リスク評価とは？りすくひょうか
リスク評価とは、リスク分析で求めた大きさをあらかじめ定めたリスク基準と照らし、受容できるか、対応が要るか、どれから着手するかを決めるプロセス。リスクアセスメント（特定→分析→評価）の最終段階にあたり、大きさを算出する作業ではなく判断を下す作業である点が核心になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
大きさを数値化しただけでは何も決まらない。同じ損害額と発生頻度でも、業種や経営体力によって耐えられる水準は違うため、組織が自ら受容水準を決めておかないと、対応の要否が担当者の感覚で揺れる。基準を先に置くことで、判断の一貫性と、なぜその優先順位なのかを後から説明できる状態が確保される。
具体例
JIS Q 27001は、組織がリスク基準を定めて文書化することを要求している。実務では、リスクレベルを高・中・低に分け、高は必ず低減、中は費用対効果で判断、低は受容と決めた表に照らして一件ずつ仕分ける形をとる。
試験での引っ掛け
リスクアセスメント全体と、その最終段階であるリスク評価を取り違える出題が定番。またリスク対応（低減・回避・移転・受容）は評価の後に続く別プロセスで、評価の中には含めない。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：令和7年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問25（IPA）
システム監査基準(令和5年)に基づくシステム監査において,リスク評価に基づいた監査計画の策定で考慮すべき事項として,適切なものはどれか。
正解：組織体内外の環境変化によってリスクが相当程度変化した場合には,監査計画の見直しを検討し,必要に応じて変更する。
要点：リスクが大きく変われば監査計画を見直し必要なら変更する
リスク・アプローチによる監査計画は、リスクの大きい領域に重点的に資源を割り当てる考え方に立つ。組織の内外で環境が変わりリスクの状況が相当程度変化した場合には、当初の前提が崩れるため計画を見直し、必要に応じて対象や時期、範囲を変更する。また監査リスクは合理的な水準まで低減するものであって、完全に排除することはできない点も押さえておきたい。
出典：令和7年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10（IPA）解説で登場
JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。
正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。
要点：リスク特定はリスクを発見・認識・記述するプロセス
JIS Q 27000の定義では、リスク特定はリスクを発見し、認識し、記述するプロセスであり、リスク源・事象・原因・起こり得る結果を洗い出す活動を含みます。用語を取り違えやすいので、脅威（望ましくないインシデントの潜在的原因）、脆弱性（脅威に付け込まれ得る資産や管理策の弱点）、リスク評価（分析結果をリスク基準と比較し受容可否を決める）、リスク対応（リスクを修正するための選択肢の選定と実施）という対応関係を押さえておきます。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (2) リスク分析と評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。