リスク特定とは？

リスク特定の意味

リスク源、事象、原因、起こり得る結果を発見・認識し、記述するプロセス。網羅性が重要であり、ここで漏れたリスクはその後の分析・評価・対応の対象にならない。

リスク特定の具体例

業務フローをたどりながら、各処理での誤入力・不正操作・システム停止といった事象を洗い出し、一覧に記述する。

リスク特定は試験でどう引っ掛けられる？

リスクを受容するかどうかの判断は「リスク評価」の役割。特定は発見・認識・記述の段階にとどまる。

リスク特定と関連する用語

• リスク分析
• リスク評価
• リスクアセスメント

リスク特定が出た過去問

• JIS Q 27000:2014(情報セキュリティマネジメントシステム-用語)における情報セキュリティリスクに関する記述のうち,適切なものはどれか。

  正解：リスク特定とは,リスクを発見,認識及び記述するプロセスのことであり,リスク源,事象,それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスク源や事象と結果を発見し記述する過程

  JIS Q 27000では用語が明確に定義されている。リスク特定はリスクを発見し認識して記述する過程であり、リスク源や事象、その原因と起こり得る結果を洗い出すことを含む。脅威は損害を与えうる望ましくないインシデントの潜在的原因、脆弱性は悪用されうる資産や管理策の弱点で、選択肢では両者が入れ替えられている。

  出典：令和1年度 春期 システム監査技術者試験 am2 問20（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）の用語に関する記述のうち、適切なものはどれか。

  正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定は発見・認識・記述の段階で、受容可否の判断は評価

  JIS Q 27000の用語定義では、脅威は損害を与え得る望ましくないインシデントの潜在的原因、脆弱性は脅威に付け込まれ得る資産や管理策の弱点を指す。リスク特定はリスクを発見・認識・記述するプロセスで、リスク源、事象、原因、起こり得る結果を洗い出す段階である。リスク基準と比較して受容可否を決めるのはリスク評価であり、リスク対応はその後の処置を選ぶ段階になる。

  出典：令和3年度 秋期 システム監査技術者試験 am2 問20（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク評価についての説明として、適切なものはどれか。

  正解：リスクとその大きさが受容可能か否かを決定するために、リスク分析の結果をリスク基準と比較するプロセス

  要点：リスク評価は分析結果をリスク基準と比べ受容可否を決める

  JIS Q 27000では、リスクアセスメントをリスク特定・リスク分析・リスク評価の三段階で捉える。このうちリスク評価は、リスク分析で得た結果をあらかじめ定めたリスク基準と照らし合わせ、そのリスクとその大きさが受容できるかどうか、対応が必要かどうかを決めるプロセスである。

  出典：令和5年度 秋期 システム監査技術者試験 am2 問19（IPA）

• JIS Q 27000:2019（情報セキュリティマネジメントシステム－用語）におけるリスク対応についての説明として、適切なものはどれか。

  正解：リスクを修正するプロセス

  要点：リスク対応はアセスメント後にリスクを修正するプロセス

  リスクマネジメントの用語は、リスクアセスメント（リスク特定→リスク分析→リスク評価）と、その結果を受けて実際に手を打つリスク対応に分かれる。前半はリスクの姿を明らかにして受容可否を判断する段階であり、リスク対応はそこで受け入れられないと判断されたリスクを修正する段階、すなわち低減・回避・移転・受容といった選択肢を選んで実行するプロセスを指す。「評価までが分析、修正が対応」と切り分けると各定義を取り違えにくい。

  出典：令和7年度 秋期 システム監査技術者試験 am2 問19（IPA）