リスク評価とは？

リスク評価の意味

リスク分析の結果をリスク基準と比較し、リスクとその大きさが受容可能かどうかを判断するプロセス。対応の要否と優先順位を決定する。

リスク評価の具体例

リスクレベルが「高」のものは必ず低減策を講じ、「低」のものは受容するという基準に照らして仕分ける。

リスク評価は試験でどう引っ掛けられる？

特定・分析・評価をまとめた「リスクアセスメント」全体と、その最終段階である「リスク評価」を取り違えやすい。評価は大きさを算出する作業ではなく、基準と照らして対応の要否と優先順位を決める作業。

リスク評価と関連する用語

• リスク基準
• リスク対応

リスク評価が出た過去問

• JIS Q 27000における情報セキュリティリスクに関する定義のうち，適切なものはどれか。

  正解：リスク特定とは，リスクを発見，認識及び記述するプロセスのことであり，リスク源，事象，それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスクを発見・認識・記述する工程

  JIS Q 27000では、リスク特定はリスクを発見し、認識し、記述するプロセスと定義され、リスク源や事象、原因、起こり得る結果の洗い出しを含みます。脅威と脆弱性の定義、リスク評価とリスク対応の区別が問われています。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問11（IPA）

• システム監査基準(令和5年)に基づくシステム監査において,リスク評価に基づいた監査計画の策定で考慮すべき事項として,適切なものはどれか。

  正解：組織体内外の環境変化によってリスクが相当程度変化した場合には,監査計画の見直しを検討し,必要に応じて変更する。

  要点：リスクが大きく変われば監査計画を見直し必要なら変更する

  リスク・アプローチによる監査計画は、リスクの大きい領域に重点的に資源を割り当てる考え方に立つ。組織の内外で環境が変わりリスクの状況が相当程度変化した場合には、当初の前提が崩れるため計画を見直し、必要に応じて対象や時期、範囲を変更する。また監査リスクは合理的な水準まで低減するものであって、完全に排除することはできない点も押さえておきたい。

  出典：令和7年度 秋期 情報処理安全確保支援士試験 am2 問25（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。

  正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスクを発見・認識・記述するプロセス

  JIS Q 27000の定義では、リスク特定はリスクを発見し、認識し、記述するプロセスであり、リスク源・事象・原因・起こり得る結果を洗い出す活動を含みます。用語を取り違えやすいので、脅威（望ましくないインシデントの潜在的原因）、脆弱性（脅威に付け込まれ得る資産や管理策の弱点）、リスク評価（分析結果をリスク基準と比較し受容可否を決める）、リスク対応（リスクを修正するための選択肢の選定と実施）という対応関係を押さえておきます。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問10（IPA）