診断の考え方：怖さと危険度を分け、分からないことを「確認カード」にする

公開 2026-10-23 · 読むのに少しだけ時間がかかります

リスクカード診断は、経営者やサイト管理者が専門知識なしで「何を守りたいか」「何を持っているか」「いま誰に何を確認すればよいか」を整理するための一次診断です。このページでは、結果の出し方の考え方をまとめます。

1. 「怖い事故」と「危険度」は別に扱う

被害カードの並び順は、経営者として最も避けたい事故の順番です。これは大切な経営判断ですが、その事故が実際に起こりやすいかどうか（成立可能性）とは別物です。そこで診断では、次の4つを分けて持ちます。

危険度は「影響度×成立可能性」の5×5マトリクスで整理しますが、根拠が揃わないものは数字を埋めず「未判定」レーンに置きます。想像で5×5を埋めると、安心も警戒も間違った方向に働くからです。

2. 情報は「種類」だけでなく「扱い方」で見る

同じ「氏名」でも、氏名だけを数十件持つのと、氏名・メール・購入履歴が紐づいて数千件あるのとでは、漏えい時の影響がまったく違います。そのため情報カードを手札に入れたあと、必要なときだけ「紐づいているか」「おおよその規模」「保存先」をまとめて1回だけ確認します。

パスワードも「暗号化していますか？」とは聞きません。自社で認証データを持つのか、外部認証を使うのかを分け、保管方式の確認は技術担当あての確認カードに回します。本物のパスワードやカード番号を入力することはありません。

3. 復旧は「希望」と「実力」を分ける

「4時間以内に戻したい」は希望で、「4時間で戻せる」は実力です。停止・完全破壊・データ消失を優先した場合は、経営者の希望と、契約・障害実績・復旧演習で確かめた実力を別々に表示します。バックアップを毎日取っていても、復元を試したことがなければ「実際に戻せる」とは判断せず「未検証」と表示します。

4. 分からないことは「誰に何を聞くか」に変える

「不明」と答えたことは、危険とも安全とも扱いません。その代わりに、確認先・平易な質問文・見せてほしい資料をまとめた確認カードを作ります。同じ担当者への同じ確認は1枚にまとめ、開発会社・保守会社・経理など相手ごとに束ねて表示します。カードの状態を「証拠確認済」にすると、そのシナリオに限って成立可能性を入力できるようになります。

5. 優先を下げても、消さない

被害カードを「まあ後回し」に置いても、確認対象からは消えません。法令・契約・第三者への重大な影響（要配慮情報やカード情報の取り扱い、外部公開サーバーの踏み台化など）は、あなたの並び順にかかわらずレポートに残します。

この診断の限界

これは情報整理と対応の一次診断です。脆弱性スキャン、侵入テスト、セキュリティ監査、法令適合性の証明の代わりにはなりません。結果は申告に基づく暫定的なもので、最終的な判断は担当者や専門家の確認を経て行ってください。

背景となる考え方：IPA「中小企業の情報セキュリティ対策ガイドライン」、NIST Cybersecurity Framework 2.0、PCI SSC FAQ（外部委託でも責任が完全にはなくならない）、個人情報保護委員会「漏えい等の対応」。カード数や分岐上限などはこのツール独自の設計です。