リスク分析とは？りすくぶんせき
リスク分析とは、特定済みのリスクについて、起こりやすさと影響の大きさを見積もり、リスクレベルを決めるプロセス。発生可能性は脅威の大きさと脆弱性の大きさの組合せで捉え、影響度は結果の重大さで測る。金額へ換算する定量的な方法と、大中小の段階で表す定性的な方法がある。
最終更新：2026-10-06
この語が出る過去問を解く →背景
対策には費用がかかるので、すべてを最高水準で守ることはできない。どこへ資源を寄せるかを関係者へ説明するには、リスクを互いに比較できる値へ落とす必要がある。分析はその値を作る工程で、値そのものの絶対的な精度よりも、同じ物差しで並べられることに意味がある。非機能要件のうち可用性やセキュリティの水準を発注者と合意する際、レベル選択の根拠として使われる。
具体例
JIS Q 31000（ISO 31000）が特定→分析→評価という流れを定義し、情報セキュリティではJIS Q 27001の要求に沿って実施する。たとえば「不正アクセスによる顧客情報漏えい」を発生可能性=中・影響度=大と見積もり、リスクレベル=高と置いて対策の優先度を決める。
試験での引っ掛け
評価との切り分けが問われる。特定→分析→評価→対応のうち、大きさを求めるところまでが分析で、その値をあらかじめ決めた受容基準と照らし「受け入れるか手を打つか」を判断するのが評価にあたる。低減・回避・移転・保有という手の選択は、さらに次の対応の工程であって分析ではない。
関連用語
出た過去問
出典：令和7年度 春期 システムアーキテクト試験 午前Ⅱ 問17（IPA）
ある企業でのリスク分析結果は次のとおりであった。情報漏えい対策のうち，事象Cの年間発生確率が最も低くなるものはどれか。ここで，対策前の事象Xの年間発生確率をQX…
正解：dA＝75%のマルウェア対策ソフトを導入する。
要点：発生確率の高い事象を重点的に抑えるほうが全体の確率は下がる
各対策後の発生確率を式に当てはめて比較する。マルウェア対策のみでdA=75%とすると、PA=0.4×0.25=0.10、PB=0.10のままなので、PC=1-0.90×0.90=0.19となる。他の案は、両方に中途半端な対策をした場合が約0.27と0.24、IPSのみの場合が約0.415で、いずれも0.19を上回る。元の確率が高い事象Aを重点的に抑えるほうが効果が大きい。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。