個人情報保護法（平成15年法律第57号）の2005年4月1日施行に向けて、民間事業者は個人情報保護の仕組みを作らなければならない。 　個人情報保護のためには、個人情報を洗い出して、個人情報に対するリスク分析・評価を実施して、リスクを低減させるための適切な対策を実施しなければならない。このリスクアセスメントの手順を図に示す。（TBCソリューションズ主任コンサルタント　植野俊雄）

　（1）の個人情報の洗い出しでは、顧客などのデータベースのほか、住所や氏名などを含む帳票、名簿、メールアドレス、従業員の情報なども対象に、取り扱っている個人情報を漏れなく洗い出す。

　（2）の業務フロー、データフローでは、個人情報を取り扱う業務の流れ、個人情報を含む帳票やデータの流れを明確にする。この場合、個人情報の受け渡しや例外処理、保管、複製、廃棄についても明確にする。

　（3）では、（2）で作成した業務フロー、データフローの上で、個人データの取り扱いの各局面において、個人データに対する脅威を想定する。脅威としては、紛失、盗難、不正アクセス、改ざん、漏えい、機器の故障などがある。

　（4）では、脅威に対する脆弱性、脅威が現実となったときの影響を評価し、リスクの度合いを評価する。脆弱性は脅威を現実にしてしまう弱さで、管理の弱さ、鍵の掛け忘れ、機器の保守不足などのことである。

　（5）では、（4）で評価した脅威、影響、脆弱性からリスクの度合いを求める。例えば、個人情報の資産価値及び評価した結果を１－５に置き換え、これらを乗じた結果（「資産価値」の値×「脅威と影響」の値×「脆弱性」の値）を、リスク値とする。

　（6）では、（5）で求めたリスク値の度合いについては、組織が定めるリスク受容水準より高いものについて、リスクを低減させるための対策（管理策）を採用する。

　次回は、これらの結果から作成する、業務規定について解説する。