ベースラインアプローチ【baseline approach】

ベースラインアプローチとは？

情報セキュリティ対策の現状評価手法の一つで、業界標準や公開ガイドラインを参照して達成すべきセキュリティ水準（ベースライン）を設定し、現状との乖離を確認・改善していく方式。

情報システムや組織の運用体制が満たすべきセキュリティ要件を「ベースライン」（baseline）として定義し、現在の状況がこれに適合しているかを検証する。ベースラインの策定にはISO/IEC 27001やPCI DSSなど、業界団体が公開する標準規格やガイドラインを参照することが多い。

評価はチェックリストや質問票を用いて項目ごとに実施し、基準を満たすか否かを判定していく。不適合と判定された項目については対策や運用体制の改善を施し、ベースラインへの完全適合を目指す。外部の標準規格に準拠することを目的とする場合、その規格をそのままベースラインとして活用できる。

この手法の利点は、既存の標準規格を流用できるため専門知識や多大な労力を要さず、低コストかつ短期間で評価を実施できることである。満たすべき目標が明確であり、現状の課題を把握しやすい。リソースの限られた組織がセキュリティ対策の第一歩として導入する場合にも適している。

一方、標準規格は様々な組織やシステムに適用できるよう平均的、一般的な対象を想定して策定されているため、自社の業務形態や規模、資産の重要度といった個別の事情は考慮されない。要件が実態に対して過剰であれば不要なコストが生じ、不足していれば業務固有のリスクを見落とす恐れがある。実施に際しては、自社の環境や特性に照らして基準の水準が妥当かどうかを確認することが求められる。

(2026.6.17更新)