リスクマネジメントとは？

リスクマネジメントの意味

組織の目的達成を阻害するリスクを、体系的に特定・分析・評価し、対応を選択して実施・監視する一連の活動。JIS Q 31000などで枠組みが示されている。

リスクマネジメントの具体例

情報資産ごとに脅威と脆弱性を洗い出し、影響度と発生可能性から優先度を付け、対策の実施計画を立てて進捗を管理する。

リスクマネジメントは試験でどう引っ掛けられる？

リスクをゼロにする活動ではなく、受容も正当な対応の一つ。事故が起きた後の収拾を主眼とする危機管理（クライシスマネジメント）や、事業継続の枠組みとも目的の置き方が異なる。

リスクマネジメントと関連する用語

• リスクアセスメント
• リスク対応
• COSO-ERM

リスクマネジメントが出た過去問

• JIS Q 27000:2019 (情報セキュリティマネジメントシステム-用語) の用語に関する記述のうち、適切なものはどれか。

  正解：リスク特定とは、リスクを発見、認識及び記述するプロセスのことであり、リスク源、事象、それらの原因及び起こり得る結果の特定が含まれる。

  要点：リスク特定はリスクを発見し認識し記述する最初の工程

  リスク特定は、リスクマネジメントプロセスの最初の段階で、どんなリスクが存在するかを見つけ出し、認識し、記述する活動である。リスク源、起こり得る事象、その原因および結果を洗い出すことが含まれ、ここで漏れがあると後続の分析や評価でも扱えない。なお、脅威は損害をもたらし得る事象の潜在的な原因、脆弱性は付け込まれ得る弱点であり、両者の定義は取り違えやすい。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問11（IPA）