定性的リスク分析とは？ていせいてきりすくぶんせき
定性的リスク分析とは、リスクの大きさを金額に換算せず、大・中・小や5段階といった区分で表して比べる評価のしかた。損害額の実績が積み上がらない情報セキュリティの領域で使われ、担当者が集まって短時間で全体を並べられるのが強み。求めているのは正確な金額ではなく、限られた予算をどの対策から使うかを部門をまたいで合意することにある。
最終更新：2026-10-06
情報セキュリティマネジメントを最短で暗記・合格する →背景
情報セキュリティの事故は件数が少なく、自社での発生実績もほとんど無いため、年間予想損失額を求めようにも確率と損害額の根拠が出てこない。それでも対策の順番は決めなければならない。そこで精度を割り切って区分で並べ、リスクマトリックスの形で見比べる方法が実務に定着した。試験では、どちらの手法を選ぶかという判断の形で問われる。
具体例
年1回のリスクアセスメントで、総務・人事・情報システムの担当が持ち出しPCの紛失を「影響：大、起こりやすさ：中」、来客の入館記録漏れを「影響：小、起こりやすさ：高」と置いて並べる。JIS Q 27001が求めるリスク基準をこの区分の形で規程に定め、リスク所有者を各部門長として明記する。
試験での引っ掛け
定量的分析との対比が問われる。金額で表すのが定量的、区分で表すのが定性的で、定性的だから物差しが要らないわけではない。大・中・小の意味を先に文書で定めないと、同じリスクが担当者ごとに違う評価になり比較できなくなる。またそのリスクを受け入れるかを決めるのは評価した担当者ではなく、規程で定めたリスク所有者である。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。