リスクマネジメントとは？りすくまねじめんと
リスクマネジメントとは、目的の達成を阻むリスクを特定・分析・評価し、対応を選んで実施し、監視して見直していく一連の活動。JIS Q 31000が枠組みを示す。情報セキュリティではJIS Q 27001の要求と結びつき、リスクアセスメントの結果がリスク対応計画と適用宣言書に落ちる形で運用される。
最終更新：2026-10-06
この語が出る過去問を解く →背景
事故が起きてから手当てする形では、被害の大きさも費用も制御できない。起こりうることを前もって並べ、影響と起こりやすさで順位を付けて資源を配ることで、経営判断として説明できる形にしたのがこの枠組みである。全部は防げないという前提に立つ点が、発生後の収拾を扱う手順とは根本的に違う。経営層が受容の判断に責任を持つ形になっているのも、この考え方の帰結である。
具体例
情報資産台帳の項目ごとに脅威と脆弱性を洗い出し、影響度と発生可能性からレベルを付ける。受容基準を超えたものだけに対策を計画し、基準内のものは受容としてJIS Q 27001の適用宣言書と残留リスクの承認記録に残す。
試験での引っ掛け
リスクをゼロにする活動ではなく、受容（保有）も正当な対応の一つである。低減・回避・移転・受容のうち、保険や委託は移転であってリスクが消えるわけではない。事故後の収拾を主眼とする危機管理や、事業継続の枠組みとは目的の置き方が異なる。
関連用語
出た過去問
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）解説で登場
JIS Q 27000:2019 (情報セキュリティマネジメントシステム-用語) の用語に関する記述のうち、適切なものはどれか。
正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。
要点：リスク特定はリスクを発見し認識し記述する最初の工程
リスク特定は、リスクマネジメントプロセスの最初の段階で、どんなリスクが存在するかを見つけ出し、認識し、記述する活動である。リスク源、起こり得る事象、その原因および結果を洗い出すことが含まれ、ここで漏れがあると後続の分析や評価でも扱えない。なお、脅威は損害をもたらし得る事象の潜在的な原因、脆弱性は付け込まれ得る弱点であり、両者の定義は取り違えやすい。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (1) 情報セキュリティ管理に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。