リスクアセスメントとは？
リスクアセスメントとは、リスク特定・リスク分析・リスク評価の3つのプロセスからなる一連の活動。評価の結果に基づいて、回避・低減・移転（共有）・受容のいずれかのリスク対応を選ぶ。
高度試験・午前I（全区分共通）の過去問では14回出題されています（2017年度〜2025年度）。
りすくあせすめんと
リスクアセスメントの意味
リスク特定・リスク分析・リスク評価の3つのプロセスからなる一連の活動。評価の結果に基づいて、回避・低減・移転（共有）・受容のいずれかのリスク対応を選ぶ。
リスクアセスメントの具体例
保険への加入や外部委託はリスク移転、対策を講じて発生確率や影響を下げるのがリスク低減、影響が許容範囲内なので何もしないと決めるのが受容。
リスクアセスメントは試験でどう引っ掛けられる？
リスク受容基準は、アセスメントを実施する「前」に定めておく必要がある。順序が問われる。
リスクアセスメントと関連する用語
リスクアセスメントが出た過去問
ドライブバイダウンロード攻撃の説明はどれか。
正解：利用者がWebサイトを閲覧したとき、利用者に気付かれないように、利用者のPCに不正プログラムを転送させる。
要点：ドライブバイダウンロードは閲覧だけで感染する受動的攻撃
ドライブバイダウンロードは、改ざんされたWebサイトや不正広告を閲覧しただけで、利用者が気付かないうちに不正プログラムを送り込まれる攻撃である。ブラウザやプラグインの脆弱性を突くため、ファイルをダウンロードした覚えがなくても感染する。閲覧という受け身の行動が起点になる点が特徴である。
出典：平成29年度 秋期 高度共通_午前I試験 am1 問12（IPA）脆弱性検査手法の一つであるファジングはどれか。
正解：ソフトウェアのデータの入出力に注目し、問題を引き起こしそうなデータを大量に多様なパターンで入力して挙動を観察し、脆弱性を見つける。
要点：ファジングは異常データを大量入力して未知の脆弱性を探す
ファジング（fuzzing）は、極端に長い文字列や想定外の値、境界値など問題を引き起こしそうなデータ（ファズ）を大量に自動生成してソフトウェアに入力し、異常終了や予期しない挙動が起きないかを観察することで未知の脆弱性を発見する手法である。ソースコードを見ないブラックボックス的な検査である点が特徴である。
出典：平成30年度 秋期 高度共通_午前I試験 am1 問15（IPA）ファジングに該当するものはどれか。
正解：ソフトウェアに、問題を引き起こしそうな多様なデータを入力し、挙動を監視して、脆弱性を見つけ出す。
要点：ファジングは異常データを大量入力して挙動を監視する検査
ファジングは、極端に長い文字列や境界値、想定外の形式など問題を引き起こしそうなデータ（ファズ）を大量かつ多様なパターンで対象ソフトウェアに入力し、異常終了やハングアップなどの挙動を監視することで、未知の脆弱性を発見する動的な検査手法である。
出典：平成30年度 春期 高度共通_午前I試験 am1 問14（IPA）ファジングに該当するものはどれか。
正解：ソフトウェアに、問題を引き起こしそうな多様なデータを入力し、挙動を監視して、脆弱性を見つけ出す。
要点：ファジングは異常データを大量入力して挙動を監視する検査
ファジングは、極端に長い文字列や境界値、想定外の形式など問題を引き起こしそうなデータを大量かつ多様なパターンでソフトウェアに入力し、異常終了やハングアップといった挙動を監視することで、未知の脆弱性を発見する動的な検査手法である。
出典：令和1年度 秋期 高度共通_午前I試験 am1 問14（IPA）IoT推進コンソーシアム、総務省、経済産業省が策定した“IoTセキュリティガイドライン（Ver 1.0）”における“要点17. 出荷・リリース後も安全安心な状態…
正解：IoT機器のアップデート方法の検討、アップデートなどの機能の搭載、アップデートの実施
要点：出荷後の安全維持の要はアップデート機能の実装と実施
IoTセキュリティガイドラインの要点17は、出荷・リリース後の運用段階で安全な状態を保ち続けることを求めている。その代表的な対策例が、脆弱性が見つかったときに修正を配布できるようアップデート機能をあらかじめ設計・実装し、実際に更新を実施することである。
出典：令和3年度 秋期 高度共通_午前I試験 am1 問12（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。