リスク分析とは？りすくぶんせき
リスク分析とは、特定したリスクについて、起こりやすさと影響の大きさを見積もり、リスクレベルを決めるプロセス。発生可能性は脅威の大きさと脆弱性の大きさから、影響度は結果の重大さから見積もる。リスクアセスメントの中で、特定と評価の間に位置する。
最終更新：2026-10-07
この語が出る過去問を解く →背景
洗い出したリスクすべてに同じ手間と費用をかければ資源が足りなくなり、結局どれも中途半端になる。対応する順番を決めるには、性質の違うリスクを比較できる共通の尺度へ落とし込む段階が要る。だからアセスメントは、洗い出す・大きさを測る・受容の可否を決める、と3段階に分けて定義されている。
具体例
「不正アクセスによる個人情報漏えい」を、発生可能性「中」、影響度「大」と見積もり、リスクマトリックスの該当セルからリスクレベル「高」を導く。定量的に扱う場合は、年間予想損失額＝1件あたりの損失額×年間の予想発生件数 の形で金額に換算する。
試験での引っ掛け
分析と評価の混同が定番。分析はリスクの大きさを求める段階、評価はその大きさをあらかじめ定めたリスク基準と照らして受容するか対応するかを決める段階で、対応（回避・低減・移転・受容）の選択はさらにその後。分析は必ずしも定量である必要はなく、定性的な等級付けでも成立する。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：令和4年度 秋期 高度試験 午前Ⅰ 問13（IPA）
JIS Q 31000:2019（リスクマネジメント－指針）におけるリスクアセスメントを構成するプロセスの組合せはどれか。
正解：リスク特定、リスク分析、リスク評価
要点：リスクアセスメント＝特定・分析・評価の3プロセス
JIS Q 31000では、リスクアセスメントはリスク特定・リスク分析・リスク評価の3つのプロセスで構成される。リスク対応はアセスメントの結果を受けて実施する後続のプロセスであり、アセスメントには含まれない。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。