リスク特定とは？りすくとくてい
リスク特定とは、リスク源、起こり得る事象、その原因と結果を見つけ出し、認識して記述するプロセス。リスクアセスメントの入口にあたり、ここで挙がらなかったものは以降の分析・評価・対応のどこにも現れない。したがってこの段階で問われるのは判断の鋭さではなく、洗い出しの網羅性そのものになる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
リスク対応の議論は「重大なものから手を打つ」形で進むため、そもそも俎上に載らなかった脅威には永久に手が付かない。だからこの段階では絞り込まず、情報資産台帳と脅威・脆弱性を突き合わせる、業務の流れをたどる、公開された事例集を当てるといった複数の方法で網を広げる。支援士では、抜けを防ぐ手順そのものを設計できるかが問われる。
具体例
委託先へ顧客データを渡す業務なら、受渡し媒体の紛失、無断の再委託、委託終了後の返却・消去の漏れ、担当者が異動した後も残るアクセス権といった事象を、業務の流れに沿って一つずつ書き出し、リスク源と想定される結果まで添えて一覧にする。
試験での引っ掛け
受容するかどうかを決めるのはリスク評価の役割で、特定は発見・認識・記述までにとどまる。大きさを見積もるのは分析。特定・分析・評価という3段階の順序と、それぞれが担う内容の入替えが定番の出題になる。
関連用語
出た過去問
出典：平成28年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）
JIS Q 27000における情報セキュリティリスクに関する定義のうち，適切なものはどれか。
正解：リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。
要点：リスク特定はリスクを発見・認識・記述する工程
JIS Q 27000では、リスク特定はリスクを発見し、認識し、記述するプロセスと定義され、リスク源や事象、原因、起こり得る結果の洗い出しを含みます。脅威と脆弱性の定義、リスク評価とリスク対応の区別が問われています。
出典：平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12（IPA）
JIS Q 27000:2014（情報セキュリティマネジメントシステム－用語）における情報セキュリティリスクに関する記述のうち，適切なものはどれか。
正解：リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。
要点：リスク特定はリスクの発見・認識・記述のプロセス
JIS Q 27000では、リスク特定を「リスクを発見し、認識し、記述するプロセス」と定義し、リスク源・事象・原因・起こり得る結果の特定を含むとしている。なお脅威は損害を与え得る望ましくないインシデントの潜在的原因、脆弱性は脅威に悪用され得る資産や管理策の弱点であり、両者の定義を取り違えないことが重要である。
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）
JIS Q 27000:2019 (情報セキュリティマネジメントシステム-用語) の用語に関する記述のうち、適切なものはどれか。
正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。
要点：リスク特定はリスクを発見し認識し記述する最初の工程
リスク特定は、リスクマネジメントプロセスの最初の段階で、どんなリスクが存在するかを見つけ出し、認識し、記述する活動である。リスク源、起こり得る事象、その原因および結果を洗い出すことが含まれ、ここで漏れがあると後続の分析や評価でも扱えない。なお、脅威は損害をもたらし得る事象の潜在的な原因、脆弱性は付け込まれ得る弱点であり、両者の定義は取り違えやすい。
出典：令和7年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10（IPA）
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。
正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。
要点：リスク特定はリスクを発見・認識・記述するプロセス
JIS Q 27000の定義では、リスク特定はリスクを発見し、認識し、記述するプロセスであり、リスク源・事象・原因・起こり得る結果を洗い出す活動を含みます。用語を取り違えやすいので、脅威（望ましくないインシデントの潜在的原因）、脆弱性（脅威に付け込まれ得る資産や管理策の弱点）、リスク評価（分析結果をリスク基準と比較し受容可否を決める）、リスク対応（リスクを修正するための選択肢の選定と実施）という対応関係を押さえておきます。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。