リスク評価とは？りすくひょうか
リスク評価とは、リスク分析で得た大きさをあらかじめ定めたリスク基準と突き合わせ、受容できるかどうか、対応するならどれを先にするかを決めるプロセス。大きさを算出する作業ではなく、算出済みの値に組織の判断基準を当てて優先順位という結論を出す段階である点が、分析との分かれ目になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
すべてのリスクに対策を打てる予算と人員を持つ組織はない。どこかで「ここまでは受け入れる」と線を引かざるを得ないが、その線を担当者ごとの感覚に委ねると、部署によって同じ危険が対策されたりされなかったりする。基準をあらかじめ文書で決めておき、算出値をそれに照らすという手続きは、この判断のばらつきを組織の意思決定として一本化するために置かれている。
具体例
JIS Q 31000やJIS Q 27001に沿った運用では、発生頻度と影響度を各3〜5段階で掛け合わせたリスクマトリックスを作り、「レベル4以上は必ず低減、2以下は受容してリスク所有者が記録する」といった基準を経営層が承認しておく。承認された基準に照らすからこそ、受容の判断が担当者個人の裁量ではなくなる。
試験での引っ掛け
特定・分析・評価の三つをまとめた「リスクアセスメント」全体と、その最終段階である「リスク評価」を同一視する選択肢が定番である。また評価はリスクレベルを計算する工程ではない。計算は分析側の仕事で、評価は基準との比較と優先順位付けを担う。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：令和4年度 秋期 応用情報技術者試験 午前 問41（IPA）
出典：令和6年度 春期 応用情報技術者試験 午前 問40（IPA）解説で登場
JIS Q 31000:2019(リスクマネジメントー指針)において、リスク特定で考慮することが望ましいとされている事項はどれか。
正解：資産及び組織の資源の性質及び価値
要点：リスク特定では資産や組織資源の性質と価値を考慮する
JIS Q 31000のリスク特定は、リスク源・事象・原因・起こり得る結果などを見つけて認識し記述する段階である。考慮が望ましい事項として、有形無形のリスク源に加え、資産及び組織の資源の性質や価値が挙げられている。起こりやすさや結果の大きさの評価はリスク分析、許容可能かどうかの判断はリスク評価の段階に属する。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。