リスク分析とは？

リスク分析の意味

特定したリスクの性質を理解し、その大きさ（レベル）を決定するプロセス。一般に発生可能性（脅威の大きさ×脆弱性の大きさ）と影響度（結果の重大さ）の組合せで測る。

リスク分析の具体例

「不正アクセスによる顧客情報漏えい」について、発生可能性を中、影響度を大と見積もり、リスクレベルを高と算定する。

リスク分析は試験でどう引っ掛けられる？

リスク評価と順序ごと区別する。特定→分析→評価→対応の流れのうち、分析はリスクの大きさを求める段階、評価はその大きさをリスク基準と比べて受容の可否を判断する段階にあたる。

リスク分析と関連する用語

• リスク特定
• リスク評価

リスク分析が出た過去問

• プライバシーマークを取得しているA社は、個人情報管理台帳の取扱いについて内部監査を行った。判明した状況のうち、監査人が、指摘事項として監査報告書に記載すべきもの…

  正解：個人情報管理台帳の見直しは、新たな個人情報の取得があった場合にだけ行っている。

  要点：個人情報管理台帳は定期的および変更の都度の見直しが必要

  個人情報管理台帳は、保有する個人情報の現況を正確に反映していなければ、リスク分析にも安全管理措置の検討にも使えない。新規取得のときだけ見直す運用では、利用目的の変更、保管場所や委託先の変更、保管期限到来による廃棄などが反映されず、台帳が実態と乖離する。少なくとも定期的な見直しと、変更が生じた都度の更新が必要であり、指摘事項に当たる。

  出典：令和4年度 秋期 システム監査技術者試験 am2 問6（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク評価についての説明として、適切なものはどれか。

  正解：リスクとその大きさが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス

  要点：リスク評価は分析結果をリスク基準と比べ受容可否を決める

  JIS Q 27000では、リスクアセスメントをリスク特定・リスク分析・リスク評価の三段階で捉える。このうちリスク評価は、リスク分析で得た結果をあらかじめ定めたリスク基準と照らし合わせ、そのリスクとその大きさが受容できるかどうか、対応が必要かどうかを決めるプロセスである。

  出典：令和5年度 秋期 システム監査技術者試験 am2 問19（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク対応についての説明として、適切なものはどれか。

  正解：リスクを修正するプロセス

  要点：リスク対応はアセスメント後にリスクを修正するプロセス

  リスクマネジメントの用語は、リスクアセスメント（リスク特定→リスク分析→リスク評価）と、その結果を受けて実際に手を打つリスク対応に分かれる。前半はリスクの姿を明らかにして受容可否を判断する段階であり、リスク対応はそこで受け入れられないと判断されたリスクを修正する段階、すなわち低減・回避・移転・受容といった選択肢を選んで実行するプロセスを指す。「評価までが分析、修正が対応」と切り分けると各定義を取り違えにくい。

  出典：令和7年度 秋期 システム監査技術者試験 am2 問19（IPA）