確率・影響マトリックスとは？かくりつえいきょうまとりくす
確率・影響マトリックスとは、リスクの発生確率（起こりやすさ）と影響度（結果の大きさ）をそれぞれ段階評価し、その組合せでリスクの優先度を区分する表。定性的リスク分析の中心的な道具で、どのリスクに人と予算を割くかを決める根拠になる。支援士ではISMSのリスクアセスメントで、リスク基準（受容できる水準）を誰が決め、リスク所有者が対応を承認する流れとして問われる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
情報セキュリティのリスクは金額で正確に見積もれないものが大半で、全リスクを定量化しようとすると分析が終わらない。段階評価で並べれば優先順位は付けられるが、評価は主観なので、段階の定義とどこから対応するかの境界（リスク基準）を先に決めておかないと、評価者ごとに結果が変わる。ISMSはこのリスク基準の確立と、リスク所有者による対応計画と残留リスクの承認を要求事項にしている。
具体例
確率と影響を5段階で評価し、積が15以上を赤として週次で監視、6〜14を黄として月次で確認、それ以下は登録簿に記録するのみとする。インターネットに面したVPN装置の未修正脆弱性は「確率高×影響大」で赤になり、対応策の予算を優先配分する。境界値はリスク所有者である事業部門長の承認を得て決める。
試験での引っ掛け
積の値そのものに絶対的な意味はなく、案件ごとにしきい値を決めて初めて使える。確率も影響も主観による評価なので、この結果を定量的リスク分析の成果と呼んではいけない。情報セキュリティでは発生確率を「脅威の起こりやすさ」と「脆弱性の突かれやすさ」の両方から評価するのが通例で、脅威だけを見て確率を置くと対策済みの箇所まで高く出る。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。