リスク軽減

リスクの原因を完全に除けなくても、起こりにくくしたり、起きた場合の影響を抑えたりする方法があります。
リスク軽減は、こうした対策によって、特定のリスクの程度を下げる対応です。
NIST SP 800-39は、情報セキュリティの対応として軽減を位置づけています。

発生と影響を分けて対策する

仮の例として、予約データの誤削除を考えます。
削除権限を限定し、対象を確認する操作を加える方法は、誤削除を起こりにくくします。
履歴や復元できる複製を用意する方法は、削除が起きた後の影響を減らす候補になります。
どの事象や結果を変える対策かを示すと、同じ目的の仕組みを重ねて費用だけ増やす状態を避けやすくなります。

対策には、実施後の確認が必要です。
複製があることと、必要な状態へ戻せることは同じではありません。
対象データ、保存時点、復元にかかる時間、復元後の照合を試します。
操作の確認を増やした場合は、利用者が意味を理解し、習慣的に押し飛ばしていないかも観察します。

対策自体の影響

権限を絞ると、正当な変更に時間がかかる場合があります。
複製を増やすと、管理する情報や費用が増えます。
リスクの低下と、業務や利用者への追加負担を比較し、運用できる方法を選びます。
一つのリスクへの対策で、別の経路の問題を生んでいないかも確認します。

見積りでは、対策前と対策後のリスクを、同じ条件で比較します。
試験をしていない対策に、大きな低減効果を確定値として置かないようにします。
根拠が弱い部分には、追加試験や監視の計画を付けます。
対策後に残るリスクは、受け入れられるかを別途判断します。

軽減は、完了した対策の数を増やす活動ではありません。
誤削除の例なら、重要な予約を失ったままになる時間や、復旧できない範囲がどう変わったかを確認します。
利用量や担当者が変われば効果も変わるため、運用の変更とともに見直します。
実施する人、結果を確認する人、残る影響を判断する人を分けて示すと、設計と承認の責任を追えます。

関連する記事：リスク回避、リスク受容、コンティンジェンシープラン。