情報セキュリティにおけるリスクとは？じょうほうせきゅりてぃにおけるりすく
情報セキュリティにおけるリスクとは、脅威が情報資産の脆弱性を突くことによって、実際に組織に損害が発生する可能性のこと。「リスク＝脅威×脆弱性×資産価値」という考え方で説明されることが多く、脅威や脆弱性のどちらか一方だけでは実害は発生せず、両方がそろって初めてリスクとなる。組織はこのリスクの大きさを評価（リスクアセスメント）し、許容できる水準まで下げるための対応（リスク対応）を行うことで、限られた予算・人員の中で優先順位をつけた対策が可能になる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
「攻撃がある」「弱点がある」と言うだけでは、どこから対策に手を付けるかは決められない。同じ弱点でも守る情報の重要度が違い、狙われやすさも違うからである。そこで、損害が実際に起きる可能性と大きさを一つの物差しにまとめ、大きいものから手を打てるようにした。
具体例
重要な顧客データを保管するサーバに未修正の脆弱性がある場合、そこを狙う攻撃者（脅威）が存在すれば、情報漏えいという大きなリスクが生じる。
試験での引っ掛け
リスクをゼロにすることは現実的ではなく、費用対効果を踏まえて許容できる水準まで低減するという考え方が試験でも問われやすい。
関連用語
出た過去問
出典：平成28年度 秋期 ITパスポート試験 問96（IPA）
情報セキュリティにおけるリスクマネジメントに関して，次の記述中のa～cに入れる字句の適切な組合せはどれか。 情報セキュリティにおいて，組織がもつ情報資産の［ a…
正解：a：脆弱性 b：脅威 c：リスク
要点：脅威が脆弱性を突いて損害が生じる可能性がリスク
情報資産が持つ弱点が脆弱性、その弱点を突いて損害をもたらす原因や事象が脅威、そして脅威が脆弱性を突いて損害が生じる可能性の大きさがリスクである。したがって空欄はa＝脆弱性、b＝脅威、c＝リスクの順になる。
出典：平成30年度 秋期 ITパスポート試験 問68（IPA）
情報セキュリティにおけるリスクアセスメントの説明として、適切なものはどれか。
正解：識別された資産に対するリスクを分析、評価し、基準に照らして対応が必要かどうかを判断する。
要点：リスクアセスメントは分析・評価して対応要否を判断する手続
リスクアセスメントは、守るべき資産に対するリスクを洗い出して分析し、あらかじめ定めた基準と照らして受容できるか対応が必要かを判断する一連の手続である。ここで対応が必要と判断されたリスクに対し、次の段階で低減・回避・移転・受容といった処置を選ぶ。実際の対処や本人確認、投資判断とは別の活動である。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。