リスクアセスメント（リスク特定・分析・評価）とは？りすくあせすめんと
リスクアセスメント（リスク特定・分析・評価）とは、リスク特定・リスク分析・リスク評価の三段でリスクの大きさを見定め、対応の要否と優先順位を決める手順。特定で資産・脅威・脆弱性を洗い出し、分析で起こりやすさと影響から重大さを算定し、評価で受容基準と突き合わせる。ここまで終えて初めて、回避・低減・移転・受容の選択に進む。
最終更新：2026-10-06
この語が出る過去問を解く →背景
守るべき対象は増える一方で、予算も要員も有限である。全部を同じ強度で守ろうとすれば、どれも中途半端になる。どこから手を付けるかを勘ではなく共通の物差しで決め、なぜその順にしたかを説明できるようにするのがこの手順で、規格の側でも計画段階の要求として組み込まれている。
具体例
顧客情報を持つ基盤なら、資産「顧客データベース」、脅威「外部からの侵入」、脆弱性「管理画面がインターネットから到達できる」を並べ、起こりやすさ中と影響大から重大さを高と算定する。受容基準を超えたので、Cloudflareでの接続元制限とSIEMによる監視の追加が対応の候補として挙がる、という進み方になる。
試験での引っ掛け
アセスメントの段階で対策まで決めてしまうのがありがちな誤り。工程が別に切られている理由は、対策ありきで重大さを歪めないためである。分析と評価の境目も問われる——重大さを算定するのが分析、受容できるかを基準と照らして判断するのが評価。対応後に残る残留リスクも、放置してよいものではなく、受容するなら責任者の承認と記録が要る。
関連用語
出た過去問
出典：令和6年度 春期 ITサービスマネージャ試験 午前Ⅱ 問16（IPA）解説で登場
JIS Q 27000:2019(情報セキュリティマネジメントシステム-用語)における用語の定義として、適切なものはどれか。
正解：リスク評価とは、リスク及び/又はその大きさが受容可能か又は許容可能かを決定するために、リスク分析の結果をリスク基準と比較するプロセスのことである。
要点：リスクアセスメント＝特定→分析→評価。評価は基準との比較
JIS Q 27000におけるリスク評価は、リスク分析の結果をあらかじめ定めたリスク基準と比較し、そのリスクや大きさが受容可能かどうかを決定するプロセスである。リスクアセスメントはリスク特定・リスク分析・リスク評価を包含する上位の概念で、リスク分析はリスクの特質を理解しレベルを決定する段階を指す。用語の階層関係を整理して覚えることが要点である。
出典・参考
公式シラバスの1 サービスマネジメント ＞ 1-1 サービスマネジメントに掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。