リスク評価とは？りすくひょうか
リスク評価とは、リスク分析の結果をリスク基準と比較し、リスクが受容可能かどうか、どれから対応するかを決めるプロセス。JIS Q 31000ではリスク特定・リスク分析・リスク評価の3つでリスクアセスメントを構成し、リスク対応はアセスメントの結果を受けて実施する後続の別プロセスとして位置づけられる。
最終更新：2026-10-07
この語が出る過去問を解く →背景
高度試験の午前Iは30問で全分野を横断するため、同じ「リスクの分析と評価」が2つの体系で別々に出てくる。テクノロジ系のセキュリティからはJIS Q 31000のリスクアセスメントの構成が、マネジメント系のプロジェクトマネジメントからはPMBOKガイドの定性的リスク分析・定量的リスク分析が問われる。専門がセキュリティでもプロジェクト管理でも両方が守備範囲に入るため、名前が似ていて中身の異なるこの2体系を並べて持っておく必要がある。
具体例
情報セキュリティの側では、見積もったリスクの大きさをリスク基準と突き合わせ、受容するか対応するかを仕分ける。プロジェクトの側では、発生の可能性や影響などの特性を評価して個別リスクに優先順位を付けるところまでが定性的リスク分析で、個別リスクとその他の不確実性要因がプロジェクト目標全体に及ぼす複合的な影響をモンテカルロシミュレーションなどで数量的に分析するのが定量的リスク分析になる。
試験での引っ掛け
2つの体系の言葉が交差するところが狙われる。JIS Q 31000で「基準と照らして対応の優先順位を決める」に当たる作業は、PMBOKでは定量的ではなく定性的リスク分析と呼ばれる。定量的リスク分析は複合的な影響を数量的に分析するプロセスであって、優先順位付けではない。リスクの要因を特定して特性を文書化するのはリスクの特定、選択肢の策定と戦略の選択・対応処置の合意はリスク対応の計画であり、どちらも分析の中身ではない。JIS Q 31000側では、リスク受容はリスク対応の選択肢の1つ、リスク対応はアセスメントの後の段階で、いずれもリスクアセスメントの構成要素として選ぶと誤りになる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：令和4年度 秋期 高度試験 午前Ⅰ 問13（IPA）
JIS Q 31000:2019（リスクマネジメント－指針）におけるリスクアセスメントを構成するプロセスの組合せはどれか。
正解：リスク特定、リスク分析、リスク評価
要点：リスクアセスメント＝特定・分析・評価の3プロセス
JIS Q 31000では、リスクアセスメントはリスク特定・リスク分析・リスク評価の3つのプロセスで構成される。リスク対応はアセスメントの結果を受けて実施する後続のプロセスであり、アセスメントには含まれない。
出典：令和6年度 春期 高度試験 午前Ⅰ 問12（IPA）解説で登場
3Dセキュア2.0(EMV 3-Dセキュア)は、オンラインショッピングにおけるクレジットカード決済時に、不正取引を防止するための本人認証サービスである。3Dセキ…
正解：利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に、カード会社が追加の本人認証を行う。
要点：3Dセキュア2.0はリスクに応じて追加認証を行う
3Dセキュア2.0は、取引履歴や利用端末の情報などをカード会社へ送り、そのリスク評価に基づいて認証方法を変える「リスクベース認証」を採用している。低リスクと判断された取引では追加認証を求めずに決済を通し、高リスクと判断された場合だけワンタイムパスワードなどの追加認証を行う。これにより不正防止と利便性を両立させている。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。