情報セキュリティリスクとは？じょうほうせきゅりてぃりすく
情報セキュリティリスクとは、会社の大事な情報（情報資産）が、外からの危険（脅威）に内側の弱点（脆弱性）を突かれて、損害を受けるかもしれない可能性のこと。大きさは「起こりやすさ」と「起きたときの困り具合」の組み合わせで決める。ISMS（情報セキュリティマネジメントシステム）では、リスクを洗い出して大きさを見積もり、低減・移転・回避・受容のどれかで対応し、PDCA（計画・実行・確認・改善）で見直す流れの出発点になる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
情報を守る対策にはお金も手間もかかる。すべての情報を最高の守りで固めようとすれば、仕事が回らなくなる。かといって勘で順番を決めると、本当に大事な情報が手薄なまま残る。そこで、守る情報・危険・弱点を並べて、どこでどれだけ損をしそうかを見える形にし、限られた予算を損の大きそうな所から割り振る考え方がとられた。
具体例
顧客名簿が入ったノートパソコンを社外へ持ち出す仕事では、「なくす」という危険と、「暗号化（中身を読めないようにする処理）をしていない」という弱点が重なってリスクになる。Windowsの機能BitLockerで暗号化すれば低減、保険を掛ければ移転、持ち出しをやめれば回避、影響が小さいとしてそのままにすれば受容にあたる。
試験での引っ掛け
脅威・脆弱性・リスクの取り違えがよく出る。攻撃する人や悪意のあるソフト（マルウェア）、災害など外から来るものが脅威、そこに付け込まれる自分の側の弱点が脆弱性、2つがそろって生まれる損の可能性がリスクである。また、リスク移転は保険や外部への委託で損の負担をよそへ移すことで、リスクそのものが消えるわけではない。
関連用語
出た過去問
出典：平成29年度 春期 ITパスポート試験 問83（IPA）
ISMSにおける情報セキュリティリスクの特定に関する記述において，a，bに入れる字句の適切な組合せはどれか。 ISMSの［a］における情報の機密性，［b］及び可…
正解：a：適用範囲内 / b：完全性
要点：ISMSは適用範囲内で機密性・完全性・可用性の喪失を特定する
ISMSではまず適用範囲を定め、その範囲内にある情報資産について、機密性・完全性・可用性という三つの特性が損なわれることによるリスクを特定する。脆弱性はリスクを生じさせる要因の一つであって、守るべき特性の名称ではない。
出典：平成30年度 春期 ITパスポート試験 問61（IPA）
情報セキュリティリスクへの対応には，リスク移転，リスク回避，リスク受容及びリスク低減がある。リスク受容に該当する記述はどれか。
正解：特段の対応は行わずに，損害発生時の負担を想定しておくこと
要点：リスク受容は損害の負担を見込んだうえで対策しない選択
リスク対応は、対策を講じて発生確率や影響を小さくする低減、保険や委託で他者へ移す移転（共有）、要因そのものをなくす回避、そして影響が小さいなどの理由でそのまま抱える受容に大別される。受容は何もしないという意味ではなく、損害が生じたときの負担をあらかじめ見込んだうえで、あえて対策を取らないと判断することを指す。
出典：令和2年度 10月試験 ITパスポート試験 問84（IPA）
ISMSの情報セキュリティリスク対応における、人的資源に関するセキュリティ管理策の記述として、適切でないものはどれか。
正解：組織の確立された方針及び手順に従った情報セキュリティの適用を自社の全ての従業員に要求するが、業務を委託している他社には要求しないようにする。
要点：セキュリティ要求は委託先にも同等に課す
ISMSでは、情報を取り扱う相手が自社の従業員か外部の委託先かにかかわらず、同等の情報セキュリティ要求を課す必要がある。委託先を対象外にすると、そこが弱点となって情報漏えいの経路になり得るため、契約などを通じて方針・手順の順守を求めるのが適切である。よって委託先には要求しないとする記述が不適切となる。
出典・参考
公式シラバスの9 技術要素 ＞ 62. 情報セキュリティ管理 ＞ (2) 情報セキュリティ管理に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。