> ## Documentation Index
> Fetch the complete documentation index at: https://docs.proofline.jp/llms.txt
> Use this file to discover all available pages before exploring further.

# リスクの一覧

> 資産・取引先・業務ごとに起こりうることを評価し、対応と残るリスクの承認を記録する（プレミアム）

> [!NOTE]
>
> この機能は**プレミアム**で使えます。ほかのプランでは、サイドバーの「リスクの一覧」に鍵の印が付き、開くと「いまのプランでは使えません」と案内が出ます（[プランと使える機能](https://docs.proofline.jp/plans.md)）。

サイドバーの「**証跡 → リスクの一覧**」で、資産・取引先・業務ごとに、起こりうること（漏えい・改ざん・使えなくなる など）と原因を書き、起こりやすさと影響で評価します。ISMS のリスクアセスメントとリスク対応の記録になります。

## できる人

| すること | できる人 |
| - | - |
| 一覧を見る | 管理者・承認者 |
| リスクを足す・直す・状態を進める・残るリスクの承認を申請する | 管理者 |
| 残るリスクの承認（[承認申請](https://docs.proofline.jp/operations/procedures.md)の画面で） | 申請した人と**別の人**（承認者か管理者） |

一般利用者は見られません。開くと「リスクの一覧は、管理者と承認者だけが見られます。自社の弱点の一覧で、攻撃の手がかりになるためです。」と出ます。

## すること

**1. リスクを足す**

「**リスクを足す**」を押し、対象・起こりうること・原因・起こりやすさ・影響・リスクの持ち主を入れて「**保存する**」を押します。状態は「検討中」です。

**2. 対応を決めて、対応を始める**

リスクの行を押して「**直す**」で、対応（減らす・避ける・移す・受け入れる）・対応の期限・選んだ対策を入れます。対策に取りかかったら「**対応を始める**」を押します。状態は「対応中」になります。

**3. 対応後の大きさと見直しの日を入れる**

対策が済んだら「直す」で、対応後の起こりやすさ・対応後の影響・次の見直しの日を入れます。

**4. 残るリスクの承認を申請する**

「**残るリスクの承認を申請する**」を押します。承認申請の画面に、種類「**リスクの受け入れ**」の申請ができます。

**5. 別の人が承認する**

申請した人と別の人（承認者か管理者）が、[承認申請](https://docs.proofline.jp/operations/procedures.md)の画面で「**承認する**」を押します。リスクは「**承認済み**」になります。

## リスクを足す

「リスクを足す」の画面で、次を入れます。

| 項目 | 内容 |
| - | - |
| 件名 | 例: Google のアカウントの乗っ取り |
| 対象の種類 | 資産・取引先・業務・個人情報・その他 |
| 対象 | 資産は資産台帳から、取引先は取引先台帳から選びます。業務・個人情報・その他は「対象の名前」を書きます（例: 採用の業務） |
| 起こりうること | 漏えい・改ざん・使えなくなる・不正な利用・その他 |
| 原因 | 例: パスワードの使い回しと、多要素認証の未登録 |
| 起こりやすさ・影響 | 1〜3 で選びます（下の目安） |
| リスクの持ち主 | このリスクに責任を持つ人。名簿から選びます |

「対応（決まったら入れる）」の欄は、あとで入れてかまいません。

| 項目 | 内容 |
| - | - |
| 対応 | 減らす・避ける・移す・受け入れる |
| 対応の期限 | 対策を終える日。過ぎると一覧で赤く出ます |
| 選んだ対策（基準の要求事項） | 対策に当たる要求事項（例: ISMS の附属書 A の管理策）を選びます。番号・名前で探せます |
| 対応後の起こりやすさ・対応後の影響 | 対策のあとに残るリスクを 1〜3 で選びます |
| 次の見直しの日 | 次にこのリスクを見直す日。過ぎると赤く出ます |

選んだ対策は、適用宣言書で管理策を「適用する」と決めるときの理由になります（[ISMS・SCS★3 の準備](https://docs.proofline.jp/disclosure/isms-scs3.md)）。

### 大きさの目安

**大きさ**は、起こりやすさ × 影響です（1〜9）。**6 以上**は「対応が要る」と出ます。

| 値 | 起こりやすさ | 影響 |
| - | - | - |
| 3 | 高: 年に 1 回以上起こりうる、または同業で起きている | 大: 顧客・取引先に被害が及ぶ、業務が 1 日以上止まる、法令の報告が要る |
| 2 | 中: 数年に 1 回起こりうる | 中: 社内の業務に支障が出る |
| 1 | 低: まず起こらない | 小: ほとんど影響がない |

## 残るリスクの承認

対応を決めても、リスクがなくなるとは限りません。対策のあとに残るリスクを、別の人に承認してもらいます。

* 申請するには、**対応**と、**対応後の起こりやすさ・対応後の影響**が要ります。
* 申請すると、リスクの画面に「残るリスクの承認を申請しています（承認待ち）。申請した人と別の人が、承認申請の画面で承認します。」と出ます。「**承認申請を開く**」で承認申請の画面に移れます。
* 承認申請の件名は「残るリスクの承認: （リスクの件名）」です。対応・対応後の大きさ・リスクの持ち主が入ります。
* 承認されると、リスクは「承認済み」になります。却下・取り消しになったら、もう一度申請できます。

> [!TIP]
>
> 差し戻されたときは、リスクの一覧でリスクを直してから、承認申請の画面でその下書きを「**消す**」を押し、リスクの画面から申請し直してください。下書きのまま「申請する」を押すと、直す前の内容で申請します。

## 状態

| 状態 | 意味 | 次にできること |
| - | - | - |
| 検討中 | 足したばかり。対応を考えています | 直す・対応を始める・残るリスクの承認を申請する・不採用にする |
| 対応中 | 対策に取りかかっています | 直す・残るリスクの承認を申請する・終える |
| 承認済み | 残るリスクが承認されました | 終える・対応中に戻す |
| 終了 | もう扱わないリスクです（対象の資産をやめた など） | 対応中に戻す |
| 不採用 | リスクとして扱わないと決めました | 検討中に戻す |

* 「終える」「対応中に戻す」「不採用にする」は、理由が要ります。不採用の理由は、リスクの画面に出ます。
* 直せるのは、検討中と対応中のリスクだけです。承認済み・終了のリスクを直すときは、「対応中に戻す」を押してから直します。

一覧は大きさの大きい順に並びます。「状態」と「対応が要る」で絞り込めます。

## ISMS の判定との関係

判定項目「**リスクアセスメントとリスク対応**」は、このリスクの一覧で確かめます。合格には、次のすべてが要ります。

* 文書と記録に、ひな形「リスクアセスメントとリスク対応の手順」の文書があり、周知済みになっている（[文書と記録](https://docs.proofline.jp/knowledge/documents.md)）
* 不採用でないリスクが 1 件以上ある
* 大きさが 6 以上のリスクが、承認済みか終了になっている
* 承認済み・終了のリスクに次の見直しの日があり、その日を過ぎていない

リスクの一覧がまだ空のときは、前のやり方でも確かめます。手順の文書にリスクアセスメントの結果を付けた版を、決めた期間（多くは 12 か月）以内に周知していれば合格です。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.