リスク分析とは？りすくぶんせき
リスク分析とは、特定したリスクの性質を理解し、その大きさ（リスクレベル）を決定するプロセス。一般に発生可能性と影響度の組合せで測り、情報セキュリティの文脈では発生可能性を脅威の大きさと脆弱性の大きさから見積もる。金額で表す定量的手法と、段階尺度で表す定性的手法がある。
最終更新：2026-10-06
この語が出る過去問を解く →背景
洗い出しただけのリスク一覧は、長さはあっても順位がない。対応へ資源を配分するには、比べられる物差しに載せる必要がある——それが分析の役割である。金額に換算できれば投資判断に直結するが、発生頻度の低い事象では推計の前提が揺れるため、段階尺度による方法が併用される。監査人は、用いた尺度と前提が組織の中で一貫しているか、担当者ごとに基準がぶれていないかを見る。
具体例
「不正アクセスによる顧客情報の漏えい」について、発生可能性を中、影響度を大と見積もってリスクレベルを高と算定する。定量的手法では、想定損害額と年間発生率から年間予想損失額を求め、対策費用と比較して投資の妥当性を示す。
試験での引っ掛け
リスク評価と段階ごと取り違えない。分析は大きさを求める段階、評価はその大きさをリスク基準と比べて受容の可否を判断する段階で、特定→分析→評価→対応の順に並ぶ。分析の結果そのものは対応の決定ではない点も押さえる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：令和4年度 秋期 システム監査技術者試験 午前Ⅱ 問6（IPA）解説で登場
プライバシーマークを取得しているA社は、個人情報管理台帳の取扱いについて内部監査を行った。判明した状況のうち、監査人が、指摘事項として監査報告書に記載すべきもの…
正解：個人情報管理台帳の見直しは、新たな個人情報の取得があった場合にだけ行っている。
要点：個人情報管理台帳は定期的および変更の都度の見直しが必要
個人情報管理台帳は、保有する個人情報の現況を正確に反映していなければ、リスク分析にも安全管理措置の検討にも使えない。新規取得のときだけ見直す運用では、利用目的の変更、保管場所や委託先の変更、保管期限到来による廃棄などが反映されず、台帳が実態と乖離する。少なくとも定期的な見直しと、変更が生じた都度の更新が必要であり、指摘事項に当たる。
出典：令和5年度 秋期 システム監査技術者試験 午前Ⅱ 問19（IPA）
出典：令和7年度 秋期 システム監査技術者試験 午前Ⅱ 問19（IPA）解説で登場
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク対応についての説明として、適切なものはどれか。
正解：リスクを修正するプロセス
要点：リスク対応はアセスメント後にリスクを修正するプロセス
リスクマネジメントの用語は、リスクアセスメント（リスク特定→リスク分析→リスク評価）と、その結果を受けて実際に手を打つリスク対応に分かれる。前半はリスクの姿を明らかにして受容可否を判断する段階であり、リスク対応はそこで受け入れられないと判断されたリスクを修正する段階、すなわち低減・回避・移転・受容といった選択肢を選んで実行するプロセスを指す。「評価までが分析、修正が対応」と切り分けると各定義を取り違えにくい。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。