情報セキュリティにおけるリスクとは？
情報セキュリティにおけるリスクとは、脅威が情報資産の脆弱性を突くことによって、実際に組織に損害が発生する可能性のこと。「リスク＝脅威×脆弱性×資産価値」という考え方で説明されることが多く、脅威や脆弱性のどちらか一方だけでは実害は発生せず、両方がそろって初めてリスクとなる。組織はこのリスクの大きさを評価（リスクアセスメント）し、許容できる水準まで下げるための対応（リスク対応）を行うことで、限られた予算・人員の中で優先順位をつけた対策が可能になる。
ITパスポートの過去問では4回出題されています（2013年度〜2022年度）。
じょうほうせきゅりてぃにおけるりすく
情報セキュリティにおけるリスクの意味
脅威が情報資産の脆弱性を突くことによって、実際に組織に損害が発生する可能性のこと。「リスク＝脅威×脆弱性×資産価値」という考え方で説明されることが多く、脅威や脆弱性のどちらか一方だけでは実害は発生せず、両方がそろって初めてリスクとなる。組織はこのリスクの大きさを評価（リスクアセスメント）し、許容できる水準まで下げるための対応（リスク対応）を行うことで、限られた予算・人員の中で優先順位をつけた対策が可能になる。
情報セキュリティにおけるリスクの具体例
重要な顧客データを保管するサーバに未修正の脆弱性がある場合、そこを狙う攻撃者（脅威）が存在すれば、情報漏えいという大きなリスクが生じる。
情報セキュリティにおけるリスクは試験でどう引っ掛けられる？
リスクをゼロにすることは現実的ではなく、費用対効果を踏まえて許容できる水準まで低減するという考え方が試験でも問われやすい。
情報セキュリティにおけるリスクと関連する用語
情報セキュリティにおけるリスクが出た過去問
情報セキュリティにおけるリスクマネジメントに関する記述のうち、最も適切なものはどれか。
正解：組織の全員が役割を分担して、組織全体で取り組む。
要点：情報セキュリティは全社の枠組みで全員が役割を分担する
情報セキュリティのリスクマネジメントは、経営者が責任を持って方針を示し、全社共通の枠組みのもとで各部門・各従業員が役割を分担して継続的に取り組むものである。特定の担当者や部署に任せきりにしたり、通常業務と切り離した活動にしたりすると実効性が失われる。
出典：平成25年度 春期 ITパスポート試験 問71（IPA）情報セキュリティにおけるリスクマネジメントに関して，次の記述中のa～cに入れる字句の適切な組合せはどれか。 情報セキュリティにおいて，組織がもつ情報資産の［ a…
正解：a：脆弱性 b：脅威 c：リスク
要点：脅威が脆弱性を突いて損害が生じる可能性がリスク
情報資産が持つ弱点が脆弱性、その弱点を突いて損害をもたらす原因や事象が脅威、そして脅威が脆弱性を突いて損害が生じる可能性の大きさがリスクである。したがって空欄はa＝脆弱性、b＝脅威、c＝リスクの順になる。
出典：平成28年度 秋期 ITパスポート試験 問96（IPA）情報セキュリティにおけるリスクアセスメントの説明として、適切なものはどれか。
正解：識別された資産に対するリスクを分析、評価し、基準に照らして対応が必要かどうかを判断する。
要点：リスクアセスメントは分析・評価して対応要否を判断する手続
リスクアセスメントは、守るべき資産に対するリスクを洗い出して分析し、あらかじめ定めた基準と照らして受容できるか対応が必要かを判断する一連の手続である。ここで対応が必要と判断されたリスクに対し、次の段階で低減・回避・移転・受容といった処置を選ぶ。実際の対処や本人確認、投資判断とは別の活動である。
出典：平成30年度 秋期 ITパスポート試験 問68（IPA）情報セキュリティにおけるリスクアセスメントを，リスク特定，リスク分析，リスク評価の三つのプロセスに分けたとき，リスク分析に関する記述として，最も適切なものはどれ…
正解：受容基準と比較できるように，各リスクのレベルを決定する必要がある。
要点：リスク分析は受容基準と比較できるようリスクレベルを決める
リスクアセスメントは、リスクを洗い出す「特定」、その大きさを見積もる「分析」、受容できるかを判断する「評価」の順に進みます。分析はリスクレベルを決める段階で、受容基準と照らし合わせられる形にすることが目的です。
出典：令和4年度 秋期 ITパスポート試験 問86（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。