リスクアセスメントとは？りすくあせすめんと
リスクアセスメントとは、リスク特定・リスク分析・リスク評価の3工程からなる、リスクの大きさを見きわめて対応の要否を判断するまでの活動。分析でリスクレベルを定量的または定性的に決め、評価であらかじめ定めたリスク受容基準と照らし合わせる。
最終更新：2026-10-07
この語が出る過去問を解く →背景
守るべき情報資産の数に対し、使える予算と人手は限られている。どこから手を付けるかを担当者の勘で決めると、話題になっている脅威に偏り、影響の大きい穴が残ったままになる。資産・脅威・脆弱性を洗い出して同じ物差しの上に並べ、順位を付けてから手段を選ぶ——この手順に落としたものがアセスメントで、JIS Q 27001はISMSの必須プロセスとして要求している。
具体例
発生頻度と影響度を2軸にしたリスクマトリックスへ各リスクを置き、受容基準の線を引く。線を超えたものにはリスク所有者を割り当て、次の工程へ送る。定量的分析は損害額と発生確率の積で年間予想損失額を出す方法、定性的分析は高・中・低の段階で相対的に並べる方法。
試験での引っ掛け
リスク受容基準はアセスメントを実施する前に定めておく必要がある。結果を見てから基準を引くと、対策したくないリスクを受容側へ寄せられてしまうため——この順序が問われる。また回避・低減・移転・受容から手段を選ぶのは次の工程（リスク対応）で、アセスメント自体には含まれない。
関連用語
出た過去問
出典：令和4年度 秋期 高度試験 午前Ⅰ 問13（IPA）
JIS Q 31000:2019（リスクマネジメント－指針）におけるリスクアセスメントを構成するプロセスの組合せはどれか。
正解：リスク特定、リスク分析、リスク評価
要点：リスクアセスメント＝特定・分析・評価の3プロセス
JIS Q 31000では、リスクアセスメントはリスク特定・リスク分析・リスク評価の3つのプロセスで構成される。リスク対応はアセスメントの結果を受けて実施する後続のプロセスであり、アセスメントには含まれない。
出典：令和4年度 秋期 高度試験 午前Ⅰ 問21（IPA）
JIS Q 27001:2014（情報セキュリティマネジメントシステム－要求事項）に基づいてISMS内部監査を行った結果として判明した状況のうち、監査人が、指摘…
正解：リスクアセスメントを実施した後に、リスク受容基準を決めていた。
要点：リスク受容基準はアセスメントより先に定めておく
リスク受容基準は、どの程度のリスクなら受け入れるかを判断するものさしなので、リスクアセスメントを行う前に定めておかなければならない。アセスメントの後に基準を決めると、結果に合わせて基準を作ることになり、評価の客観性が損なわれる。これは要求事項からの逸脱であり、指摘事項として報告すべき状況である。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。