リスクアセスメントとは？りすくあせすめんと
リスクアセスメントとは、守るべき情報資産への脅威と脆弱性を洗い出すリスク特定、起こりやすさと影響の大きさから大きさを見積もるリスク分析、対応が必要な水準かを判断するリスク評価までの一連のプロセス。ここで付けた順位が、そのまま対策の優先順位になる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
守りに使える予算も人も限られており、すべての危険に同じだけ手を打つことはできない。感覚で「怖そうなもの」から潰していくと、めったに起きない派手な事故にばかり費用が向き、地味で頻発する事故が放置される。起こりやすさと影響という2つの軸で並べ直し、費用の配分を人に説明できる形にするための手続き。
具体例
顧客名簿を扱う部署では、「持ち出したノートPCの紛失」は起こりやすさも影響も大きいと見積もられ、暗号化と持出申請が先に手当てされる。一方「掲示物の紛失」は影響が小さいと評価され、後回しにする判断に根拠を付けられる。
試験での引っ掛け
特定・分析・評価までがアセスメントで、実際に手を打つ回避・低減・移転（共有）・受容はリスク対応と呼び分ける。その両方を含む上位の枠組みがリスクマネジメント。設問はどこまでを含むかを入れ替えて問うので、この入れ子の順で覚える。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成26年度 春期 ITパスポート試験 問72（IPA）
情報セキュリティのリスクアセスメントにおける、資産価値、脅威、脆弱性及びリスクの大きさの関係として、適切なものはどれか。
正解：リスクの大きさは、資産価値、脅威及び脆弱性の大きさによって決まる。
要点：リスクは資産価値・脅威・脆弱性から決まる
リスクアセスメントでは、守るべき情報資産の価値、それを脅かす事象である脅威、そして脅威につけ込まれる弱点である脆弱性の三つを組み合わせてリスクの大きさを見積もる。価値が高く、脅威が起こりやすく、弱点が大きいほどリスクは大きくなる。したがってリスクが従属変数であり、他の三つがリスクによって決まるという説明は関係が逆になる。
出典：平成28年度 秋期 ITパスポート試験 問40（IPA）
出典：平成29年度 春期 ITパスポート試験 問63（IPA）解説で登場
情報セキュリティのリスクマネジメントをリスク特定，リスク分析，リスク評価，リスク対応に分けたときに，リスク対応に含まれるものはどれか。
正解：リスクへの対処方法を選択し，具体的な管理策の計画を立てる。
要点：リスク対応は対処方針の選択と具体的な管理策の計画
リスクアセスメントは特定・分析・評価の三段階で、どんなリスクがあるかを洗い出し、大きさを算定し、受容基準と照らして対応の要否を判断する。そのうえで実施するリスク対応では、低減・回避・移転・保有といった方針を選び、具体的な管理策とその実施計画を定める。
出典：平成29年度 春期 ITパスポート試験 問75（IPA）解説で登場
ISMSの“計画”，“運用”，“パフォーマンス評価”及び“改善”において，“パフォーマンス評価”で実施するものはどれか。
正解：内部監査
要点：ISMSのパフォーマンス評価には監視・測定と内部監査が入る
ISMSはPDCAに沿って運営され、計画で方針・リスクアセスメント・対応計画を定め、運用で管理策を実施し、パフォーマンス評価で監視・測定・内部監査・マネジメントレビューを行い、改善で是正処置を実施する。したがって内部監査はパフォーマンス評価の段階に含まれる。
出典・参考
公式シラバスの1 企業と法務 ＞ 1. 経営・組織論 ＞ (2) 経営管理に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。