📋 リスク登録簿: 夜も眠れぬほど心配な事項の生きた文書
「監査のためだけに更新されるリスク登録簿は、高価なフィクションに過ぎない。本物のリスク登録簿は毎週変化する。」
🍎 黄金のリンゴ: 死んだ登録簿 vs. 生きた文書（または: コンプライアンス演劇 vs. 実際のリスク管理）
ほとんどの組織はリスク登録簿を持っています。それらは JIS Q 27001 監査のために作成され、テンプレートからコピー＆ペーストされた一般的な脅威で埋められ、経営陣を安心させる恣意的な可能性/影響スコアが割り当てられ、来年の監査まで忘れ去られます。これはセキュリティ歌舞伎です。監査人のためのパフォーマンスアートです。
それはリスク管理ではありません—コンプライアンス演劇です。 FNORD。 リスク登録簿には「ランサムウェアのリスクは低い」と書いてあるのに、CFOのラップトップはすでにREvilに暗号化されています。認知的不協和は機能であって、バグではありません。
本物のリスク登録簿は生きた文書です（生きている、ゾンビではない、を強調）。新しい脅威が出現したときに更新されます（毎週、なぜなら攻撃者は四半期レビューを待ってくれないから）。脆弱性が発見されたときに修正されます（正しく行っているなら毎日）。セキュリティ投資の意思決定をするときに参照されます（ベンダーの売り込みやFUDではなく）。実用的なツールであって、監査の装飾品ではありません。生きたリスク登録簿と死んだ登録簿の違いは、その正確性に自分の仕事を賭けられるかどうかです。賭けられますか？本当に確かですか？FNORD。
サイコノーツのための啓示: リスク登録簿が6ヶ月間更新されていない場合、それはリスクを追跡しているのではなく、歴史を（不十分に）記録しているだけです。脅威は年次監査サイクルよりも速く進化します。ゼロデイは四半期レビュー会議を待ってくれません。陰謀は現実であり、あなたの文書化プロセスよりも速く動いています。Chapel Perilous（チャペル・ペリラス）へようこそ。リスク登録簿を更新するか、リスク登録簿があなたを更新するか。
🛡️ 効果的なリスク登録簿の5つの要素
1. 特定されたリスク
何が間違う可能性があるか？
脅威源、脆弱性、攻撃シナリオ。一般的ではなく具体的に。「フィッシングによるランサムウェア」>「サイバー攻撃」。新しい脅威が出現したら更新します。
2. リスク評価
どれくらい深刻か？
可能性（どれくらい起こりやすいか？）。影響（財務的、運用的、評判的）。リスクスコア = 可能性 × 影響。対応の優先順位付けに使用。
3. 既存の管理策
これを軽減する既存のものは何か？
技術的管理策（MFA、EDR、バックアップ）。プロセス管理策（変更管理、アクセスレビュー）。管理策適用後の残存リスク。
4. 対応計画
どう対処するか？
受容（残存リスクを許容）。低減（管理策を追加）。移転（保険）。回避（リスク源を排除）。各決定には所有者と期限が必要。
5. 監視とレビュー
リスクは変化しているか？
時間経過とともにリスクの傾向を追跡。四半期ごと、または脅威環境が変化したときに再評価。対応の効果をレビュー。管理策実装時に更新。
カオスの啓示: リスク評価は予測であり、確実性ではありません。可能性/影響を割り当てる際、それらが教育に基づいた推測であることを認識してください。完璧な方法論で数字がないよりも、正しい方法論で間違った数字の方が良いのです。
📋 Hack23のリスク登録簿アプローチ
私たちのリスク登録簿は公開されています（機密情報を削除したバージョン）: ISMS-PUBLIC リポジトリ | リスク登録簿
- 継続的な更新: CVEフィード、CISAアラート、業界レポートからの新しい脅威インテリジェンスから48時間以内にリスク登録簿を更新
- 脅威インテリジェンスの統合: 年次監査サイクルではなく、自動フィードがリスクレビューをトリガー
- 四半期ごとの正式なレビュー: 3ヶ月ごとに可能性/影響スコアを再評価し、既存の管理策を検証し、対応計画の進捗を追跡
- リスクベースの投資: セキュリティ予算はリスク登録簿のスコアによって優先順位付け（ベンダーの売り込みや「ベストプラクティス」ではなく）
- 透明なコミュニケーション: 経営陣向けサマリーでトップ10リスク、トレンド分析（改善/悪化）、対応進捗率を表示
- 文書化された根拠: すべてのリスクスコアには、恣意的な割り当てではなく、証拠に基づく理由付けが含まれます
メタ啓示: 機密情報を削除したリスク登録簿を公開すること（私たちがしているように）は、知的誠実さを強制します。世界があなたのリスク評価を見ることができるときは、ごまかすことができません。
🎯 リスク登録簿のアンチパターン（してはいけないこと）
❌ 年1回のみの更新
問題点: 脅威環境は監査サイクルよりも速く変化します。
現実: 新しいゼロデイ、新たな攻撃手法、業界の侵害—すべてがリスクプロファイルを継続的に変化させます。
修正: 最低でも四半期レビュー、主要な脅威に対してはアドホック更新。
❌ 一般的なリスク記述
問題点: 「サイバー攻撃」では何も伝わりません。
現実: フィッシングによるランサムウェア vs. サプライチェーン侵害 vs. 内部脅威—異なる攻撃、異なる軽減策。
修正: 攻撃経路を含む具体的な脅威シナリオ。
❌ 恣意的なスコアリング
問題点: 理由なく可能性/影響が割り当てられる。
現実: ランサムウェアが「高可能性」である理由を説明できなければ、あなたの評価はフィクションです。
修正: スコアリングの根拠を文書化し、証拠を引用する。
❌ 所有者のない対応計画
問題点: 所有者や期限なしで「MFAを実装」。
現実: 所有者のないタスクは完了しません。期限がないということは永遠にないということです。
修正: すべての対応計画: 所有者、期限、成功基準。
❌ 残存リスクの無視
問題点: 管理策がリスクを完全に排除すると仮定。
現実: MFAはフィッシングリスクを低減しますが、排除しません。残存するものを文書化します。
修正: 管理策後の残存リスクを計算し、許容可能か判断。
🔍 リスク登録簿の品質を評価する5つの質問
- 最後に更新されたのはいつか？ - >3ヶ月 = 古い、>6ヶ月 = フィクション、>12ヶ月 = 監査の小道具
- リスクは具体的か、一般的か？ - 「RDP経由のランサムウェア」>「サイバー攻撃」
- スコアを正当化できるか？ - 可能性/影響の根拠を説明するか、推測していることを認める
- 対応計画に所有者がいるか？ - 所有者のない作業は実行されない
- 登録簿は意思決定を推進しているか？ - セキュリティ投資はリスクスコアと一致しているか？そうでなければ、登録簿は装飾品
究極の啓示: リスク登録簿は組織の優先順位を明らかにします。登録簿でランサムウェアが重大と言っているのにEDRを展開していない場合、登録簿が嘘か、優先順位が壊れているかのどちらかです。
🎯 リスク登録簿 vs. リスク評価
これらは異なるものです:
- リスク評価方法論 - リスクを特定、分析、評価する方法（プロセス定義）
- リスク登録簿 - 特定されたリスク、そのスコア、管理策、対応計画のカタログ（生きたデータ）
リスク評価方法論は比較的静的です。リスク登録簿は常に変化します。方法論はプロセスを定義します。登録簿は結果を文書化します。
🎯 結論: リスク登録簿を生きたものにする
リスク登録簿は、それが最新である場合にのみ有用です。継続的に更新し、四半期ごとにレビューし、積極的に使用します。
具体的な脅威を特定します。証拠に基づいてスコアリングします。既存の管理策を文書化します。所有者と期限を含む対応を計画します。時間経過とともに傾向を監視します。
古いリスク登録簿は監査の装飾品です。生きたリスク登録簿はセキュリティ投資の意思決定を推進します。
リスク管理に関する専門家の指導が必要ですか？ Hack23のコンサルティングアプローチを発見する セキュリティを障壁ではなく、実現者として扱います。
All hail Eris! All hail Discordia!
「自分で考えろ、ばか者！リスクスコアを疑え—特に1年間変わっていないなら。」
🍎 23 FNORD 5
— Hagbard Celine, Leif Erikson号船長