情報セキュリティリスクとは？じょうほうせきゅりてぃりすく
情報セキュリティリスクとは、情報資産に対する脅威が脆弱性を突いたときに、組織が損失を被る可能性。大きさは発生の可能性と影響の大きさの組み合わせで評価し、例えば両者を点数にして掛け合わせ、値の大きいものから対応を考える。ISMS（情報セキュリティマネジメントシステム）では、リスクの洗い出しと見積り、低減・移転・回避・受容のいずれかによる対応、PDCAサイクルによる見直しという流れの起点になる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
対策には費用と運用の手間がかかり、すべての情報資産に最高水準の対策を施せば業務が回らなくなる。一方、勘で優先順位を決めると、重要な資産が手薄なまま残る。そこで資産・脅威・脆弱性を洗い出し、どこにどれだけの損失の可能性があるかを比べられる形にして、限られた予算を配分する考え方が採られた。管理の中心にリスクが置かれるのは、配分の判断が経営の仕事だからである。
具体例
顧客名簿を保存したノートPCの持ち出しを、仮に発生可能性と影響を3段階ずつで点数にし、紛失の可能性2・影響3で6点と評価したとする。BitLockerでドライブを暗号化すると、紛失は起こり得ても中身を読まれにくくなり、影響の点が下がる（低減）。持ち出し禁止なら紛失の可能性そのものが無くなる（回避）。保険は損失の負担を保険会社へ移す（移転）。影響が小さいと判断できれば、対策せずに受け入れる（受容）。
試験での引っ掛け
脅威・脆弱性・リスクの取り違えが頻出する。攻撃者・マルウェア・災害のような外部の要因が脅威、それに付け入られる組織側の弱点（暗号化していない端末、修正プログラムを当てていないOSなど）が脆弱性、両者がそろって生じる損失の可能性がリスクである。リスク移転は保険や委託で損失の負担を他へ移す対応で、リスクそのものは消えない。
関連用語
出た過去問
出典：平成28年度 春期 基本情報技術者試験 午前 問42（IPA）
BYODの説明，及びその情報セキュリティリスクに関する記述のうち，適切なものはどれか。
正解：従業員が私的に保有する情報端末を業務に利用することであり，セキュリティ設定の不備に起因するウイルス感染などの情報セキュリティリスクが増大する。
要点：BYODは私物端末の業務利用で管理不足がリスクになる
BYODは、従業員が私物の情報端末を業務に用いることを指す。会社の管理が届きにくいため、OSやウイルス対策の更新漏れなど設定不備に起因する感染や、私物端末に業務データが残ることによる漏えいが問題になる。会社貸与端末の話ではない点を押さえたい。
出典：令和5年度 公開問題 基本情報技術者試験 科目B 問6（IPA）
A社は、放送会社や運輸会社向けに広告制作ビジネスを展開している。A社は、人事業務の効率化を図るべく、人事業務の委託を検討することにした。A社が委託する業務(以下…
正解：B業務に従事する従業員が、攻撃者からの電子メールを複合機からのものと信じて本文中にあるURLをクリックし、フィッシングサイトに誘導される。その結果、A社の採用予定者の個人情報が漏えいする。
要点：初期設定が公開だとなりすましメールを作られる
複合機の初期設定情報はベンダーのサイトで公開されているため、差出人・件名・本文・添付ファイル名の書式を攻撃者が知ることができる。そのため複合機からの通知になりすました電子メールを容易に作れ、受け取った従業員が本文のURLを本物と信じてクリックしてしまう恐れがある。フィッシングサイトで利用者IDとパスワードを詐取されれば、採用予定者の個人情報の漏えいにつながる。このリスクを断つために初期設定からの変更が必要と評価された。
出典：令和7年度 公開問題 基本情報技術者試験 科目B 問6（IPA）
A社は従業員200名の電子機器メーカーである。東京に本社があり、新潟に工場がある。 A社では、ファイルサーバを図1のように運用している。 〔図1 A社のファイル…
正解：a1: 火曜日の正午 / a2: 4.50 / a3: CISO
要点：RPOは遡る時点、RTOは復旧時間。承認者はCISO
RPOが72時間なので、金曜日の正午に障害が起きた場合は少なくともその72時間前、つまり火曜日の正午時点のデータまでは復元できなければならない。木曜日の正午の障害では、土曜日のフルバックアップに加えて火曜日と木曜日の2回分の増分バックアップを適用するため、4時間＋0.25時間×2＝4.50時間かかる。またICT継続の計画書のような重要文書は、担当者や監査部門ではなく責任者であるCISOが承認する。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。