リスクの定性的分析（発生確率・影響度マトリクス）とは？りすくのていせいてきぶんせき
リスクの定性的分析（発生確率・影響度マトリクス）とは、特定したリスクを、発生確率と影響度をそれぞれ高・中・低といった尺度で相対評価し、対応すべきものを絞り込む分析。二つを軸に取ったリスクマトリックスへ位置づけて可視化する。金額や確率分布で計算する定量的分析より短時間で全件を扱える。
最終更新：2026-10-06
情報セキュリティマネジメントを最短で暗記・合格する →背景
リスクを一件ずつ金額で見積もるには時間も根拠データも足りず、それを待っていると対策そのものが始まらない。まず粗い尺度で全件を並べ、上位だけを詳しく見る二段構えにすることで、限られた人手を効きどころへ回せるようにした。この試験では、尺度とリスク受容基準を定めるのは組織側で、部門はその基準に当てはめて評価し結果を上げる立場だという役割分担が問われる。
具体例
情報資産ごとに機密性・完全性・可用性の評価値と発生確率を3段階で付けてリスク値を出す様式は、中小企業向けの各種ガイドラインに付属するリスク分析シートで広く使われている。部門の管理者はリスク所有者として年1回これを実施し、受容基準を超えたものを対策計画として上申する。
試験での引っ掛け
定量的分析との順序と役割を取り違えやすい。高・中・低で絞り込むのが定性的、絞られたものを年間予想損失額などで見積もるのが定量的で、全件に定量的分析はしない。もう一つの落とし穴は評価が主観に流れることで、誰が付けても同じ値になるよう尺度の定義をリスク基準として文書化しておく。
関連用語
出典・参考
公式シラバスの1 技術要素 ＞ 2 情報セキュリティ管理 ＞ リスク分析と評価（情報セキュリティリスクアセスメント）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。