リスクアセスメント（リスク特定・分析・評価）とは？

リスクアセスメント（リスク特定・分析・評価）の意味

リスク特定で資産・脅威・脆弱性を洗い出し、リスク分析で発生可能性と影響の大きさから重大さを算定し、リスク評価で受容基準と照らして対応の要否と優先順位を決める一連の手順。この結果を受けて、初めてリスク対応の選択に進む。

リスクアセスメント（リスク特定・分析・評価）の具体例

顧客情報を扱うサーバについて、脅威「外部からの侵入」と脆弱性「公開ポートを制限していない」を特定し、発生可能性が中、影響が大として高リスクと算定する。受容基準を超えるため、通信制限と監視の追加を対応として選ぶ。

リスクアセスメント（リスク特定・分析・評価）は試験でどう引っ掛けられる？

アセスメントとリスク対応は別の工程であり、アセスメントの段階では対策を決めない。また残留リスクは対応後に残るもので、受容するなら責任者の承認が要る。無視してよいという意味ではない。

リスクアセスメント（リスク特定・分析・評価）と関連する用語

• リスク対応（回避・低減・移転・受容）
• 情報セキュリティ管理
• リスクマトリックス

リスクアセスメント（リスク特定・分析・評価）が出た過去問

• JIS Q 27000:2019(情報セキュリティマネジメントシステム-用語)における用語の定義として、適切なものはどれか。

  正解：リスク評価とは、リスク及び/又はその大きさが受容可能か又は許容可能かを決定するために、リスク分析の結果をリスク基準と比較するプロセスのことである。

  要点：リスクアセスメント＝特定→分析→評価。評価は基準との比較

  JIS Q 27000におけるリスク評価は、リスク分析の結果をあらかじめ定めたリスク基準と比較し、そのリスクや大きさが受容可能かどうかを決定するプロセスである。リスクアセスメントはリスク特定・リスク分析・リスク評価を包含する上位の概念で、リスク分析はリスクの特質を理解しレベルを決定する段階を指す。用語の階層関係を整理して覚えることが要点である。

  出典：令和6年度 春期 ITサービスマネージャ試験 am2 問16（IPA）