リスクの定性的分析（発生確率・影響度マトリクス）とは？りすくのていせいてきぶんせき
リスクの定性的分析（発生確率・影響度マトリクス）とは、特定した個々のリスクについて、生じやすさ（発生確率）と生じた場合の結果（影響度）を「高・中・低」などの尺度で相対的に評価し、優先して対応すべきリスクを絞り込む分析。両者を軸にしたリスクマトリックスに位置づけて可視化することが多く、金額や確率分布を使う定量的分析より簡便に行える。支援士ではISMSのリスクアセスメントでリスクレベルを決め、リスク受容基準と照らす段階として問われる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
情報資産ごとに損失額を金額で見積もろうとすると、漏えい1件の損害も発生頻度も根拠のある数字が無く、アセスメントが終わらない。ISMSでは全資産をひとまず尺度で格付けして、受容基準を超えるものだけ対応や詳細分析に回す手順が現実解になった。午前IIではリスク特定→分析→評価の流れとリスクマトリックスの読み取りが、午後では格付け結果からリスク対応（低減・回避・移転・受容）を選ばせる形で出る。
具体例
委託先が扱う顧客DBの漏えいを「発生可能性：中、影響：大」とマトリックスで「高」に格付けし、受容基準を超えるので暗号化とアクセスログの取得を対応策に選ぶ。JIS Q 27001の適用範囲で洗い出した資産をこの表で一巡させ、リスク所有者が受容の判断に署名する運用が典型。
試験での引っ掛け
定量的分析と順序・役割を取り違えやすい。定性的分析は高・中・低で対応すべきリスクを絞り込む段階、定量的分析は絞ったものについて金額や確率分布でシミュレーション（モンテカルロ法、期待金額価値）する段階で、全リスクに定量分析を行うわけではない。またISMSの受容基準は経営が決めるもので、分析者が独自に「低だから放置」と決めてはならない。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。