情報リスクとデータ品質管理へようこそ！

皆さん、こんにちは！FRM Part IIのカリキュラムの中でも、非常に実践的で関連性の高いチャプターへようこそ。今日のデジタル社会において、銀行は単に「お金」を扱うだけではなく、「情報」を扱っています。情報を現代の金融機関における「生命線」と考えてみてください。もしその情報が漏洩したり、破損したり、あるいは単に間違っていたりすれば、銀行は巨額の罰金を科され、社会的信用を失い、最悪の場合は破綻に追い込まれることさえあります。

このチャプターでは、情報に関連するリスクをいかに特定し、評価し、管理するか、そして使用するデータの品質を最高レベルに保つにはどうすればよいかを学んでいきます。最初は少し専門的で難しく感じるかもしれませんが、大丈夫です。実社会の例えをたくさん使いながら、シンプルで理解しやすいように噛み砕いて解説していきますね！

1. 情報リスク vs ITリスク：何が違うのか？

この2つは混同されがちですが、FRM試験においてはその違いを明確に理解しておく必要があります。

ITリスクは、いわば「配管設備」に関するものです。ハードウェア、ソフトウェア、ネットワークに焦点を当てています。サーバーがクラッシュしたり、ルーターが故障したりするのは、ITリスクです。

情報リスクは、その配管を流れる「水」に関するものです。コンテンツ（内容）そのものが侵害されるリスクを指します。たとえコンピュータ（IT）が完璧に機能していても、従業員が誤って顧客のパスワードリストを部外者にメールで送信してしまえば、それは「情報リスク」イベントの発生となります。

例え：図書館を想像してみてください。ITリスクとは、屋根から雨漏りしたり、本棚が崩れたりするリスクのことです。一方、情報リスクとは、誰かが侵入して本の内容を書き換えたり、中の秘密の物語を盗み出したりするリスクのことです。

重要なポイント：ITリスクはシステムに関するもの。情報リスクはデータとそれが持つ価値に関するものです。

2. 情報セキュリティの核心：CIAの3要素

情報リスクの世界では、すべてが「CIAの3要素（CIA Triad）」と呼ばれる3つの主要な目標を中心に回っています。……そう、秘密諜報機関ではありませんよ！CIAとは以下の頭文字をとったものです。

1. 機密性 (Confidentiality)：機密情報が、それを閲覧する権限を持つ人だけがアクセスできるようにすること。
例：あなたの銀行残高は、あなたと銀行スタッフは見ることができますが、隣人は見ることができません。

2. 完全性 (Integrity)：情報が正確かつ完全であり、改ざんされていないことを保証すること。
例：あなたが100ドルを預金した場合、システム障害やハッカーのせいで突然残高が10ドルに表示されるようなことがあってはなりません。

3. 可用性 (Availability)：情報やシステムが、必要な時にすぐに利用できるようにすること。
例：食料品店でデビットカードを使おうとした時、銀行のシステムが「ダウン」していては決済が承認されません。

クイックレビュー：
• 機密性 = 秘密を守る
• 完全性 = 正確さを保つ
• 可用性 = いつでも使えるようにする

3. データライフサイクルを理解する

情報は突然現れて永遠に残るものではなく、ライフサイクルを持っています。リスク管理とは、データのあらゆる段階を見守ることを意味します。

第1フェーズ：生成・作成：データがシステムに入力される（例：顧客がローン申込書に記入する）。
第2フェーズ：保存：データがデータベースやクラウドフォルダに保存される。
第3フェーズ：使用：意思決定のためにデータが使用される（例：与信担当者がローン申請を審査する）。
第4フェーズ：共有・伝送：システム間や第三者間でデータが送受信される。
第5フェーズ：アーカイブ：規制上の理由により、長期保存先に移動される。
第6フェーズ：破棄：不要になったデータが完全に削除される。

よくある間違い：多くの企業は「破棄」のフェーズを忘れてしまいます。古くて機密性の高いデータを永遠に持ち続けることは、非常に大きなリスクです。なぜなら、ハッキングが発生した場合、その「忘れ去られた」データが盗まれる可能性があるからです！

4. データ品質の次元

正確なリスクレポートを作成するためには、高品質なデータが不可欠です（BCBS 239を思い出してください）。品質を測定するために、私たちはいくつかの「次元」に注目します。覚えておくべき重要な次元は以下の通りです：

• 正確性 (Accuracy)：データは現実の事実を正しく反映しているか？（利率は本当に5%か？）
• 完全性 (Completeness)：重要なデータが欠落していないか？（顧客100%の住所データがあるか？）
• 一貫性 (Consistency)：システム間でデータが一致しているか？（顧客関係管理システム(CRM)の「顧客名」と会計システムの「顧客名」は一致しているか？）
• 適時性 (Timeliness)：データは最新のものか？（3日前の株価では、今日の取引には役に立ちません。）
• 妥当性 (Validity)：データは必要なフォーマットに従っているか？（電話番号欄に数字ではなく文字が入っていないか？）

豆知識：データ品質が低いことは、よく「GIGO」——Garbage In, Garbage Out（ゴミを入れれば、ゴミが出てくる）と呼ばれます。入力データが間違っていれば、どれほど洗練されたVaRモデルを使っても、危険な結果しか得られません。

5. 情報リスクの管理

銀行はどのようにしてこれらのリスクを管理しているのでしょうか？それは構造化されたプロセスに基づいています。

ステップ1：ガバナンス

これは「誰が責任者か」ということです。最高情報責任者 (CIO)や最高情報セキュリティ責任者 (CISO)を置く必要があります。また、特定のデータセットに対して責任を負うデータオーナー（事業部門長など）も必要です。

ステップ2：リスクの特定と評価

銀行は、最も機密性の高いデータである「宝物（Crown Jewels）」がどこにあり、どのような脅威（ハッカー、内部不正、自然災害など）に直面しているかを特定しなければなりません。

ステップ3：コントロール（管理策）の導入

コントロールはデータを保護するための「盾」です。以下のような種類があります：
• 予防的：漏洩が発生する前に阻止する（パスワード、暗号化など）。
• 発見的：発生中の漏洩を見つけ出す（侵入検知アラートなど）。
• 是正的：漏洩後に修正する（バックアップ、災害復旧など）。

重要なポイント：リスク管理は一度限りのプロジェクトではありません。チェックと改善を繰り返す継続的なサイクルなのです。

6. まとめと最後のアドバイス

最後に、情報リスクはオペレーショナル・リスクの一部であることを忘れないでください。これはCIAの3要素（機密性、完全性、可用性）の保護を網羅しており、効果を発揮するためには高いデータ品質が求められます。

試験対策ヒント：もし試験で、銀行が危機時にリスク・エクスポージャーを正確に報告できなかったという問題が出たら、データ完全性や適時性に関連する回答を探してください。もし顧客名が漏洩したというハッキングに関する問題であれば、答えは機密性の侵害である可能性が高いです。

難しく感じるかもしれませんが、大丈夫ですよ！図書館の例えを思い出してください。建物がITで、本の中の物語が情報です。「水（データ）」をきれいに保ち、「配管（IT）」を強固にしておけば、銀行は強靭な組織であり続けられます！

クイックレビュー・チェックリスト：
• 情報リスクとITリスクの違いは？（水 vs 配管）
• CIAの3要素とは？（機密性、完全性、可用性）
• データ品質の次元とは？（正確性、完全性、一貫性など）
• データライフサイクルとは？（生成から破棄まで）