確率・影響マトリックスとは？かくりつえいきょうまとりくす
確率・影響マトリックスとは、発生確率と影響度をそれぞれ段階で評価し、その組合せでリスクの優先度を区分する表。情報セキュリティのリスクアセスメントでは、この区分と受容の水準をあらかじめリスク基準として決めておき、どのリスクへ予算と人を割き、どこから先を受容するかをリスク所有者が判断する。
最終更新：2026-10-06
情報セキュリティマネジメントを最短で暗記・合格する →背景
リスクは本来、金額と確率で測れると扱いやすいが、情報漏えいの損害額や攻撃を受ける確率を正確に見積もれる場面はまれである。それでも優先順位は決めなければならないため、粗い段階評価でも関係者の間で同じ物差しを共有できる形にしたのがこの表である。試験では、これが定性的な評価であることと、区分の境界を誰がいつ承認するのかが問われる。
具体例
JIS Q 27001に基づくリスクアセスメントでは、確率と影響を5段階で評価し、積が15以上を高リスクとして四半期ごとに対策状況を報告、6から14は年1回見直し、それ以下は台帳へ記録して受容する、といった区分を定める。この境界値は、情報セキュリティ委員会の承認を得たうえで文書化しておく。
試験での引っ掛け
積の値そのものに絶対的な意味はなく、組織ごとに受容水準を決めて初めて使える。また確率も影響も人の判断による段階評価なので、この結果を定量的リスク分析の成果と呼ぶのは誤り。年間予想損失額のように金額で見積もるのが定量的分析で、両者の使い分けが問われる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。