リスク評価とは？

リスク評価の意味

リスク分析の結果をリスク基準と比較し、リスクとその大きさが受容可能かどうかを判断するプロセス。対応の要否と優先順位を決定する。

リスク評価の具体例

リスクレベルが「高」のものは必ず低減策を講じ、「低」のものは受容するという基準に照らして仕分ける。

リスク評価は試験でどう引っ掛けられる？

特定・分析・評価をまとめた「リスクアセスメント」全体と、その最終段階である「リスク評価」を取り違えやすい。評価は大きさを算出する作業ではなく、基準と照らして対応の要否と優先順位を決める作業。

リスク評価と関連する用語

• リスク基準
• リスク対応

リスク評価が出た過去問

• リスクマネジメントに含まれる四つのプロセスであるリスク対応、リスク特定、リスク評価、リスク分析を実施する順番として、適切なものはどれか。

  正解：リスク特定→リスク分析→リスク評価→リスク対応

  要点：リスクは特定→分析→評価→対応の順で扱う

  リスクマネジメントでは、まずどのようなリスクがあるかを洗い出し（特定）、次に発生の可能性と影響の大きさを見積もる（分析）。その結果を基準と照らして対応の要否や優先順位を判断し（評価）、最後に低減・回避・移転・受容といった手立てを講じる（対応）。この順序が基本となる。

  出典：平成25年度 秋期 ITパスポート試験 問56（IPA）

• 情報セキュリティのリスクマネジメントにおいて、リスクの重大さを決定するために、算定されたリスクを与えられた基準と比較するプロセスはどれか。

  正解：リスク評価

  要点：リスク評価は算定結果を基準と比べ重大さを決める

  リスクマネジメントでは、リスクの特定→分析→評価という順で進む。このうちリスク評価は、分析で算定したリスクの大きさを、あらかじめ定めた受容基準と照らし合わせ、対応が必要かどうか・どれを優先するかを判断する段階である。

  出典：平成26年度 秋期 ITパスポート試験 問47（IPA）

• ISMSに関する記述のうち，適切なものはどれか。

  正解：ISMSを構築する組織は，保護すべき情報資産を特定し，リスク対策を決める。

  要点：ISMSは情報資産の特定とリスク評価から対策を決める

  ISMSでは、まず守るべき情報資産を洗い出して価値やリスクを評価し、その結果に基づいて対策を決めて運用し、PDCAで継続的に改善する。事故の有無にかかわらず平常時から継続する取組みであり、適用範囲は組織全体でも一部門でも設定できる。方針は基本的な考え方を示す文書で、具体的な手順は下位の規程や手順書に定める。

  出典：平成27年度 秋期 ITパスポート試験 問80（IPA）

• ISMSにおける情報セキュリティリスクの取扱いに関する"リスク及び機会に対処する活動"には、リスク対応、リスク評価、リスク分析が含まれる。この活動の流れとして、…

  正解：リスク分析 → リスク評価 → リスク対応

  要点：リスクは分析→評価→対応の順で取り扱う

  リスクへの対処は、まずリスクの発生確率や影響の大きさを見積もるリスク分析を行い、次にその結果を受入基準と照らして対応が必要かどうかを判断するリスク評価を行う。そのうえで、低減・回避・移転・受容といったリスク対応を選んで実施する。分析→評価→対応の順が正しい流れである。

  出典：平成29年度 秋期 ITパスポート試験 問57（IPA）

• 情報セキュリティのリスクマネジメントをリスク特定，リスク分析，リスク評価，リスク対応に分けたときに，リスク対応に含まれるものはどれか。

  正解：リスクへの対処方法を選択し，具体的な管理策の計画を立てる。

  要点：リスク対応は対処方針の選択と具体的な管理策の計画

  リスクアセスメントは特定・分析・評価の三段階で、どんなリスクがあるかを洗い出し、大きさを算定し、受容基準と照らして対応の要否を判断する。そのうえで実施するリスク対応では、低減・回避・移転・保有といった方針を選び、具体的な管理策とその実施計画を定める。

  出典：平成29年度 春期 ITパスポート試験 問63（IPA）