リスク分析とは？りすくぶんせき
リスク分析とは、特定済みのリスクについて発生可能性と影響度からリスクレベルを算定する工程で、定性的分析と定量的分析に分かれる。定性的分析は発生可能性×影響度のリスクマトリクスで相対順位を付ける手法、定量的分析は金額に落とす手法で、代表がALE（年間予想損失額）＝SLE（1回あたり損失額）×ARO（年間発生回数）である。ALEを使えば「年間の予想損失120万円に対し対策費が年200万円なら、その対策は経済的に成立しない」という判断を数字で書ける。発生可能性を脅威の大きさと脆弱性の大きさの積で捉えるのが情報セキュリティの定石で、脅威が高くても脆弱性を潰せばリスクレベルは下がるという因数分解が、そのまま対策設計につながる。不確実性の幅まで見るならFTAやモンテカルロシミュレーションを使う。
最終更新：2026-10-06
この語が出る過去問を解く →背景
セキュリティ投資は、経営から見れば「何も起きなければ効果が見えない支出」であり、承認を得るには対策費と同じ単位で損失を語る必要がある。ALEのような定量的分析が生まれたのはこの要請からで、目的は予測の的中ではなく比較可能な土俵を作ることにある。一方、発生確率も損失額も推定値でしかない領域では、精度を装った数字がかえって判断を誤らせるため、相対順位だけを付ける定性的分析が併存している。どちらを使うかは「数字の正確さ」ではなく「その判断に金額換算が要るか」で決まる。試験がこの工程を分析と評価に切って問うのも、測ることと決めることを混ぜた答案が実務で通らないからである。
具体例
AWSの責任共有モデルは、どこまでが事業者の責任でどこからが利用者の責任かを公表している。EC2ならOSより上のパッチ適用は利用者側、S3ならデータの暗号化とアクセスポリシーの設定が利用者側になる。この線引きが決まってはじめて、自分たちが分析すべき資産と脆弱性の範囲が確定する。範囲を切らずに始めると、事業者側の統制まで数え直して工数を溶かす。
試験での引っ掛け
記述式で問われる境界は、分析（大きさを求める）と評価（リスク基準と照合して受容可否を決める）の切れ目。ISO 31000ではリスクアセスメント＝特定＋分析＋評価なので、リスクアセスメントとリスク分析を同義で書くと外れる。もう一つ、ALEはあくまで期待値であり、発生確率が低く損失が破滅的なリスクを過小評価する。ここは「期待値が小さくても事業継続が不能になるものは、金額ではなく受容不可として扱う」と書けるかが分かれ目。定量的分析を選ぶ理由も「正確だから」ではなく「対策費と同じ単位で比較できるから」と答える。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：令和4年度 秋期 応用情報技術者試験 午前 問41（IPA）
JIS Q 31000:2019（リスクマネジメント－指針）におけるリスクアセスメントを構成するプロセスの組合せはどれか。
要点：リスクアセスメントは特定・分析・評価の3プロセス
JIS Q 31000におけるリスクアセスメントは、リスク特定・リスク分析・リスク評価の3つのプロセスで構成されます。まずリスクを洗い出し（特定）、起こりやすさと影響の大きさを把握し（分析）、基準と照らして対応の要否や優先順位を判断します（評価）。その結果を受けて実施するリスク対応は、アセスメントの後に続く別のプロセスです。
出典：令和6年度 春期 応用情報技術者試験 午前 問40（IPA）解説で登場
JIS Q 31000:2019(リスクマネジメントー指針)において、リスク特定で考慮することが望ましいとされている事項はどれか。
正解：資産及び組織の資源の性質及び価値
要点：リスク特定では資産や組織資源の性質と価値を考慮する
JIS Q 31000のリスク特定は、リスク源・事象・原因・起こり得る結果などを見つけて認識し記述する段階である。考慮が望ましい事項として、有形無形のリスク源に加え、資産及び組織の資源の性質や価値が挙げられている。起こりやすさや結果の大きさの評価はリスク分析、許容可能かどうかの判断はリスク評価の段階に属する。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。