リスク対応と残留リスク

リスクを評価したら、次はリスクごとにどう対応するかを決めます。リスク対応を決めて計画を立て、対応した後に残るリスク（残留リスク）を評価するまでが、リスクアセスメントの一連の流れです。このページでは、リスク対応の決め方として、低減、受容、回避、移転の選び方、コントロールとの対応付け、残留リスクの評価、リスクの受容を経営層に承認してもらう記録の残し方を説明します。

リスク対応の選択肢

Drataのリスク対応（Treatment）は、次の5つから選びます。

リスク対応	画面の表記	内容と例
未対応	Untreated	リスクを洗い出したが、リスク対応をまだ選んでいない状態。リスクは、リスク対応を選ぶまでこの状態になる
低減	Mitigate	コントロールを実施して、起こりやすさか影響度を下げる。例えば、フィッシングのメールの見分け方や、パスワードの扱いについて社員を研修する
受容	Accept	追加のコントロールを実施せずに、リスクを受け入れる。低いリスクや、影響を容易に管理できるリスクに限る
移転	Transfer	リスクをほかの組織に移す。例えば、保険をかける、リスクのある業務を外部に委託する
回避	Avoid	リスクの元になる活動や状況そのものをやめる

リスク対応の選び方

ヘルプセンターでは、それぞれのリスク対応を次のような場面で選ぶとしています。

リスク対応	選ぶ場面
回避	リスクが高すぎると判断した場合に、リスクを生む活動をやめる
移転	保険や外部への委託で、リスクをほかの組織に移せる場合
低減	避けられず、ほかの組織に移すこともできない業務や活動のリスク
受容	ほかに選択肢がない場合や、リスクが低く、結果を容易に管理できる場合

DrataのRisk Assessment Policyのテンプレートでは、HighとCriticalのリスクは全て対応すること、リスクの受容はほかのリスク対応の費用がリスクの影響を上回る場合に限ることとしています。自社の方針でどう決めるかは、リスクアセスメントとスコアで説明しています。

リスク対応を記録する

リスク対応は、リスク登録簿の一覧のTreatmentの欄か、リスクの詳細のCurrent Treatmentの欄で選びます。選んだリスク対応によって、記録する項目が変わります。

項目	低減、移転	受容、回避	内容
Treatment Details	○	○	低減、移転の方法。受容、回避の場合は、受容または回避する理由
Anticipated Completion Date	○	―	リスク対応の完了の予定日
Completed Date	○	○	リスク対応を完了した日。受容、回避の場合は、判断を確定した日
Reviewer	○	○	リスク対応をレビューする人
Residual Impact、Residual Likelihood、Residual Score	○	―	残留リスクの影響度、起こりやすさ、スコア

対応の作業をほかのチームと進める場合は、リスクの詳細の内部メモのパネルから、リスクに結び付いたタスクやチケット（JiraやServiceNowなど）を作れます。タスクはタスクの管理、チケットはチケットの作成と連携で説明しています。

コントロールとの対応付け

リスクを低減するコントロールは、リスクにマッピングしておきます。マッピングしたコントロールは、リスクの詳細のMitigate controlsタブで確かめられます。DCFのコントロールも、カスタムコントロールもマッピングできます。

マッピングしたコントロールは、準備の状況によって色が変わります。

色	コントロールの状況
緑	準備ができている
赤	準備ができていない
灰色	対象外

リスク登録簿の絞り込みのNeeds attentionでは、準備ができていないコントロールにマッピングされたリスクを一覧にできます。DCFのコントロールにもカスタムコントロールにも当てはまります。低減を選んだのに、コントロールの準備ができていないリスクを見つけるのに使います。

リスクにマッピングできるのは、主ワークスペースのコントロールだけです。Risk Management Proで複数のリスク登録簿を使っている場合は、登録簿に結び付けたワークスペースのコントロールをマッピングできます（リスク登録簿の作り方）。

【運用のポイント】 ISO 27001の内部監査では、適用宣言書で適用するとした管理策が、リスク登録簿のリスクに結び付いていないことが、不適合として指摘されることがあります。低減を選んだリスクに、実際にリスクを下げているコントロールがマッピングされているかを確かめておきます。詳しくはISO 27001を進めるで説明しています。

残留リスクを評価する

残留リスクは、低減や移転の対応をした後に残るリスクの水準です。固有リスクのスコアと残留リスクのスコアを比べると、リスク対応の効果を評価できます。差が大きいほど、リスクが大きく下がったことを示します。

残留リスクのスコアは、リスク対応が低減か移転の場合にだけ記録します。

1. リスク登録簿で、リスクを選んで詳細を開きます。
2. Assessmentの欄で、固有リスクの影響度と起こりやすさを入れます。
3. Treatment Typeで、MitigatedかTransferredを選びます。
4. 表示される残留リスクの影響度と起こりやすさを入れます。残留リスクのスコアが計算されます。
5. 変更を保存します。

残留リスクのスコアを扱えるのは、Risk Manager、Admin、Workspace Managerのロールのユーザーです。残留リスクの影響度と起こりやすさは、固有リスクの評価と同じ尺度で評価します。

リスクの受容の承認を記録する

Risk Assessment Policyのテンプレートでは、受け入れられるリスクの水準を経営層が定めるとしています。また、リスク選好（対応の後に受け入れる残留リスクの上限）とリスク許容度（どのリスクを許容し、対応しないリスクを誰が受容するか）を定める項目があります。リスクを受容するときは、方針で決めた人が判断したことを、リスクごとに次のように記録します。

記録すること	Drataの項目
受容したこと	リスク対応でAcceptを選ぶ
受容する理由	Treatment Detailsに、なぜ受容するのかを書く
判断した人	Reviewerに、リスク対応をレビューした人を設定する
判断を確定した日	Completed Dateに入れる
判断の根拠の資料	Risk Management Proでは、議事録などのファイルをリスクに添付できる（1件のリスクに10ファイルまで）

Reviewerに設定できるのは、Admin、Risk Managerなどのロールを持つDrataのユーザーです。リスクの内部メモ（Internal notes）には、検討の経緯やリスクについての質問を残せます。

Risk Management Proでは、リスク対応が変わったときに動くワークフローを作れます。例えば、リスク対応が受容に変わったときに、リスクのレビュー担当者にタスクを作って知らせる、といった使い方ができます。詳しくはワークフローで作業を自動化するで説明しています。

リスク対応計画を報告書にまとめる

SOC 2やISO 27001は、決まった手順でリスク対応を行うことを求めています。リスク登録簿のDownloadからダウンロードできるリスクアセスメントの報告書（Risk Assessment Report）には、リスクの評価の結果の表と、リスク対応計画の表が含まれます。リスク対応計画の表の最初の2列は、報告書を作るときにDrataが自動で埋め、残りの列は自社で記入します。

列	記入する内容
Remediation Plan	リスクをどう対応するか。関係するチケット、計画、技術文書のリンクも入れる。低減しない場合は、その理由（受容、移転など）を書き、残りの列は「N/A」にする
Remediation Owner	対応を実施する人、または選んだリスク対応を監督する人
Target Remediation Date	対応の完了の予定日。監査人が期限を過ぎた予定日を確かめることがあるため、現実的な日付にし、最新の状態に保つ
Likelihood After Remediation	対応した後の起こりやすさ。最初の評価と同じ尺度を使う
Impact After Remediation	対応した後の影響度。最初の評価と同じ尺度を使う
Risk Rating After Remediation	対応した後の起こりやすさと影響度を掛けた、残留リスクの評価
Relevant Requirements	リスクと対応に関係する要求事項やコントロール（SOC 2のトラストサービス規準、ISO 27001の附属書Aの管理策など）

リスク対応の情報だけをまとめて見たい場合は、DownloadのCSV（Risk Treatment）も使えます。リスクアセスメントとリスク対応計画は、少なくとも年に1回見直し、DCF-17（Risk Treatment Plan）の証跡として登録します。