※本記事にはプロモーション（広告）が含まれています。
こんにちは！こきです。
「リスクアセスメントって、結局なにをするの？」
「セキュリティコンサルの求人で見るけど、どんな仕事？」
この記事は、そんな方に向けて書いています。
僕はIT企業のインフラ担当（新卒・IT未経験スタート）から資格を取り、外資系コンサルに転職しました。今はセキュリティコンサルタントとして働いていて、専門はリスクアセスメントです。
この記事では、リスクアセスメントとは何かを、現場で実際にやっている立場から、ITにくわしくない方にもわかるように解説します。進め方、使われる基準、むずかしいところ、仕事として目指す方法まで紹介します。
目次
結論：リスクアセスメントとは「守るべきものの危なさを測って、優先順位をつける」こと
- リスクアセスメントとは、会社の情報や仕組みにどんな危険があり、どれくらい対策できているかを評価すること
- 目的は、限られた予算と人手で、どこから対策するかを決めること
- 僕の現場での流れは「基準となるガイドラインを選ぶ → ヒアリング → 評価 → 報告」
- 使われることが多い基準は、ISO/IEC 27001 や、米国NISTのガイドライン
- いちばんむずかしいのは、「どこからを高いリスクとするか」というリスク基準を決めること
リスクアセスメントとは？まずは言葉の意味から
「リスク」は、ここではよくないことが起きる可能性と、起きたときの影響のことです。「アセスメント」は評価という意味です。
情報セキュリティのリスクアセスメントでは、たとえば次のようなことを確かめます。
- 会社にとって大事な情報やシステム（重要資産）は何か
- それが漏れたり、止まったりしたら、どれくらい困るか
- 今の対策で、どこまで防げているか。足りないところはどこか
リスクを「ゼロ」にすることはできません。だからこそ、危なさの大きさを比べて、優先順位をつけることが大事になります。健康診断の結果を見て、「まずは血圧から治そう」と決めるのに少し似ています。
ISMS認証の取得とはどう違う？
よく混同されるのが、ISMS（情報セキュリティマネジメントシステム）の認証取得です。ISMS認証では、会社が自分たちでリスクアセスメントの仕組みをつくり、運用します。
一方、僕がコンサルとして行うリスクアセスメントは、僕たちがお客さまにヒアリングして評価し、結果を報告する仕事です。お客さまが自分で作業するのとは、役割が違います。
リスクアセスメントの進め方（4ステップ）
会社やお客さまによって細かい違いはありますが、僕の現場では、だいたい次の4ステップで進めます。1つの案件は、1〜3か月・2〜3人くらいで担当することが多いです。
ステップ1：基準となるガイドラインを選ぶ
評価には「ものさし」が必要です。よく使うのは、情報セキュリティの国際規格である ISO/IEC 27001 や、米国の国立標準技術研究所（NIST）が出しているガイドラインです。
NISTのガイドラインで僕がよく使うのは、セキュリティ対策の項目を幅広くまとめた「SP 800-53（Security and Privacy Controls for Information Systems and Organizations）」です。対策の一覧と照らし合わせることで、抜けている対策を見つけやすくなります。
出典：NIST「SP 800-53 Rev. 5 Security and Privacy Controls for Information Systems and Organizations」
ステップ2：ヒアリング
担当者に話を聞きながら、ルールや資料を確認していきます。技術的な分野（ネットワークやサーバーの設定など）を評価するときは、インフラ担当として働いた経験がとても役立っています。どんな設定が普通で、どこが弱くなりやすいかの見当がつくからです。
ステップ3：評価
ヒアリングの結果をものさしと比べて、足りないところを洗い出し、そのリスクを「高・中・低」などで評価します。
ステップ4：報告
報告では、僕は次の2つを伝えることを大事にしています。
- 世の中のどのレベルまで対策ができているか：ほかの会社や基準と比べて、今どのあたりにいるのか
- 重要資産のリスクと、その対応策：特に守るべきものに、どんな危険があり、何をすればよいか
経営層は、細かい技術の話より「うちは大丈夫なのか」「何にお金をかけるべきか」を知りたいことが多いです。比べる相手があると、判断しやすくなります。
リスクアセスメントでむずかしいところ
「リスク基準」を決めるのがいちばんむずかしい
僕がいちばんむずかしいと感じるのは、リスク基準の検討です。リスク基準とは、「どれくらいの危なさなら『高』とするか」「どこまでなら受け入れてよいか」を決めるルールのことです。
同じ弱点でも、会社によって重さは変わります。たとえば、個人情報を大量に扱う会社と、ほとんど扱わない会社では、情報が漏れたときの影響がまったく違います。基準があいまいだと、評価する人によって結果がぶれてしまうので、ここは時間をかけて考えます。
依頼のきっかけは「定期の外部監査」が多い
僕の経験では、お客さまからリスクアセスメントの依頼が来るきっかけは、定期的に受ける外部監査が多いです。監査に向けて、今の対策の状況を第三者の目で整理しておきたい、という目的です。
リスクアセスメントの仕事に向いている人・目指す方法
向いているのは「細かい部分が気になる人」
リスクアセスメントは、ルールや設定の小さな抜けを見つける仕事です。細かい部分が気になる人は向いていると思います。
もう1つ、仕事の面白さとして感じるのは、セキュリティのニュースで新しい攻撃手法を見て、「お客さまのどこが狙われそうか」を考えることです。評価に、世の中の最新の動きを反映できます。
まずは「ガイドラインを読んで、わからないところをつぶす」
未経験や若手の方がリスクアセスメントの仕事を目指すなら、まずはガイドラインを実際に読んで、わからないところを1つずつつぶしていくのがおすすめです。評価のものさしそのものなので、読んで理解できる範囲が広がるほど、仕事の土台になります。
あわせて、ネットワークやサーバーの基礎があると、技術的な分野の評価で強みになります。最初からセキュリティだけを目指すより、インフラなどの経験を積んでからのほうが、評価できる範囲が広がると僕は考えています。
リスクアセスメントは、セキュリティコンサルタントの代表的な仕事の1つです。コンサルの仕事全体についてはセキュリティコンサルタントとは？仕事内容を現役コンサルが紹介、知識の証明になる資格についてはCISSPとは？難易度・受験資格と勉強法でまとめています。
インフラやSOCなどでセキュリティにかかわる経験を積んだあとに、コンサルやリスクアセスメントの仕事を目指すなら、セキュリティ職に特化した転職エージェントに相談する方法もあります。
▼セキュリティの実務経験がある方へ
セキュリティ職に特化した転職エージェントもあります。ITセキュリティのコンサルやエンジニアの経験がある方向けのサービスなので、未経験の方は、まず資格の勉強や近い仕事での経験づくりから始めましょう。
▼コンサル業界への転職を考えている方へ
コンサル業界への転職に特化した転職エージェントもあります。24〜39歳の方が対象で、ITの仕事の経験がある方や、現役コンサルタントの転職を支援しています。
小さな会社・個人がまずできること
本格的なリスクアセスメントは専門家に頼むことが多いですが、小さな会社でも「まねごと」から始められます。僕がすすめるのは、中小企業向けのガイドラインと、自社の対応を照らし合わせてみることです。
- IPAの「中小企業の情報セキュリティ対策ガイドライン」は、2026年3月に第4.0版が公開されています
- その付録の「5分でできる！情報セキュリティ自社診断」は、25個の診断項目に答えると、自社の対策状況をかんたんに把握できるツールです
出典：IPA「中小企業の情報セキュリティ対策ガイドライン」、IPA「中小企業向け情報セキュリティ対策の支援ツール」
まずは自社診断で「できていないこと」を見える化し、その中から、大事な情報にかかわるものを優先して対策する。これだけでも、リスクアセスメントの考え方を取り入れたことになります。
まとめ
- リスクアセスメントとは、守るべきものにどんな危険があり、どこまで対策できているかを評価して、優先順位をつけること
- 僕の現場では「ガイドラインを選ぶ → ヒアリング → 評価 → 報告」の流れで、1案件1〜3か月・2〜3人が目安
- 基準には ISO/IEC 27001 や NIST のガイドラインがよく使われる
- いちばんむずかしいのはリスク基準を決めること。報告では「世の中と比べたレベル」と「重要資産のリスクと対応策」を伝える
- 目指すなら、ガイドラインを読んでわからないところをつぶすことから。細かい部分が気になる人に向いている
- 小さな会社は、IPAの自社診断（25項目）で自社の状況を確かめるところから始められる