレームワーク

出典：経済産業省『情報セキュリティガバナンス導入ガイダンス』平成21年6月，https://www.meti.go.jp/policy/netsecurity/downloadfiles/securty_gov_guidelines.pdf（閲覧日：2021年4月15日）

各ステップの説明は以下の通りです。

・Direct（方向付け）：経営層による目的・目標の設定
・Monitor（モニター）：PDCAサイクルのモニタリング
・Evaluate（評価）：ガバナンスの評価、方向付けの評価
・Oversee（監督）：方向付け、モニタリング、評価の遂行確認・監査
・Report（開示・報告）：利害関係者への説明

ISO/IEC27001の要求事項である「5.経営陣の責任」では、経営陣のコミットメントや経営資源の運用管理が明確に位置付けられています。そしてこれらの中には、以下のようなリスク管理の重要責任が述べられています。

・リスクに対して対策を実施するかどうかを判断する基準であるリスク受容の基準
・企業にとってそのリスクは受け入れてよいという水準を決定する

この「経営陣の責任」こそが、情報セキュリティガバナンスの本質を明確に示しているといえます。

3-3. ガバナンスとマネジメントの関係

情報セキュリティガバナンスと情報セキュリティマネジメントは相互に連動し、一体となって運用されなければなりません。

先ほど挙げた経済産業省の「情報セキュリティガバナンスのフレームワーク」を見ると、情報セキュリティに関する具体的なPDCAを回すのはマネジメントの管轄であることが分かります。

図表）情報セキュリティガバナンスのフレームワーク（再掲）

経営陣の役割は、方向付けを行い、現場が回すPDCAにコミットし、その進捗や達成状況をモニタリングすることです。

これに対し、現場には経営陣の取り決めた方向性にのっとって具体的な対策を打ち出し、着実にPDCAサイクルを回していくことが求められます。

さらに、マネジメントの下で採用された情報セキュリティ対策群を「コントロール」と表すことにすると、企業の情報セキュリティの取り組み全体を「ガバナンス」「マネジメント」「コントロール」の体系でより明確にモデル化することができます。

4. 対策を実行する際に押さえておきたい4つのポイント

冒頭で「従業員の数だけ、情報セキュリティ上のリスクが存在する」と述べました。

情報セキュリティ対策は企業にとって脅威となるリスクに対処するために行われますが、そのリスクは「人」にあります。ゆえに、対策の内容はどうしても従業員の自由度を下げる方向に傾きがちです。

もちろん、厳しいルールで縛ればリスクは減るでしょう。しかし、同時に業務遂行の効率が下がったり、精神面の負担が大きくなったりするといった別の課題が発生し、長期的に見ると利益が減ってしまう可能性があります。

統制を意識するあまり、本来組織としての利益を追求するために行われる対策が目的化してしまい、その先にある目標が従業員間で共有されず、ルールが形骸化してしまう、といった事態もよく見られます。

ツールの利用制限や情報へのアクセス制限によって業務の遂行を「阻害されている」と感じた従業員が増えると、アカウントの貸し借りなど、ルールをかいくぐる悪しき習慣が生まれてしまう可能性もあります。

また、ルールがあるからと安心してしまうと、パスワードを盗み見たり関係者を装って資料を閲覧したりするなど、技術的な対策では対処できない「ソーシャルハッキング」を誘発してしまう恐れもあります。

そうすると、情報セキュリティ対策を具体化する際は、厳しいルールを敷かず、それでいてリスクを減らせる方法を考えるのがベストということになります。もちろんこれは容易なことではありませんが、ヒントとして提示したいのは「教育」と「エンゲージメント」です。

教育の目的は、従業員一人一人の意識を変えることです。情報セキュリティに対する意識、有事の際の事業インパクトへの理解などは、定期的に教育を行うことで深めることができます。

特に、同業他社の事例や、自社で過去に起きた事例を題材にした学習は、当事者意識を高めることにつながります。

同時に、企業に対する帰属意識や、所属する組織への愛着を深める施策も検討するとよいでしょう。エンゲージメントの向上には離職防止やパフォーマンス改善などさまざまな効果がありますが、情報管理やコンプライアンスに関する意識の改善にも役立ちます。

施策の目標は、自分のふとした行いがリスクとなり得ることを認識し、日々の言動に対して注意を払うことの習慣化（無意識的にできるようになる）です。こうした風土を組織に根付かせることができれば、従業員同士でより良い効果を生んでいくことができるでしょう。

上記のことを踏まえ、ここでは具体的な情報セキュリティ対策を検討する際の考え方として、以下4つのポイントをご提案します。

1. ルール化することの弊害を考える
2. 従業員の意識の底上げを行う（教育、エンゲージメント施策など）
3. 対策をコスト化するのではなく、組織としての利益につなげるという発想を持つ
4. 対症療法（個別の症状に対する対策）ではなく根本治療を考える

このように考えると、従業員をより信頼し、従業員が自由度高くツールや情報を使ってより良いパフォーマンスするための土壌を厳しく統制を敷かずともつくることができるのではないでしょうか。

もちろん簡単なことではありませんが、年々増す情報セキュリティ上のリスクと、日本企業の使命とされている「生産性の向上」の板挟みの中で、いたちごっこではない真に効果的・合理的な情報セキュリティ対策とは何か、と考えてみてください。それは「組織づくり」の一部なのではないか、そのように思えます。

▲全社向けeラーニング「情報セキュリティ研修」サンプル動画

関連記事：情報セキュリティ研修を成功させるには？eラーニングでの実施事例も紹介します

従業員エンゲージメントとは　定着率の向上と組織の成長をもたらす鍵

従業員エンゲージメントとは、企業と従業員の信頼関係や積極的な結び付きを指します。 人材の流動が激しくなっている昨今、従業員エンゲージメントの在り方が、人材の定着率や仕事に対する意欲を左右するといわれています。 本稿では、 […]

5. まとめ

本稿では、合理的な情報セキュリティ対策の構築について解説しました。

業務の効率化や制度の可用性を維持しつつ、セキュリティ対策を強化するには、有機的な情報セキュリティ対策の仕組みと従業員の意識の底上げが重要です。

有機的な情報セキュリティ対策の仕組みとは、それぞれの対策に根拠があり、明確な目的が設定され、業務とのつながりが明らかになっている状態のことです。そして、そのことが従業員に明示され、PDCAサイクルが回っている状態を指します。

これを実現させるためには、以下の3つのステップが必要です。

（1）自社の情報資産を特定する
（2）それぞれの情報資産について、価値を評価する
（3）それぞれの情報資産に対するリスクを明らかにする

これらの要素を考慮し、自社が有する情報資産についての現状把握を済ませたら、具体的な情報セキュリティ対策を講じます。鍵となるのは、情報セキュリティマネジメントと情報セキュリティガバナンスです。

情報セキュリティマネジメントとは、企業・組織における情報セキュリティの確保に組織的・体系的・継続的に取り組むことです。

情報セキュリティガバナンスとは、情報セキュリティマネジメントを機能させ、組織内に徹底させるための仕組みを構築・運用することです。

情報セキュリティマネジメントと情報セキュリティガバナンスに定義されているフレームワークを使うことで、経営陣と現場の双方に求められている役割を明確に理解できます。

情報セキュリティ対策の「完璧」を目指すため、従業員を厳しいルールで縛ればリスクは減るでしょう。しかし、個々の精神的負担が大きくなったり、ルールをかいくぐる悪しき習慣が生まれたりする可能性があります。

よって、情報セキュリティ対策を具体化する際は、厳しいルールを敷かず、従業員一人一人の意識を変えることがベストといえます。

例えば、従業員に対する定期的な教育によって、情報セキュリティに対する意識や有事の際の事業インパクトへの理解を深めることができます。

また、企業に対する帰属意識や、所属する組織への愛着を深めるための施策を講じるなど、エンゲージメントを向上させることも情報管理やコンプライアンスに関する意識の改善に役立ちます。

企業にとって貴重な財産である情報をしっかりと守るためには、情報セキュリティ対策が不可欠です。しかし、方法を誤ると企業に不利益をもたらす可能性もあります。合理的な情報セキュリティ対策とは何かを考察し、自社に必要な制度の構築を行いましょう。

無料eBook「eラーニング大百科」

社員教育や人材開発を目的として、
・eラーニングを導入したいが、どう選んだらよいか分からない
・導入したeラーニングを上手く活用できていない
といった悩みを抱えていませんか？

本書は、弊社が20年で1,500社の教育課題に取り組み、

・ｅラーニングの運用を成功させる方法
・簡単に魅力的な教材を作る方法
・失敗しないベンダーの選び方

など、ｅラーニングを成功させるための具体的な方法や知識を
全70ページに渡って詳細に解説しているものです。

ぜひ、貴社の人材育成のためにご活用ください。

プライバシーポリシーをご確認いただき「個人情報の取り扱いについて」へご同意の上、「eBookをダウンロード」ボタンを押してください。

[1] Japan News Center「攻撃があっても動じない IT 環境のカタチ: Security Posture」,『Microsoft』,https://news.microsoft.com/ja-jp/2020/06/18/200618-it-environment-security-posture/（閲覧日：2021年6月18日）
[2] 一般財団法人　日本情報経済社会推進協会『法規適合性に関するISMSユーザーズガイド－JIS Q 27001:20-6(ISO/IEC 27001:2005)対応-』p.64-65．
[3] ここでは、経営＝「人的コスト・金銭的な損失・機会損失・ブランド（信用）の失墜」をイメージします。
[4] ISO（国際標準化機構）のテクニカルレポートISO/IEC TR 13335のこと。
[5] 一般財団法人　日本情報経済社会推進協会『ISMSユーザーズガイド－JIS Q 27001:2014(ISO/IEC 27001:2013)対応』，平成26年4月14日，p.107．
[6] 岡本卓馬「情報セキュリティにおけるリスクの定量化手法」，『UNISYS TECHNOLOGY REVIEW 第 86 号』，https://www.unisys.co.jp/tec_info/tr86/8606.pdf（閲覧日：2020/12/1）
[7] NPO日本ネットワークセキュリティ協会「2015年　情報セキュリティインシデントに関する調査報告書」，2016年6月17日，https://www.jnsa.org/result/incident/data/2015incident_survey_sokuhou.pdf
NPO日本ネットワークセキュリティ協会「2014年　情報セキュリティインシデントに関する調査報告書」，2016年7月11日，https://www.jnsa.org/result/incident/2016/2016-026.pdf

参考）
日本情報処理開発協会『法規適合性に関するISMSユーザーズガイド－JIS Q 27001:20-6(ISO/IEC 27001:2005)対応-』p.64-65．
一般財団法人　日本情報経済社会推進協会『ISMSユーザーズガイド－JIS Q 27001:2014(ISO/IEC 27001:2013)対応』，平成26年4月14日，p.107．
一般財団法人　日本情報経済社会推進協会『ISMSユーザーズガイド－JIS Q 27001:2014(ISO/IEC 27001:2013)対応』，平成26年4月14日，p.107．
駒瀬彰彦『情報セキュリティマネジメントシステム基礎講座（4）：ISMS構築で重要なリスクアセスメントの手法：GMITS-Part3』，「＠IT」
http://www.atmarkit.co.jp/ait/articles/0210/17/news001.html（閲覧日：2020年12月1日）
一般財団法人 日本情報経済社会推進協会
『ISMSユーザーズガイド－JIS Q 27001:2014(ISO/IEC 27001:2013)対応－リスクマネジメント編』，2015年3月31日，p.47．
岡本卓馬「情報セキュリティにおけるリスクの定量化手法」，『UNISYS TECHNOLOGY REVIEW 第 86 号』，https://www.unisys.co.jp/tec_info/tr86/8606.pdf（閲覧日：2020/12/1）
一般社団法人 日本損害保険協会「サイバー保険とは」，『サイバー保険』，
http://www.sonpo.or.jp/cyber-hoken/about/（閲覧日：2021年5月25日）
経済産業省「情報セキュリティガバナンス導入ガイダンス」平成 21 年 6 月，
https://www.meti.go.jp/policy/netsecurity/downloadfiles/securty_gov_guidelines.pdf
（閲覧日：2021年4月15日）