リスク評価とは？りすくひょうか
リスク評価とは、リスク分析で見積もったリスクの大きさをリスク基準と照らし合わせ、そのリスクが受容できるか、対応が必要ならどれを先に手当てするかを決めるプロセス。リスク特定・リスク分析・リスク評価の3つを合わせてリスクアセスメントと呼び、リスク評価はその最後の段階に位置する。
最終更新：2026-10-09
この語が出る過去問を解く →背景
基本情報のセキュリティ分野では、組織的対策の小分類からマネジメント系の用語定義が出る。出題は規格の条文に沿った形が多く、リスクアセスメントを構成するプロセスの組合せを選ばせる問題と、JIS Q 27000の用語（リスクレベル・リスク基準・脆弱性）の定義を1語ずつ照合させる問題が代表例である。実務上の判断ではなく、規格が定めた言葉の切り分けを正確に持っているかどうかが問われる。
具体例
洗い出した脅威それぞれについて、起きたときの結果の重大さと起こりやすさを組み合わせてリスクレベルを算出し、「レベルが高いものは必ず低減策を講じ、低いものは受容する」といった基準に当てはめて仕分ける。ここで決まるのは対応の要否と優先順位であって、実際の対策の実施はこの後のリスク対応の工程になる。
試験での引っ掛け
隣り合う用語との境界が誤答になる。アセスメントの構成を問う問題では、誤答の選択肢に「特定・評価・受容」「分析・対応・受容」「分析・評価・対応」が並ぶが、リスク対応もリスク受容もアセスメントの後に続く工程であり、正しいのは特定・分析・評価の3つである。用語定義の問題では、次の3語を区別する。脆弱性は、脅威に付け込まれる可能性のある資産や管理策の弱点。リスクレベルは、結果とその起こりやすさの組合せで表すリスクの大きさ。リスク基準は、リスクの重大性を評価するときの目安とする条件。誤答の選択肢にある「対応すべきリスクに付与する優先順位」は、リスクレベルの定義ではない。リスク評価はこれらを突き合わせて判断する作業そのもので、大きさを算出する作業ではない。
関連用語
出た過去問
出典：平成29年度 秋期 基本情報技術者試験 午前 問43（IPA）
リスクアセスメントを構成するプロセスの組合せはどれか。
正解：リスク特定、リスク分析、リスク評価
要点：リスクアセスメント＝リスク特定→リスク分析→リスク評価の3工程
JIS Q 31000などの定義では、リスクアセスメントはリスク特定・リスク分析・リスク評価の3つのプロセスから成る。まずどんなリスクがあるかを洗い出し、次に発生可能性と影響度からリスクの大きさを見積もり、最後に基準と照らして対応の要否や優先順位を判断する。リスク対応やリスク受容はアセスメントの後に続く別工程である。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。