※ ChatGPTを利用し、要約された質問です（原文：ベースラインアプローチの実際が知りたい）
ベースラインアプローチの実際が知りたい
このQ&Aのポイント
ISMSのリスクアセスメントにおいて、非形式的アプローチから組み合わせアプローチへの移行を考えています。しかし、ベースラインアプローチの具体的な手順やタイミングについてわからないことがあります。
ベースラインアプローチは情報資産の洗出しの後に行われると思われますが、グループ化の前に行うのか、後に行うのかがよくわかりません。従来のプロセスにどのように組み込むべきかも迷っています。
ベースラインアプローチの具体的な手法や順序についてアドバイスや参考になる情報があれば、教えていただきたいです。
初めて投稿します。
私は会社でISMSの運用に携わっています。最近配属されたばかりですが、まもなくリスクアセスメントの時期です。
これまでうちの会社は、『非形式的アプローチ」でリスクアセスメントをやっていました（先輩にすごく詳しい人がいて、その人が中心でやっていました）。
しかし、今後、これから先もISMSを継続していくことを考えると、いつまでも個人のスキルに任せた方法というのもいただけません。
そこで今年はセオリー通りの『組み合わせアプローチ」を採用しようと考えています。しかし、その先輩も私も、他の同僚も、『詳細リスク分析』はわかりますが、この『ベースラインアプローチ』というのがよくつかめません。
「情報資産の洗出し」の後にやるのだとは思うのですが、「グループ化」の前にやるのか、それとも「グループ化」の後にやるのか、従来のプロセスのどこに組み込めばいいのか、実際の具体的なやり方がさっぱりなのです。
アドバイス、または参考になるサイトや書籍など、何かご意見いただければと思います。
お礼
回答ありがとうございました。 お礼が遅くなってすみません。 ご指導いただいたように、あまりかたぐるしく考えるのをやめました。 とりあえず現在作成している規程・手順書や管理策をベースラインとして設定し、特に重要な個人情報に対し、詳細なリスク評価を実施することにしました。 有効性の評価については、監査以外に、以前参加したシンポジウムで、事例として発表があった企業の、地道で泥臭い方法（抜き打ち検査等）を取り入れようと考えています。