リスクアセスメントとリスク対応とは？

リスクアセスメントとリスク対応の意味

リスクアセスメントは、情報資産に対する脅威と脆弱性を洗い出し、発生可能性と影響度からリスクの大きさを評価するプロセス。評価結果に基づき、リスク低減（対策を講じる）、リスク移転（保険をかける等）、リスク回避（原因となる活動をやめる）、リスク保有（許容範囲として受け入れる）のいずれかの対応を選ぶ。

リスクアセスメントとリスク対応の具体例

サーバの脆弱性を放置すると不正アクセスのリスクが高いと評価された場合、パッチ適用によってリスクを低減する、あるいはサイバー保険でリスクを移転するといった対応が取られる。

リスクアセスメントとリスク対応は試験でどう引っ掛けられる？

リスク対応4種の取り違えが定番。保険加入や外部委託は「移転」、危険な活動そのものをやめるのが「回避」、対策で被害を小さくするのが「低減」、許容して受け入れるのが「保有」。アセスメントは特定・分析・評価までで、対応そのものは含まない点も問われる。

リスクアセスメントとリスク対応と関連する用語

• 情報セキュリティの3要素（機密性・完全性・可用性）