リスク分析とは？

リスク分析の意味

特定したリスクの性質を理解し、その大きさ（レベル）を決定するプロセス。一般に発生可能性（脅威の大きさ×脆弱性の大きさ）と影響度（結果の重大さ）の組合せで測る。

リスク分析の具体例

「不正アクセスによる顧客情報漏えい」について、発生可能性を中、影響度を大と見積もり、リスクレベルを高と算定する。

リスク分析は試験でどう引っ掛けられる？

リスク評価と順序ごと区別する。特定→分析→評価→対応の流れのうち、分析はリスクの大きさを求める段階、評価はその大きさをリスク基準と比べて受容の可否を判断する段階にあたる。

リスク分析と関連する用語

• リスク特定
• リスク評価
• リスク基準

リスク分析が出た過去問

• リスクマネジメントに含まれる四つのプロセスであるリスク対応、リスク特定、リスク評価、リスク分析を実施する順番として、適切なものはどれか。

  正解：リスク特定→リスク分析→リスク評価→リスク対応

  要点：リスクは特定→分析→評価→対応の順で扱う

  リスクマネジメントでは、まずどのようなリスクがあるかを洗い出し（特定）、次に発生の可能性と影響の大きさを見積もる（分析）。その結果を基準と照らして対応の要否や優先順位を判断し（評価）、最後に低減・回避・移転・受容といった手立てを講じる（対応）。この順序が基本となる。

  出典：平成25年度 秋期 ITパスポート試験 問56（IPA）

• 情報セキュリティに関する用語である可用性、完全性、機密性及び脆弱性のうち、ISMSが組織の情報資産に対して維持管理すべき特性としているものだけを全て挙げたものは…

  正解：可用性、完全性、機密性

  要点：情報セキュリティの三大特性は機密性・完全性・可用性

  ISMSでは、情報資産について機密性（許可された者だけが使える）、完全性（内容が正確で改ざんされていない）、可用性（必要なときに使える）の3つの特性を維持することを基本としている。脆弱性は資産が抱える弱点であって、維持すべき特性ではなくリスク分析の対象にあたる。用語の性質の違いに注意したい。

  出典：平成27年度 春期 ITパスポート試験 問56（IPA）

• A社では，自社の情報資産に関するリスク分析を実施した結果，近くの川が氾濫することで会社の1階にあるサーバルームが浸水するおそれがあることが分かった。サーバルーム…

  正解：リスクの受容

  要点：小さいリスクを対策せず引き受けるのが受容

  発生の可能性が極めて低いと評価し、対策を講じずに損害が出た場合はそれを引き受けると判断したのだから、これはリスクの受容（保有）に当たる。移転は保険などで負担を移すこと、回避は原因そのものを断つこと、低減は対策で確率や影響を下げることを指す。

  出典：平成28年度 秋期 ITパスポート試験 問89（IPA）

• ISMSにおける情報セキュリティリスクの取扱いに関する"リスク及び機会に対処する活動"には、リスク対応、リスク評価、リスク分析が含まれる。この活動の流れとして、…

  正解：リスク分析 → リスク評価 → リスク対応

  要点：リスクは分析→評価→対応の順で取り扱う

  リスクへの対処は、まずリスクの発生確率や影響の大きさを見積もるリスク分析を行い、次にその結果を受入基準と照らして対応が必要かどうかを判断するリスク評価を行う。そのうえで、低減・回避・移転・受容といったリスク対応を選んで実施する。分析→評価→対応の順が正しい流れである。

  出典：平成29年度 秋期 ITパスポート試験 問57（IPA）

• 情報セキュリティのリスクマネジメントをリスク特定，リスク分析，リスク評価，リスク対応に分けたときに，リスク対応に含まれるものはどれか。

  正解：リスクへの対処方法を選択し，具体的な管理策の計画を立てる。

  要点：リスク対応は対処方針の選択と具体的な管理策の計画

  リスクアセスメントは特定・分析・評価の三段階で、どんなリスクがあるかを洗い出し、大きさを算定し、受容基準と照らして対応の要否を判断する。そのうえで実施するリスク対応では、低減・回避・移転・保有といった方針を選び、具体的な管理策とその実施計画を定める。

  出典：平成29年度 春期 ITパスポート試験 問63（IPA）